NATS no tiene autenticación y delega siempre la seguridad en un firewall externo delante del servidor

Token único, usuario y contraseña (con contraseñas en bcrypt), certificados TLS de cliente y NKeys, pares de claves Ed25519 donde el servidor solo conoce la clave pública y el cliente firma un reto con su clave privada, que nunca se envía

Con NKeys el cliente envía su clave privada al servidor en cada conexión para que este la compare con su registro

Solo admite usuario y contraseña en texto plano, sin posibilidad de cifrar la conexión ni de usar certificados