L'autorizzazione REST è l'insieme di regole che stabilisce quali endpoint, metodi e azioni API un utente o una sessione è autorizzato ad accedere. Viene dopo l'autenticazione: il server prima identifica chi sei, poi verifica cosa può fare quella identità. In una REST API, questi controlli possono basarsi su ruoli, proprietà, scope, confini del tenant o permessi per singola risorsa.
È importante perché un'autorizzazione compromessa spesso trasforma un login valido in una compromissione completa. Se un'applicazione dimentica di proteggere una route, si fida dei claim sbagliati del token o controlla i permessi solo nel front-end, un attaccante può chiamare direttamente endpoint sensibili. I difensori dovrebbero verificare l'autorizzazione a ogni richiesta, inclusi percorsi alternativi, richieste inoltrate e gestori personalizzati, così che la logica di business non venga mai eseguita prima del controllo dei permessi.