I feature flags sono interruttori nel codice dell'applicazione o in un servizio di configurazione che consentono ai team di distribuire il software separatamente dalla sua esposizione agli utenti. Un flag può mantenere nascosta una nuova funzione, abilitarla per un piccolo gruppo oppure attivarla solo in produzione per account, regioni o ruoli specifici.
Nella sicurezza informatica, i feature flags sono importanti perché riducono il rischio del rilascio e limitano l'impatto degli errori. I team possono distribuire il codice dietro un flag disattivato, testarlo in sicurezza e ripristinarlo immediatamente attivando un controllo invece di eseguire una nuova distribuzione. Supportano inoltre rollout graduali e test A/B, che aiutano a rilevare regressioni nell'autenticazione, nel controllo degli accessi, nella registrazione o nell'isolamento multi-tenant prima dell'esposizione completa. Il rischio per la sicurezza è che i flag stessi diventino controlli privilegiati: se gli aggressori possono modificarli, potrebbero sbloccare funzionalità non ancora complete, aggirare i controlli o esporre percorsi sensibili. Una buona pratica consiste nel proteggere la gestione dei flag con un controllo degli accessi rigoroso, registri di audit e la rimozione dei flag obsoleti.