Mobile SAST, o analisi statica della sicurezza delle applicazioni mobili, analizza il codice sorgente di un'app mobile, le dipendenze e gli artefatti di build prima che l'app venga rilasciata. A differenza dei test in fase di esecuzione, non richiede che l'app sia in esecuzione. Cerca modelli di codice non sicuri come segreti hardcoded, crittografia debole, archiviazione insicura dei dati, rischi di injection e logiche di autenticazione o autorizzazione difettose nel codice Android o iOS.
Questo è importante perché le app mobili spesso gestiscono dati sensibili e si collegano direttamente alle API backend. Individuare i difetti in anticipo riduce il costo di correzione e aiuta i team a intercettare i problemi prima che gli attaccanti possano sfruttarli in produzione. In pratica, il Mobile SAST viene usato nelle pipeline CI/CD e nei flussi di lavoro di sviluppo sicuro, spesso mappato su standard come MASVS. È particolarmente efficace per la revisione a livello di codice, ma funziona meglio se combinato con test e protezioni in fase di esecuzione, poiché gli scanner non possono modellare completamente il comportamento dell'utente, la compromissione del dispositivo o la manomissione dopo il rilascio.