Le SAST (Static Application Security Testing) et le DAST (Dynamic Application Security Testing) sont les deux grandes familles de tests automatisés de sécurité applicative : le premier analyse le code sans l'exécuter, le second attaque l'application pendant qu'elle tourne.
Le SAST lit le code source pour repérer des failles connues (injection SQL, XSS, secrets écrits en dur, mauvaise cryptographie). Il s'intègre dans la CI et signale les problèmes avant la mise en production. Outils : Semgrep, SonarQube, GitHub CodeQL, Snyk Code, Checkmarx.
Le DAST teste l'application déployée depuis l'extérieur, comme un attaquant : il envoie des requêtes piégées et observe les réponses. Il trouve des problèmes invisibles dans le code (configuration, authentification). Outils : OWASP ZAP, Burp Suite, Acunetix.
Les deux se complètent, avec l'analyse des dépendances (SCA), des conteneurs et de l'infrastructure as code.
Pourquoi ça compte quand on recrute
Installer un scanner est facile ; le rendre utile l'est beaucoup moins. Un bon AppSec Engineer sait réduire les faux positifs, prioriser les alertes et faire corriger les failles par les développeurs sans bloquer les livraisons. Demandez au candidat comment il a fait adopter ces outils par les équipes, et quel taux de faux positifs il jugeait acceptable.