I controlli di autorizzazione sono i meccanismi che decidono se un determinato utente, servizio o richiesta è autorizzato a eseguire un'azione. Si collocano dopo l'autenticazione e prima dell'esecuzione dell'azione. Un sistema può sapere chi ha effettuato una richiesta, ma i controlli di autorizzazione decidono cosa quell'identità può realmente fare, ad esempio leggere dati, modificare impostazioni o chiamare una API sensibile.
Nel campo della sicurezza informatica, controlli di autorizzazione deboli o assenti sono una causa comune di escalation dei privilegi e accesso non autorizzato. Gli aggressori cercano endpoint che si fidano troppo delle richieste, soprattutto nei componenti lato server, nelle integrazioni e nelle funzioni di amministrazione. Se un'applicazione accetta una richiesta senza verificare proprietà, ruolo o contesto, un utente non autenticato o con privilegi bassi può raggiungere funzioni che dovrebbero essere bloccate. I difensori riducono questo rischio con allowlist rigorose, controllo degli accessi centralizzato, controlli a livello di oggetto e test che verificano che ogni azione sensibile sia negata per impostazione predefinita, salvo autorizzazione esplicita.