TL;DR
特定のクライアントとだけ通信を許可するときに、認証情報をサーバに伝える HTTP のリクエストヘッダ。1992 年版の HTTP/0.9 から存在する。
仕組み
RFC で、Basic、Digest、Bearer といった標準的な形式が定められている。
RFC 9110 によると、Authorization はユーザエージェントがオリジンサーバに自分を認証させるためのヘッダで、多くは 401（Unauthorized）のステータスコードを受け取った後に送る。値は、要求するリソースの realm に対するユーザエージェントの認証情報（credentials）である。ある realm で認証されると、認証方式が別の扱いを求めない限り、同じ realm への他のリクエストでも同じ認証情報が有効とみなされる。
注意点
AWS や GitHub の API のように、Web サービス独自の書き方を求められることもある。
リクエストを転送するプロキシは、Authorization ヘッダを書き換えてはならない。