Un controllo di autorizzazione è una misura di sicurezza che verifica se il chiamante è autorizzato a eseguire un'azione specifica, come avviare un flusso di lavoro, modificare una policy, leggere dati o eseguire un comando. È diverso dall'autenticazione: l'autenticazione chiede chi sei, mentre l'autorizzazione chiede che cosa puoi fare. Nei sistemi sicuri, questi controlli dovrebbero avvenire lato server e prima dell'esecuzione di qualsiasi operazione sensibile.
Controlli di autorizzazione mancanti o deboli sono una causa comune di violazioni gravi perché consentono agli aggressori di raggiungere funzioni destinate solo agli amministratori o ai servizi fidati. Nei control plane e nelle piattaforme di orchestrazione, un singolo controllo saltato può esporre l'host che coordina molte azioni a valle. I difensori cercano regole esplicite basate sui ruoli, un comportamento deny-by-default, privilegi segmentati e log che evidenzino richieste non autorizzate o fallimenti ripetuti. Un controllo di autorizzazione solido è spesso la barriera che trasforma una richiesta pericolosa in un rifiuto innocuo.