DAST (Dynamic Application Security Testing)

Définition

Le DAST (Dynamic Application Security Testing) est une méthode de test de sécurité applicative consistant à analyser une application en cours d'exécution réelle, en boîte noire, sans accès ni connaissance du code source sous-jacent, en simulant le comportement d'un attaquant externe interagissant avec l'application exposée via ses interfaces normales (formulaires web, API, paramètres d'URL). L'outil DAST explore automatiquement l'application (crawling) pour cartographier ses points d'entrée accessibles, puis injecte systématiquement des payloads malveillants connus dans chacun de ces points pour observer la réaction du système et détecter les vulnérabilités effectivement exploitables : injections SQL, XSS réfléchi ou stocké, SSRF (Server-Side Request Forgery) permettant de forcer le serveur à effectuer des requêtes vers des ressources internes non exposées, ou mauvaises configurations de sécurité visibles depuis l'extérieur comme des en-têtes HTTP de sécurité manquants. Contrairement au SAST, qui intervient plus tôt dans le cycle de développement sur le code statique et peut détecter des vulnérabilités théoriques jamais réellement atteignables à l'exécution, le DAST teste des conditions réelles et génère donc généralement moins de faux positifs, au prix d'une intervention plus tardive dans le pipeline, nécessitant une application déployée et fonctionnelle. Des outils comme OWASP ZAP, Burp Suite ou Acunetix dominent ce segment, le DAST étant fréquemment combiné au SAST et au SCA pour une couverture complète du cycle de développement logiciel sécurisé.