DAST (analyse dynamique)
DAST · Dynamic Application Security Testing · analyse dynamique · scanner de vulnérabilités web · test en boîte noire
Test automatique d’une application en fonctionnement, qui lui envoie des requêtes comme le ferait un attaquant pour observer ses réactions et détecter des failles exploitables.
En pratique
Le scanner explore les pages et les API, glisse des valeurs piégées dans les champs et analyse les réponses : message d’erreur trop bavard, script renvoyé tel quel, en-têtes de sécurité absents. Comme il n’a pas besoin du code source, il convient aussi aux applications achetées ou anciennes. Il voit ce que l’analyse statique ignore (configuration du serveur, cookies, TLS), mais n’indique pas la ligne de code fautive. On le lance sur une préproduction, ou en production seulement avec un périmètre et une autorisation écrits, car certains tests créent des données ou ralentissent le service.
Cas fictif : avant l’ouverture d’un portail client, un scan dynamique de la préproduction montre qu’une page de recherche renvoie le texte saisi sans le neutraliser, ce qui permet une attaque XSS. Le correctif est livré avant la mise en ligne.
Comment s’en protéger
- Scanner chaque version en préproduction, avec des comptes de test.
- Couvrir les API, pas seulement les pages visibles.
- Faire valider les constats par un humain avant de les classer.
