Una credenziale-esca è un nome utente e una password, una chiave o un altro segreto di accesso sintetici, collocati in un luogo in cui un intruso potrebbe trovarli. Non è destinata all'accesso legittimo; il suo utilizzo dovrebbe generare un avviso, fungendo da segnale di rilevamento basato sull'inganno.
Poiché gli utenti autorizzati e i processi di routine non dovrebbero aver bisogno della credenziale, un tentativo di utilizzo può indicare che la credenziale è stata individuata o che qualcuno sta cercando di accedere a un sistema. I difensori dovrebbero tenere le credenziali-esca fuori dai flussi di lavoro normali, documentarne il posizionamento e verificare gli avvisi confrontandoli con la telemetria di identità, endpoint e rete. Un avviso relativo a una credenziale-esca può essere un segnale significativo, ma da solo non dimostra la portata di un'intrusione, e credenziali-esca gestite male possono generare avvisi legittimi.