Il codice archiviato è un codice più vecchio di un sito web o di un'applicazione, come file sorgente, backup o build legacy conservati per riferimento. Nel lavoro di sicurezza, è importante perché il vecchio codice può ancora esporre percorsi, parametri e logiche che non sono più visibili nell'interfaccia attuale ma che possono rimanere raggiungibili su un server.
Gli aggressori usano il codice archiviato durante la ricognizione per mappare un'applicazione, trovare endpoint dimenticati o identificare gestori non autenticati e assunzioni deboli lasciate dopo una riprogettazione. I difensori usano lo stesso materiale per confrontare le versioni vecchie e quelle attive, individuare API obsolete e confermare che i percorsi superati siano davvero disabilitati. Poiché il codice archiviato può rivelare come un sistema funzionava in passato, dovrebbe essere trattato come sensibile finché non viene esaminato, protetto da controlli di accesso e ritirato.