Le credenziali statiche sono dettagli di accesso fissi, come una coppia nome utente/password o un token condiviso, che non vengono ruotati automaticamente. Poiché restano validi finché qualcuno non li modifica, creano un percorso di accesso persistente che può essere riutilizzato dagli attaccanti se viene esposto, indovinato, riutilizzato tra sistemi o catturato da log, codice o backup.
Nella sicurezza informatica, le credenziali statiche sono rischiose su portali di amministrazione, piani di gestione, VPN e account di servizio perché possono concedere accesso duraturo a sistemi di alto valore. Gli attaccanti spesso le cercano in file di configurazione, script, variabili CI/CD, immagini e documentazione, quindi le usano per l'accesso iniziale o per il movimento laterale. I difensori riducono il rischio sostituendo i secret statici con credenziali a breve durata, imponendo l'MFA, ruotando regolarmente i secret, conservandoli in un secrets manager e limitando dove possono essere usati gli accessi privilegiati.