La Push API è uno standard web che consente a un browser di ricevere messaggi per un sito anche quando la pagina è chiusa. Funziona con un servizio push e con l'autorizzazione di un utente iscritto, così un sito web può attivare in seguito una notifica o un aggiornamento senza mantenere aperta una connessione attiva.
Nel campo della sicurezza informatica, questa comodità può diventare un canale di consegna per abusi. I servizi legittimi la usano per avvisi, promemoria e prompt di sicurezza, ma gli attaccanti possono sfruttare la stessa autorizzazione per inviare notifiche fraudolente, falsi avvisi e link di phishing che sembrano affidabili perché arrivano tramite il browser. I difensori prestano attenzione a prompt di autorizzazione ingannevoli, revocano le iscrizioni abusive e applicano limiti di frequenza o controlli di reputazione per ridurre lo spam. La lezione chiave di sicurezza è che la Push API in sé non è malevola; il rischio deriva da come i siti richiedono e utilizzano l'iscrizione.