Una richiesta HTTP costruita è una richiesta web deliberatamente realizzata per far sì che un server, un proxy o un'interfaccia di gestione si comportino in modo inatteso. Gli aggressori modellano intestazioni, parametri, percorsi, cookie o la codifica in modo che il parser di destinazione veda qualcosa di diverso da ciò che si aspetta un difensore. Questo può esporre bug logici, errori di controllo degli accessi, problemi di request smuggling o bypass dell'autenticazione.
Nella sicurezza informatica, le richieste costruite sono importanti perché molti attacchi iniziano con un singolo scambio HTTP che verifica come un sistema gestisce i casi limite. Sono comuni nella ricerca di vulnerabilità, nello sviluppo di exploit e nei test di penetrazione, dove input insoliti vengono usati per attivare percorsi di codice nascosti o rivelare validazioni incoerenti. I difensori cercano questi schemi nei log, negli avvisi del WAF e nelle tracce del reverse proxy, soprattutto quando sono raggiungibili interfacce di gestione o altri endpoint web di alto valore. Normalizzare gli input, convalidare le richieste in modo coerente e limitare l'esposizione riducono il rischio.