Votre application testée comme l'attaquerait un pirate
Un pirate n'a pas accès à votre code : il observe votre application en ligne, et l'attaque. Le scan DAST fait la même chose, avec l'outil open source ZAP, sur chacun des sites de votre application.
Chaque point relevé est présenté site par site, avec les pages où il a été constaté.
Rapport de sécurité applicative
Votre application
Intégration · 4 août 2026
apiÀ corriger
Analyse passiveen-têtes, cookies et contenu des pages, observés sans les modifier
1 Haute1 Moyenne1 Faible
Analyse activeinjections, contournements et configuration du serveur, éprouvés par requête
1 Moyenne
Ce que montre le rapport
Des constats précis, pas une liste de bruit
Observer, puis attaquer
ZAP parcourt chaque site de votre application. Il observe d'abord ses réponses sans les modifier : en-têtes de sécurité, cookies, contenu des pages. Puis il l'éprouve par des requêtes, comme le ferait un pirate : injections, contournements, configuration du serveur.
Le rapport sépare ces deux familles, pour chaque site : l'administration, l'espace client, l'API.
Rapport de sécurité applicative
Votre application
adminÀ corriger
Analyse passive
2 Moyenne3 Faible
Analyse active
1 Moyenne
compteRien à corriger
Chaque point, les pages où il a été constaté
Un point est nommé en français, avec sa gravité et sa référence CWE, le type de faiblesse dont il relève. Il liste les pages où il a été constaté, avec l'extrait de la réponse qui le prouve : votre développeur sait où agir.
Rapport de sécurité applicative
Votre application
MoyenneFormulaire sans jeton anti-CSRF
- Référence
CWE-352- Type
- Analyse passive
- Pages
- 2
GET https://admin.exemple.fr/login<form action="/login_check" method="post">
Un site qui n'a pas répondu ne prouve rien
Si ZAP n'a pu parcourir aucune page d'un site, l'absence de point n'y prouve rien. Le site est affiché en échec, avec sa raison, plutôt que « rien à corriger ».
Les simples observations et les faux positifs écartés par ZAP ne sont pas présentés : ils noieraient ce qui compte.
Rapport de sécurité applicative
Votre application
downloadÉchec du scan
Le déroulé
Du scan à la correction
- 1
Scan
ZAP est lancé sur l'environnement choisi, intégration, recette ou production, à la fréquence convenue ou à la demande.
- 2
Rapport
Le résultat est importé dans la plateforme : un rapport par scan, site par site, en français.
- 3
Correction
L'équipe corrige les points relevés, en commençant par les plus graves.
- 4
Nouveau scan
Un nouveau scan montre la disparition des points corrigés. Chaque scan se lit pour lui-même.
Les outils
Les technologies derrière ce rapport
Scan DAST
ZAP
Le scanner de sécurité web open source de référence. Il observe puis éprouve chaque site de votre application, comme le ferait un attaquant.
Scan DAST
Nos règles et notre catalogue
Des règles maison ajoutées à celles de ZAP, et un catalogue qui nomme chaque point en français, complété à chaque nouvelle règle.
Environnements
Docker
Les analyses tournent dans des environnements isolés et jetables : chaque scan part d'un état propre, sans rien toucher à votre application.
Questions fréquentes
- Quelle différence avec le rapport des dépendances ?
- Le rapport des dépendances lit le code : les bibliothèques et leurs failles connues. Le scan DAST ne voit pas le code : il teste l'application en ligne, comme un visiteur malveillant. Les deux se complètent.
- Le scan peut-il perturber mon application ?
- L'analyse active envoie de vraies requêtes. C'est pourquoi l'environnement visé est choisi à chaque scan : intégration ou recette de préférence, avant la production.
- Que veut dire CWE ?
- C'est la référence publique d'un type de faiblesse, comme l'absence de protection d'un formulaire. Nous l'expliquons sur smartbooster.io : CVE, CWE, CVSS, et les grandes familles de failles web dans l'OWASP Top 10.
Ce que vous aimeriez vérifier sur votre application en ligne
Dites-nous ce qui vous manque pour suivre la sécurité de vos logiciels : vos besoins orientent les prochains outils de la plateforme.