SAST : analyser sans exécuter
L’analyse statique recherche des motifs risqués dans le code et la configuration. Elle intervient tôt, localise les zones concernées mais peut manquer le comportement réel du déploiement.
DAST : tester depuis l’extérieur
Le test dynamique interagit avec une application en fonctionnement. Il voit la surface réellement exposée mais comprend moins bien les chemins internes qui ne sont pas atteints pendant l’exploration.
SCA : connaître les briques utilisées
L’analyse de composition logicielle relie les dépendances et leurs versions aux vulnérabilités publiques. Elle exige encore une interprétation du contexte pour savoir si la fonctionnalité vulnérable est utilisée.
Pourquoi les réunir
Un signal devient plus utile lorsqu’il est confirmé par plusieurs angles. Une bibliothèque vulnérable, un appel dans le code et un service exposé forment une priorité plus crédible qu’une correspondance de version isolée.