L'authentification établit qui est l'utilisateur (connexion, jeton) ; l'autorisation détermine ce qu'il a le droit de faire. Un utilisateur connecté n'a pas accès à tout : chaque action doit être vérifiée côté serveur. Les codes 401 (non authentifié) et 403 (interdit) distinguent les deux cas.