Em TLS, quem é sempre autenticado e quem é opcionalmente autenticado?

Resposta

Servidor sempre autenticado; Cliente autenticado opcionalmente (mTLS).

Explicação:
Durante o handshake o servidor apresenta um certificado digital válido.
O cliente valida a cadeia de confiança e o nome do host para autenticar o servidor.
A autenticação do cliente só ocorre se for solicitada pelo servidor (mutual TLS, mTLS); caso contrário, o cliente usa outros mecanismos fora do TLS.