Un segreto codificato è una password, un token, una chiave API o una chiave crittografica scritta direttamente nel software invece di essere generata e memorizzata in un archivio sicuro dei segreti. Può essere nascosta nel codice sorgente, in un binario compilato o in un file di configurazione predefinito. Poiché il valore è fisso, chiunque estragga il codice, scarichi la memoria o faccia il reverse engineering dell'applicazione può recuperarlo.
Nella sicurezza informatica, i segreti codificati sono pericolosi perché fanno crollare il modello di fiducia: un solo segreto compromesso può esporre molti sistemi, soprattutto quando lo stesso valore viene riutilizzato tra installazioni diverse. Gli attaccanti cercano spesso chiavi di firma JWT incorporate, credenziali di database o chiavi di accesso cloud per falsificare token, accedere come utenti privilegiati o raggiungere funzioni di gestione. I difensori riducono questo rischio generando segreti univoci per ogni distribuzione, memorizzandoli in un vault o in un servizio supportato da hardware, ruotandoli regolarmente e invalidando i vecchi token e le vecchie credenziali dopo una correzione.