Una configurazione non predefinita è qualsiasi funzionalità, opzione o impostazione di distribuzione che non è attivata nell'installazione standard di un prodotto, ma che diventa attiva dopo una modifica da parte di un amministratore. È importante perché molti gravi problemi di sicurezza compaiono solo quando una funzionalità specifica è abilitata, soprattutto nei componenti legacy, nella persistenza lato client o in percorsi di autenticazione e serializzazione insoliti.
Nelle attacchi, gli avversari spesso cercano questi casi limite perché possono creare un percorso più ristretto ma di impatto maggiore rispetto al comportamento predefinito del prodotto. Un'impostazione come l'archiviazione basata su cookie, la gestione personalizzata degli errori o una modalità di cifratura alternativa può sbloccare debolezze invisibili nei test ordinari. In difesa, la lezione è inventariare non solo le versioni del software, ma anche le funzionalità attive e le impostazioni specifiche del sito. Le impostazioni sicure riducono il rischio, ma una singola opzione trascurata può trasformare un prodotto normalmente sicuro in uno vulnerabile.