OPC UA unterscheidet die 'Application'-Authentifizierung (X.509-Zertifikat von Client und Server) von der 'User'-Authentifizierung (Anwender-Login), die als Anonymous, Username/Password oder User Certificate ausgeprägt sein kann.

OPC UA implementiert eine zweistufige Authentifizierung: Auf der Anwendungsebene prüft das X.509-Zertifikat, welche Software sich verbindet. Auf der Benutzerebene wird zusätzlich die UserIdentityToken-Variante geprüft - möglich sind Anonymous, Username/Password, X.509-User-Zertifikat oder Kerberos-Token. Damit kann dieselbe Client-Anwendung von mehreren Bedienern mit unterschiedlichen Rechten genutzt werden; ein Server kann beispielsweise Anonymous nur lesend, Username/Password jedoch schreibend zulassen.

Eselsbrücke: 'Application = Wer ist die Software?', 'User = Wer sitzt davor?' - beide Ebenen sind unabhängig zu härten.