DAST
Testowanie bezpieczeństwa działającej aplikacji — wysyłasz złośliwe dane i patrzysz, co się stanie.
Narzędzia: OWASP ZAP, Burp Suite, Acunetix. Znajduje XSS, SQL injection, odsłonięte panele administracyjne. Różni się od SAST (analizy kodu źródłowego). To uzupełnienie, a nie zamiennik — obie metody wyłapują inne klasy błędów.