Il codice lato client è la logica software che viene eseguita sul dispositivo dell'utente, come un telefono, un browser o un'app desktop, invece che su un server remoto. Gestisce attività come il rendering delle pagine, la convalida dell'input, l'archiviazione dello stato locale e la risposta alle azioni dell'utente. In termini di sicurezza, il comportamento lato client è importante perché il dispositivo diventa parte del perimetro di fiducia: tutto ciò che vi viene eseguito può essere ispezionato, modificato o abusato da un attaccante che abbia il controllo dell'endpoint.
Gli attaccanti spesso prendono di mira il codice lato client con script malevoli, app manomesse o pagine di phishing che sfruttano una convalida debole e assunzioni non sicure. Anche i difensori si affidano alla logica lato client per controlli di sicurezza come il filtraggio dell'input, le verifiche dei certificati, il sandboxing e le richieste locali di autorizzazione, ma questi controlli devono essere supportati da una verifica lato server. Nei flussi di lavoro delle app mobili, un percorso di build solo lato client di solito significa che l'app è leggera e dipende meno dai servizi backend, il che può ridurre la complessità ma non elimina la necessità di verificare origine, firma e autorizzazioni.