L'autenticazione lato client è un difetto di progettazione in cui il browser o l'app esegue il controllo di autenticazione principale invece del server. Il client può nascondere pulsanti, impostare un flag o eseguire JavaScript che decide se un utente è “connesso”, ma questi controlli non sono affidabili perché l'attaccante controlla il client. Se il server accetta l'affermazione del client senza verificare in modo indipendente identità e stato della sessione, il controllo può essere aggirato modificando le richieste, riproducendo i token o chiamando direttamente l'endpoint.
Questo è importante perché l'autenticazione deve essere applicata sul server per ogni azione protetta. Negli attacchi reali, controlli deboli lato client possono esporre funzioni di amministrazione, modifiche di configurazione o dati sensibili anche quando l'interfaccia sembra bloccata. I difensori dovrebbero verificare credenziali e autorizzazioni lato server, vincolare le azioni a sessioni convalidate e considerare tutto l'input del client come non attendibile. I sistemi sicuri usano il codice lato client solo per migliorare l'usabilità, mai come fonte di verità per il controllo degli accessi.