Kimlik MASTER'ın login'lerinden gelir; yöntem HTTP Basic auth'tur ve doğrulanan kimlik bir oturuma bağlanır. Yetki iki kademelidir:

1. Kimlik doğrulaması — allowAnonymous kapalıysa ya da uç açıkça istiyorsa aranır.
2. Rol — AdminREST'in tamamı yönetici ister (SYSADMIN üyesi ya da SYSDBA). WebSocket mesajları rol istemez, açık oturum yeter.

Login'deki değişiklik (parola, kilit, GRANT/REVOKE) bir sonraki kimlik doğrulamasında geçerli olur. O sırada açık olan oturumlar, kimlik doğruladıkları andaki kullanıcı görüntüsünü (rolleri dâhil) kendi ömürleri boyunca korur; yeni yetki, oturum yeniden kimlik doğruladığında geçerli olur. Bir kullanıcıyı anında dışarıda bırakmak gerekiyorsa oturumunu da kapatın.

Bir ayrımı bilmek önemlidir: OpenSession, sıradan bir istemci için oturumu parola denetlemeden de açabilir (istemci adı, kullanıcı adı gibi alanları doldurmak yeter). Yani “açık oturum” bir kimlik kanıtı değil, geçerli bir istemci el sıkışmasıdır.

Tek istisna CRUD uygulamasının authMode: "database" kipidir: orada /crud/data ve /crud/metadata için kimliği MASTER değil veritabanının kendisi doğrular (istekteki Basic kimlik bilgisi bağlantıya iletilir) ve yetki de veritabanının GRANT'larıdır — bkz. “/crud/data — REST veri erişimi”.

/ivedi. POST /ivedi/execute ve /ivedi oturumu çağıranın yazdığı SQL/MQL betiğini hizmet hesabının yetkisiyle çalıştırır ve bu, makinede komut çalıştırmaya kadar gider (#SHELL, OS.Command.Run). Kapısı parolası doğrulanmış SYSADMIN (ya da SYSDBA) bir MASTER login'idir.