I file di configurazione privati sono file dell'applicazione o del server che memorizzano impostazioni sensibili come token API, credenziali cloud, password dei database, variabili d'ambiente e chiavi private. Devono rimanere sull'host, non essere esposti tramite un percorso web pubblico né scaricabili da un browser.
Sono importanti perché gli aggressori spesso li cercano per primi: un file .env esposto, un file di credenziali o una configurazione di backup può rivelare l'accesso diretto a servizi cloud, sistemi interni o pannelli di amministrazione senza dover sfruttare il codice. Negli attacchi reali, gli scanner sondano posizioni e nomi di file comuni alla ricerca di segreti leggibili. I difensori riducono il rischio mantenendo i file segreti fuori dalla web root, usando autorizzazioni dei file rigorose, ruotando le credenziali e sostituendo i segreti a lunga durata con segreti temporanei con ambito ristretto. Impedire l'accesso web a questi file è un controllo di base ma critico.