SAST (analyse statique)
SAST · Static Application Security Testing · analyse statique · analyse de code source · revue de code automatisée · test en boîte blanche
Analyse automatique du code source d’une application, sans l’exécuter, pour y repérer des failles de sécurité avant la mise en production.
En pratique
L’outil lit le code et suit le cheminement des données pour signaler, par exemple, une requête SQL construite avec une saisie de l’utilisateur, un algorithme cryptographique obsolète ou un mot de passe écrit en dur. Branché sur l’éditeur du développeur et sur la chaîne CI/CD, il permet de corriger au moment où le code est écrit, quand c’est le moins cher. Ses limites : des faux positifs à trier, et un angle mort sur tout ce qui dépend de l’exécution (configuration, comportement réel de l’authentification). On le combine donc avec le DAST et la SCA.
Cas fictif : dans une demande de fusion, l’analyse statique signale qu’un paramètre d’URL arrive tel quel dans une requête SQL. Le développeur passe à une requête paramétrée avant même la revue de code : la faille n’atteint jamais la production.
Comment s’en protéger
- Lancer l’analyse à chaque demande de fusion, pas une fois par an.
- Ne bloquer d’abord que sur les alertes critiques, puis durcir progressivement.
- Ajuster les règles pour limiter les faux positifs et garder la confiance des développeurs.
