Lo stato predefinito è l'impostazione che una funzionalità ha prima che un utente la modifichi. Nella sicurezza, quel punto di partenza conta perché la maggior parte delle persone non apre mai i menu avanzati né rivede un'impostazione dopo l'installazione. Se una protezione è disattivata per impostazione predefinita, spesso rimane inutilizzata anche quando potrebbe ridurre il rischio.
Gli aggressori traggono vantaggio quando restano in vigore impostazioni predefinite insicure, come condivisione ampia, opzioni di privacy deboli o esposizione di rete non necessaria. I difensori cercano di rendere gli stati predefiniti più sicuri lo standard, in modo che la protezione sia attiva immediatamente, senza richiedere altre azioni. In pratica, lo stato predefinito può decidere se un controllo è solo disponibile oppure realmente efficace. Una funzionalità come il blocco degli annunci, i prompt di autenticazione multifattore o la registrazione dei log può esistere, ma se non è abilitata per impostazione predefinita, il suo impatto nel mondo reale dipende dalla consapevolezza dell'utente e dalla sua capacità di portare a termine la configurazione.