Un componente gateway si colloca tra gli utenti o le applicazioni client e i servizi back-end. Riceve le richieste, verifica l'identità o lo stato della sessione, applica le regole di trust e poi inoltra il traffico approvato al sistema interno corretto. In molti prodotti enterprise, il gateway fa parte del piano di controllo, quindi può definire chi può raggiungere le funzionalità amministrative, le funzioni di gestione dei dispositivi o i flussi di autenticazione.
Questo è importante perché una debolezza nel gateway può compromettere la sicurezza di tutto ciò che si trova dietro di esso. Gli aggressori possono prenderlo di mira con bypass dell'autenticazione, request smuggling o bug di esecuzione del codice per raggiungere funzioni privilegiate senza un accesso valido. I difensori considerano il software gateway un'infrastruttura ad alto valore: lo aggiornano rapidamente, ne limitano l'esposizione, monitorano i log alla ricerca di attività anomale di accesso o amministrazione e verificano che le decisioni di trust siano applicate in modo coerente al confine.