Il User-Agent è un'intestazione di richiesta HTTP che indica a un server quale client sta effettuando la richiesta, ad esempio un browser, uno script o un crawler. Spesso include il nome dell'applicazione, la versione e il sistema operativo, ma il valore è dichiarato dal client stesso e non verificato dalla rete.
Questo rende il User-Agent utile per la registrazione e la compatibilità, ma debole come segnale di fiducia. Gli attaccanti possono falsificarlo per impersonare browser legittimi o bot noti, nascondere l'automazione o aggirare semplici filtri che si basano solo sulle stringhe dell'intestazione. Negli attacchi reali, valori di User-Agent falsificati vengono spesso usati durante scansioni di ricognizione per individuare file esposti, credenziali, chiavi cloud e altri segreti. I difensori dovrebbero considerare l'intestazione come indicativa, non come prova, e convalidare l'identità con controlli più forti come allowlist di indirizzi IP di origine, controlli reverse DNS, segnali TLS o di provenienza dei bot, limitazione della velocità e controlli di accesso ai contenuti. Una buona igiene dei segreti riduce anche l'impatto se una scansione raggiunge percorsi sensibili.