I segreti di configurazione sono valori sensibili archiviati nelle impostazioni di un'applicazione o di un sistema, come password, chiavi API, token di servizio, chiavi SSH e stringhe di connessione al database. Consentono al software di autenticarsi verso altri sistemi e di sbloccare servizi protetti, quindi devono essere trattati come credenziali, non come semplici dati di configurazione.
Nella sicurezza informatica, i segreti di configurazione divulgati possono trasformare una piccola violazione in accesso completo. Gli aggressori spesso cercano nei backup, nei repository di codice sorgente, nei file di distribuzione, nei log e nei pannelli di amministrazione segreti che possono riutilizzare per raggiungere servizi cloud, reti interne o ambienti dei clienti. I difensori riducono questo rischio usando gestori di segreti, cifrando le impostazioni sensibili, limitando chi può leggerle, ruotando i valori esposti e monitorando la presenza di segreti hardcoded o esposti pubblicamente. Nei casi di estorsione, la menzione di segreti di configurazione è particolarmente grave perché può indicare un potenziale movimento laterale o l'accesso a sistemi oltre il set di file inizialmente esposto.