L'autenticazione senza segreti è un modello di accesso per servizi e workload che evita di incorporare password di lunga durata, chiavi API o altre credenziali statiche all'interno del codice applicativo, dei container o delle macchine virtuali. Al loro posto, il workload dimostra la propria identità a runtime usando credenziali a breve durata, identità della macchina, certificati, token o segnali attestati dalla piattaforma. Questo è importante perché i segreti statici sono facili da copiare, esporre, riutilizzare e dimenticare di revocare.
Negli ambienti reali, l'autenticazione senza segreti riduce il raggio d'azione del furto di credenziali e aiuta i team a ruotare la fiducia in modo più pulito. Gli attaccanti spesso prendono di mira segreti hardcoded in repository di codice sorgente, file di configurazione o variabili d'ambiente, perché tali segreti possono sbloccare database, servizi cloud e API interne. I difensori usano i modelli senza segreti per rimuovere questi bersagli ad alto valore e per applicare policy più forti a livello di identità. Il modello è più efficace quando è affiancato da controlli sul ciclo di vita, attestazione e autorizzazione rigorosa, così un workload può autenticarsi senza mai memorizzare un segreto riutilizzabile.