Le credenziali lato server sono segreti archiviati o utilizzati su un server, come password, token di sessione, credenziali di accesso ai database, chiavi API o chiavi di accesso al cloud. Devono rimanere nascosti agli utenti e al codice del browser, perché chiunque li ottenga può spesso agire con i privilegi del server.
Nella sicurezza informatica, queste credenziali sono importanti perché rappresentano obiettivi di alto valore per la raccolta di credenziali, le fughe di configurazione e i file esposti. Gli aggressori le cercano nelle impostazioni delle applicazioni, nei file di backup, nei log, negli artefatti di distribuzione e nelle pagine generate dal server. Se un segreto viene riutilizzato o ha lunga durata, può fornire accesso diretto all'infrastruttura, ai dati o ai servizi di terze parti senza dover infrangere la crittografia o aggirare l'autenticazione.
Le difese si concentrano sulla riduzione dell'esposizione: archiviare i segreti in vault dedicati, usare token a breve durata quando possibile, ruotare regolarmente le chiavi e impedire che i file sensibili siano accessibili via web. Il monitoraggio delle credenziali trapelate e la loro revoca rapida possono limitare i danni quando viene scoperto un segreto lato server.