ZAP : scanner DAST en blackbox

Non, et la question revient souvent parce que le nom « OWASP ZAP » est resté dans les recherches. ZAP a été un projet OWASP de 2010 à 2023, a rejoint en août 2023 la Software Security Project de la Linux Foundation, puis Checkmarx en septembre 2024, qui emploie les responsables du projet. Il s'appelle désormais « ZAP by Checkmarx », reste open source sous licence Apache 2 et sous le contrôle de son équipe cœur. Rien n'a changé pour l'utilisateur.

L'analyse statique lit le code sans l'exécuter : PHPStan pour les types, Psalm pour les flux de données, composer audit pour les CVE. Le DAST teste l'application déployée depuis l'extérieur, sans voir le code. Les deux ne se remplacent pas : le SAST voit du code jamais atteint par le crawler, le DAST voit la configuration du serveur et le comportement réel. Une vulnérabilité observée en conditions réelles se priorise beaucoup plus facilement qu'un risque théorique.

Le scan passif, oui : il ne fait qu'observer des réponses à des requêtes GET. Le scan actif, jamais. Il soumet les formulaires, injecte des charges et déclenche des traitements. Nos commandes le réservent à un environnement jetable en local, ou à l'environnement d'intégration en CI. Sur un hébergement infogéré ou mutualisé, on prévient aussi l'hébergeur : vu depuis un pare-feu applicatif, un scan ressemble beaucoup à une attaque.

Oui, écrite, avec un périmètre et une fenêtre. Un scan actif est un test intrusif : l'article 323-1 du Code pénal punit l'accès frauduleux à un système, et l'article 323-7 punit la tentative des mêmes peines. Sur nos projets, l'accord du client fait partie du cadrage, avant le premier lancement, en même temps que le périmètre et le seuil de blocage.

En blackbox, ZAP n'a pas d'identifiants et ne voit que la partie publique. Sur un back-office Symfony, c'est-à-dire l'essentiel de ce que nous construisons, cela revient à scanner la page de connexion et les routes publiques. Nos scans sont en blackbox par défaut. Un scan authentifié (Greybox) peut couvrir le reste, avec un contexte ZAP et un compte de test, mais d'expérience le temps passé surce sujet serait mieux employé avec une prestation complémentaire de PenTest réel.

Oui, comme tout scanner. Sur l'analyse de ce site, quatre avertissements sur onze du premier rapport remontait des faux positifs dont une avec la plus haute sévérité. L'important n'est pas le taux d'erreur mais plutôt ce que l'on peut en faire : chaque alerte ZAP porte un identifiant stable et un niveau de confiance, on la qualifie à la main puis on l'écarte sur une URL précise avec un motif écrit ce qui permet de ne plus la voir remonter au prochain scan.

Nous l'avons évalué et mesuré sur notre propre build (Voir l'article complet sur notre blog). Ce que Nuclei trouve, nous le savons déjà : le fuzzing recoupe le scan actif de ZAP, la sonde de chemins connus recoupe Forced Browse, les CVE par empreinte recoupent composer audit et OSV-Scanner. Nuclei est fait pour regarder une cible de l'extérieur sans en connaître le code ce qui n'est pas notre cas sur nos projets. Nous l'utilisons à l'occasion sur un audit d'ancien projet php hors Symfony