Kimlik doğrulama, uygulamanın en çok saldırıya uğrayan bileşenidir ve hatalar genellikle şifreleme algoritmasında değil akış tasarımında ortaya çıkar: oturum kimliğinin girişten sonra yenilenmemesi, parola sıfırlama bağlantısının sınırsız geçerli olması veya token'ın yanlış yerde saklanması gibi kararlar tek başına hesap ele geçirmeye yol açabilir. Bu nedenle konu bir kütüphane entegrasyonu değil, uçtan uca bir akış ve durum yönetimi tasarımıdır. Altı modül boyunca katılımcılar bir uygulamanın kimlik katmanını sıfırdan kurar. Parola saklama ve giriş akışı, oturum ile token tabanlı yaklaşımların karşılaştırması, çerez güvenliği, OAuth 2.1 ve OpenID Connect akışları, çok faktörlü doğrulama, hesap kurtarma ve oturum sonlandırma senaryoları uygulanır; her modülde ilgili saldırı senaryosu laboratuvarda denenir. Program çıktısı, çalışan bir kimlik katmanı ve kurum için hazırlanmış bir kimlik doğrulama güvenlik kontrol listesidir.