I segreti riutilizzabili sono credenziali, chiavi API, token di sessione, certificati o altri valori segreti che possono essere usati di nuovo se vengono esposti. In ambito di sicurezza, il pericolo non è solo che un segreto venga rubato, ma che resti valido abbastanza a lungo da poter essere riutilizzato. Se un aggressore ottiene un segreto riutilizzabile, può autenticarsi come un utente, accedere a sistemi interni, chiamare API o muoversi lateralmente senza dover violare la crittografia o indovinare una password.
Questo è importante perché molte violazioni iniziano con la fuoriuscita di segreti in repository di codice, log, documenti condivisi, screenshot o artefatti di build. I difensori riducono il rischio limitando la durata del segreto, circoscrivendo i permessi, ruotando rapidamente le chiavi, revocando i token esposti e usando vault o credenziali a breve durata invece di quelle statiche a lungo termine. In pratica, la risposta agli incidenti spesso si concentra sul trovare ogni luogo in cui il segreto è stato copiato e verificare se possa ancora essere riutilizzato altrove.