بیشتر اندپوینت‌ها نباید به هر کسی جواب بدهند. احراز هویت (authentication) ثابت می‌کند چه کسی تماس گرفته و مجوزدهی (authorization) تعیین می‌کند اجازه‌ی چه کارهایی را دارد. هر دو با رمزی شروع می‌شوند که کلاینت همراه هر درخواست می‌فرستد.