Nel man-in-the-middle l'attaccante si mette tra te e la destinazione e osserva – o altera – il traffico, mentre entrambe le parti credono di parlarsi direttamente. Le tecniche classiche: ARP spoofing sulla rete locale, un access point "evil twin" che imita il Wi-Fi del bar, il DNS avvelenato che ti manda dal server sbagliato.
La buona notizia: il TLS moderno ha ridimensionato il problema – con HTTPS ovunque e HSTS, l'attaccante in mezzo vede solo cifratura, e i tentativi di downgrade producono errori vistosi (che non vanno mai ignorati con un click su "continua comunque"). Restano esposti i protocolli in chiaro, le reti interne "fidate" e i certificati accettati alla leggera – e per le API machine-to-machine la cintura in più è il mutual TLS.