Nel TLS normale solo il server si presenta con un certificato; il client resta anonimo e si autentica dopo, con password o token. In mTLS anche il client presenta un certificato: le due parti si verificano a vicenda durante l'handshake, prima che passi un solo byte applicativo.
È lo standard di fatto per il machine-to-machine: microservizi che si parlano (le service mesh lo automatizzano), API interne, agenti che riportano a un server centrale, dispositivi verso il cloud. Niente credenziali da rubare o riusare: o hai la chiave giusta, o l'handshake muore lì – Zero Trust applicato al traffico.
Il prezzo è la gestione dei certificati client: emissione, rotazione, revoca per ogni servizio – ingestibile a mano, ragionevole con una CA privata automatizzata come quella di CertMate (e mTLS su scala è uno dei mestieri di CertMate-ng, la versione enterprise).