احراز هویت API تعیین می‌کند کلاینت درخواست‌دهنده کیست. از Session Cookie، توکن Bearer، API Key و جریان OAuth 2.0 می‌توان با توجه به سناریو استفاده کرد. API Key به تنهایی لزوماً هویت شخصی کاربر را اثبات نمی‌کند.
GET /api/orders HTTP/1.1
Host: baversion.com
Authorization: Bearer YOUR_ACCESS_TOKENاصطلاحات مرتبط: رابط برنامه‌نویسی کاربردی، احراز هویت، مجوزدهی، چارچوب مجوزدهی اواث ۲، توکن وب جیسون.
API Key در برابر OAuth Token
API Key معمولاً شناسه یا مجوز یک Client را مشخص می‌کند و Bearer Token هم باید مثل رمز محافظت شود. OAuth برای دسترسی تفویض‌شده کاربرد دارد. انتخاب روش به مدل تهدید و نوع مصرف‌کننده API وابسته است.