L'errata configurazione di sicurezza significa che un sistema, un'applicazione o un servizio viene distribuito con impostazioni non sicure. Esempi comuni includono password predefinite, accesso a file o database troppo permissivo, servizi inutili lasciati attivi, pannelli di amministrazione esposti, regole CORS deboli o messaggi di errore troppo dettagliati che rivelano informazioni interne. Il problema spesso non è un bug del software, ma un errore di configurazione.
Nella sicurezza informatica, questo è importante perché una singola impostazione sbagliata può aggirare controlli altrimenti robusti. Gli aggressori eseguono spesso scansioni alla ricerca di archiviazione cloud configurata in modo errato, interfacce di gestione pubbliche, directory aperte e account di test dimenticati. Nei portali autenticati, una configurazione errata può esporre record utente, dati di sessione o funzioni amministrative senza bisogno di violare la crittografia o indovinare le password. I difensori riducono questo rischio rafforzando le configurazioni di base, disabilitando le funzionalità non utilizzate, rivedendo le autorizzazioni, applicando le correzioni alle impostazioni predefinite e controllando continuamente le configurazioni rispetto a standard sicuri.