Una chiave hard-coded è un valore segreto incorporato direttamente nel codice software o in un binario compilato invece di essere generato e archiviato in un secret manager protetto. Poiché il valore è fisso, ogni copia del software può condividere la stessa credenziale, rendendo difficile ruotarla, revocarla o sottoporla ad audit.
Nella sicurezza informatica, le chiavi hard-coded sono pericolose perché possono indebolire autenticazione, crittografia e controlli di accesso. Se gli attaccanti scoprono la chiave tramite reverse engineering, ispezione della memoria, esposizione della configurazione o del codice sorgente, possono aggirare i controlli, decifrare i dati, impersonare i servizi o ottenere accesso non autorizzato. I difensori cercano questi segreti durante code review, analisi dei binari e scansione dei segreti, quindi li sostituiscono con credenziali uniche, specifiche per l'ambiente e gestite in modo sicuro. Nei sistemi ben progettati, le chiavi vengono generate, memorizzate al di fuori dell'applicazione e ruotate regolarmente, in modo che una singola compromissione non esponga ogni distribuzione.