Una chiave di firma è un segreto usato per generare o verificare firme crittografiche su URL pre-firmati e token di accesso simili. Nei sistemi di condivisione file e nelle API, il server firma una richiesta o un link così da poter confermare in seguito che la richiesta è stata creata da una parte autorizzata e non è stata alterata. Se la chiave di firma è debole, mancante o trapelata, gli attaccanti possono falsificare URL fidati o aggirare i normali controlli di autenticazione.
Questo è importante perché i link firmati spesso concedono accesso diretto a file, download o azioni WebDAV senza un flusso di accesso completo. Chi difende dovrebbe archiviare la chiave in modo sicuro, ruotarla quando si sospetta un'esposizione e assicurarsi che tutti i nodi usino lo stesso segreto valido. Negli attacchi, una configurazione errata della chiave di firma può trasformare un URL apparentemente innocuo in accesso non autorizzato in lettura, scrittura o eliminazione. Nella difesa, una gestione forte delle chiavi e un attento esame dei log aiutano a rilevare l'abuso di richieste pre-firmate.