SAST
Análise de segurança do código-fonte, sem executar o programa. Pega padrões comuns de vulnerabilidade.
SonarQube, Semgrep, CodeQL, Snyk Code. Integra-se ao CI/CD. Detecta, por exemplo, padrões de SQL injection, senhas fixas no código e APIs de criptografia inseguras. É complementada pelo DAST (com a aplicação rodando) e pelo pentest (feito por uma pessoa).