Un segreto del client è una credenziale privata usata da un'applicazione per dimostrare la propria identità durante i flussi di autenticazione, in particolare in OAuth e in altri sistemi di accesso delegato. Di solito viene emesso insieme a un ID client, ma a differenza dell'ID, il segreto deve rimanere riservato.
La sicurezza è importante perché un segreto del client divulgato può consentire a un attaccante di impersonare l'app, richiedere token di accesso o abusare delle API nell'ambito delle autorizzazioni già concesse a quell'integrazione. Negli attacchi reali, i segreti rubati vengono spesso usati per estrarre dati in modo discreto attraverso canali legittimi, facendo sembrare l'attività normale traffico dell'applicazione. I difensori riducono questo rischio memorizzando i segreti al di fuori del codice sorgente, ruotandoli regolarmente, limitando gli scope dell'app, monitorando l'uso delle API per individuare pattern insoliti e revocando rapidamente le credenziali quando si sospetta una compromissione.