Lo stato di sicurezza persistente è qualsiasi impostazione, segreto o decisione di attendibilità legata alla sicurezza che rimane associata a un client, a una sessione o a un handle dopo il termine di una richiesta. In strumenti come client HTTP e librerie, ciò può includere intestazioni di autenticazione, credenziali proxy, stato dei cookie, regole di reindirizzamento o altri flag che influenzano il modo in cui viene gestita la richiesta successiva.
È importante perché uno stato non azzerato nel momento giusto può attraversare un confine di fiducia. Un'applicazione può riutilizzare una connessione o un oggetto di trasferimento per un host diverso e inviare accidentalmente credenziali o impostazioni privilegiate alla destinazione sbagliata. Gli attaccanti cercano questo tipo di errore per provocare fuga di credenziali, confusione nelle richieste o accessi non intenzionali. I difensori riducono il rischio reimpostando gli handle, isolando le sessioni, limitando rigorosamente l'ambito delle credenziali e testando i percorsi di riutilizzo con la stessa attenzione riservata alle nuove connessioni.