Un sito web statico è una normale pagina web persistente servita da un URL o da un host fisso. Il suo contenuto di solito cambia solo quando il proprietario aggiorna i file, quindi può essere indicizzato, scansionato, bloccato o rimosso con difese relativamente semplici. Poiché la pagina è stabile, i difensori possono costruire una reputazione del dominio, blocklist di URL e richieste di rimozione attorno ad essa.
Nelle attività di phishing, i siti web statici sono attraenti per gli aggressori quando vogliono una semplice pagina di raccolta credenziali che sembri legittima. Sono anche un punto debole, perché l'esca finale è facile da enumerare e più semplice da interrompere rispetto ai contenuti generati all'interno di una sessione del browser o nascosti dietro servizi cloud affidabili. Le difese moderne continuano a monitorare i siti web statici, ma cercano anche segnali in fase di esecuzione, reindirizzamenti insoliti, telemetria delle identità e comportamento del browser quando gli aggressori cercano di evitare una presenza web persistente.