Un segreto di autenticazione è materiale sensibile che dimostra che un utente, un servizio o un dispositivo è autorizzato ad agire come un'identità fidata. Esempi comuni includono password, token di sessione, chiavi API, chiavi private di firma e token di aggiornamento. Di solito questi valori devono rimanere nascosti agli aggressori e agli utenti ordinari.
Nella sicurezza informatica, i segreti di autenticazione sono importanti perché il furto di uno di essi può aggirare il normale processo di accesso. Un aggressore che cattura un token valido o una chiave di firma può impersonare un account, creare sessioni false, accedere a caselle di posta o API, oppure prolungare l'accesso dopo la modifica di una password. I difensori proteggono questi segreti con la crittografia a riposo, autorizzazioni rigorose sui file, archiviazione delle chiavi supportata dall'hardware, tempi di vita brevi dei token, rotazione e un'attenta revisione dei log. Se un server viene compromesso, gli investigatori cercano letture insolite di file chiave, archivi di token o database di autenticazione perché il furto di segreti spesso trasforma una singola intrusione in una vasta compromissione degli account.