L'architettura senza stato è un modello di progettazione dei sistemi in cui ogni richiesta include tutto il contesto necessario per elaborarla in modo indipendente. Il server non si basa su uno stato di sessione nascosto proveniente da scambi precedenti, quindi qualsiasi istanza può gestire qualsiasi richiesta valida. Questo rende i sistemi più facili da scalare, riavviare e instradare tramite bilanciatori di carico o gateway.
Nella cyber security, l'assenza di stato cambia il modo in cui viene applicata la fiducia. Poiché il server non può presumere un contesto precedente, autenticazione, autorizzazione e integrità della richiesta devono essere verificate a ogni chiamata, spesso usando token firmati, asserzioni di identità e metadati di instradamento espliciti. Questo riduce alcuni rischi legati a sessioni lato server fragili, ma può anche crearne di nuovi se il contesto è incompleto, riproducibile o convalidato in modo diverso tra i servizi. Nelle difese reali, il design senza stato supporta la resilienza cloud-native; negli attacchi reali, può essere abusato quando un attaccante falsifica il contesto della richiesta, riproduce richieste valide o sfrutta un'applicazione incoerente delle policy tra componenti.