Un controllo di accesso è il punto decisionale che verifica se a un utente, una sessione o un processo è consentito eseguire un'azione o raggiungere una risorsa. Confronta la richiesta con i criteri: identità, ruolo, proprietà dell'oggetto, percorso, attestazioni del token o regole lato server. Nel software sicuro, i controlli di accesso devono essere eseguiti ogni volta che viene richiesta un'operazione sensibile, non solo quando un utente effettua il primo accesso.
Nella sicurezza informatica, controlli di accesso deboli sono una causa comune di bug di autorizzazione come controllo degli accessi interrotto, escalation dei privilegi e letture o scritture di file non autorizzate. Gli aggressori cercano controlli mancanti, aggirati o incoerenti in route web, API e gestori di file. I difensori riducono il rischio imponendo controlli lato server, adottando una policy di chiusura in caso di errore e testando casi limite come URL alternative, riferimenti diretti agli oggetti, sessioni scadute e modifiche dei ruoli. Nei sistemi che gestiscono file o azioni amministrative, un singolo controllo di accesso mancato può trasformare una normale interfaccia in un punto di ingresso ad alto impatto.