Spider Crawler DAST

Définition

Le Spider/Crawler DAST (araignée/robot d'exploration pour les tests DAST) est le composant de découverte automatique des ressources web dans les outils de Dynamic Application Security Testing. Avant de pouvoir tester une application, un scanner DAST doit d'abord explorer et cartographier l'ensemble de sa surface accessible — toutes les URLs, les formulaires, les paramètres, les endpoints API — pour savoir où injecter des payloads de test. Le Spider/Crawler est la phase de reconnaissance automatisée qui précède la phase de scan actif. Les Spiders DAST utilisent deux approches principales. Le Spider HTTP traditionnel suit les liens HTML (<a href>), soumet les formulaires (<form>), et analyse les headers HTTP (redirections) pour découvrir l'application de manière récursive. Cette approche est efficace pour les applications web classiques rendues côté serveur (pages HTML statiques ou templates serveur) mais manque la plupart des ressources des Single Page Applications (SPAs) qui sont chargées dynamiquement par JavaScript. Le Spider AJAX/JavaScript (également appelé DOM Crawler ou Browser-Based Spider) utilise un navigateur headless (Chrome/Chromium en mode headless) pour rendre l'application complète avec son JavaScript, découvrir les routes de routeur côté client (React Router, Angular Router, Vue Router), et détecter les appels API effectués par l'application. OWASP ZAP propose son AJAX Spider à cet effet, Arachni utilise son Browser Cluster Chromium, et d'autres outils comme Playwright peuvent être utilisés pour le crawling de SPAs complexes. La configuration du Spider DAST est critique pour l'efficacité et la sécurité du scan : la définition du scope (URLs incluses et exclues) évite de crawler des ressources hors-scope ou des liens externes, la configuration de l'authentification permet de crawler les zones protégées, et les paramètres de profondeur et de durée maximum évitent des explorations infinies sur les applications avec des boucles de navigation (calendriers, paginations infinies).