Il test black-box è un test di sicurezza eseguito senza accesso al codice sorgente, ai documenti di progettazione o ai dettagli interni del sistema. Il tester interagisce con l'applicazione nello stesso modo in cui lo farebbe un utente esterno o un attaccante: inviando richieste, osservando le risposte ed esplorando il comportamento.
Questo è importante perché molte vulnerabilità emergono solo nell'esecuzione reale, come autenticazione compromessa, difetti di convalida degli input, errori logici o controlli di accesso configurati in modo errato. Il test black-box è comune nei penetration test, nelle valutazioni di applicazioni web e nelle attività di bug bounty, dove l'obiettivo è scoprire dall'esterno problemi sfruttabili. È utile anche come difesa perché misura ciò che un attaccante può realmente raggiungere, non solo ciò che una revisione del codice suggerisce possa essere presente. Tuttavia, può perdere debolezze nascoste in percorsi di codice non raggiungibili o in confini di fiducia interni, quindi viene spesso affiancato alla revisione del codice sorgente e ad altri metodi white-box per una copertura migliore.