Safran utilise l'API JAAS (Java Authentication and Authorization Service) pour gérer l'authentification entre les clients et le serveur.

JAAS met en oeuvre un module serveur ainsi qu'un module client. Lorsque le client fait une demande d'authentification il envoie une requête au serveur. Cette requête comporte le domaine de sécurité sur lequel on souhaite s'authentifier (plusieurs domaines de sécurité de niveaux différents peuvent être mis en place dans JBoss). Ce domaine de sécurité défini, entre autre, le type d'authentification souhaité. Dans le cas de Safran l'authentification se fait par login / mot de passe. Pour récuperer le login / mot de passe JAAS fait appel à un CallBack client qui doit implementer les methodes renvoyant les données nécessaires . Une fois que le serveur est en possession des informations de connexion il utilise la méthode de validation de ces informations (définie par le domaine de sécurité). Pour le cas de Safran le domaine de sécurité implique la validation des données via une requête dans une base de données.