アクセスしてきた相手が誰かを確認するしくみ。
IDとパスワードを確認する、あるいは発行済みのトークンが有効かを確認するなどの方法で「あなたは本当にその人（またはそのアプリ）ですか」を検証する処理。認証を通過したあと何をしてよいかを決める「認可」とはセットで語られるが別の概念。
APIを呼び出すときは、多くの場合トークンをリクエストのヘッダーに含めて送ることで認証を行う。トークンの管理がずさんだと不正アクセスの原因になるため、有効期限を短く設定するなどの対策が取られる。