I controlli in fase di progettazione sono verifiche di sicurezza applicate mentre il software viene pianificato e costruito, prima che venga distribuito. Si concentrano su architettura, autorizzazioni, gestione dei dati e impostazioni sicure predefinite, invece di aspettare che uno scanner o un team di risposta agli incidenti individui i problemi in seguito. Nei programmi secure-by-design, questi controlli aiutano i team a intercettare presto le decisioni rischiose, quando le correzioni sono meno costose e meno dirompenti.
Sono importanti perché molte vulnerabilità gravi vengono create già in fase di progettazione, non solo nel codice. Se a un'applicazione vengono concessi privilegi eccessivi, espone flussi di dati sensibili o si basa su ipotesi non sicure, questi difetti possono diventare parte integrante del prodotto. I difensori usano threat modeling, revisioni del progetto, policy-as-code, modelli sicuri e punti di approvazione per imporre scelte corrette. Gli aggressori traggono vantaggio quando questi controlli mancano, perché una progettazione debole può creare accessi estesi, automazione insicura o percorsi facili da abusare anche se il codice sembra pulito.