Un endpoint non autenticato è una pagina web, una rotta API o un percorso di servizio che può essere raggiunto senza prima dimostrare la propria identità. Può essere intenzionale, come una pagina di accesso pubblica o un controllo di stato, ma può anche essere un errore quando una funzione interna o sensibile viene lasciata esposta.
Nella sicurezza informatica, questi endpoint sono importanti perché ampliano la superficie di attacco. Gli attaccanti cercano spesso rotte di amministrazione dimenticate, gestori API legacy o funzioni di debug che rispondono a richieste dirette. Se un sistema dipende dall'autenticazione ma una rotta la aggira, uno strumento o un browser può accedere a dati o azioni senza altro exploit oltre alla scoperta dell'URL. I difensori riducono questo rischio con revisioni dei controlli di accesso, inventari degli endpoint, test di autenticazione e rimozione delle rotte inutilizzate.