認証は、利用者が本人であることを確認する仕組みです。パスワードをハッシュと照合したあと、MFAでさらに確認を重ねることで、パスワードだけが漏洩しても不正ログインを防ぎやすくなります。認証に成功すると、サーバはセッションIDを発行し、以降のリクエストはそのセッションIDで本人確認します。