Una chiave segreta è una credenziale riservata usata da un server per provare la propria identità o autorizzare richieste API. A differenza di un identificatore pubblico, deve rimanere privata perché chiunque la ottenga può spesso agire come l'applicazione, il servizio o l'account fidato dietro di essa.
Nella sicurezza informatica, le chiavi segrete sono importanti perché si collocano al confine tra la comodità del software e i privilegi reali. Se una chiave viene esposta nel codice sorgente, nei log, nelle pipeline di build o nei messaggi di chat, gli aggressori possono usarla per chiamare API di pagamento, accedere a servizi cloud o automatizzare abusi senza bisogno di un prompt per la password. I difensori riducono questo rischio con vault, inserimento tramite variabili d'ambiente, rotazione, credenziali a breve durata, permessi limitati e scansione dei segreti nei repository e nei sistemi CI/CD. Se trattata correttamente, una chiave segreta è una credenziale di macchina controllata; se trattata con negligenza, diventa un token di accesso pronto all'uso per gli aggressori.