Un segreto di sessione è il valore che mantiene valida una sessione connessa dopo che l'autenticazione ha avuto esito positivo. In molti sistemi si tratta di un token casuale, di un ID di sessione o di un valore firmato memorizzato in un cookie o in un header. Dopo che l'utente ha dimostrato la propria identità con una password o con MFA, l'applicazione usa il segreto di sessione per riconoscere le richieste successive senza chiedere di nuovo le credenziali.
I segreti di sessione sono importanti perché chiunque li possieda può spesso agire come l'utente autenticato fino alla scadenza o alla revoca della sessione. In attacchi reali, cookie di sessione o segreti di token rubati consentono a un intruso di aggirare i controlli di accesso, anche quando la password viene cambiata. I difensori proteggono questi valori con una forte casualità, flag sicuri per i cookie, durate brevi, invalidazione lato server e una nuova autenticazione per le azioni sensibili. Il logout, il ripristino delle credenziali o l'attivazione di MFA non sempre terminano una sessione attiva, a meno che non venga revocato anche il segreto di sessione.