La scansione del codice sorgente è l'analisi automatizzata dei file sorgente di un programma per trovare vulnerabilità di sicurezza prima che il software venga distribuito. Può essere eseguita tramite regole di analisi statica, ricerca di pattern, tracciamento del flusso dei dati o revisione assistita dall'IA. A differenza del monitoraggio in esecuzione, esamina il codice stesso, quindi può segnalare i problemi nelle prime fasi dello sviluppo.
Questo è importante perché molte vulnerabilità gravi sono più facili da prevenire che da correggere in seguito. Gli scanner possono individuare segreti codificati in modo rigido, deserializzazione non sicura, percorsi di injection, bug di sicurezza della memoria e difetti logici prima che raggiungano la produzione. Nelle difese reali, la scansione del codice sorgente è integrata nelle pipeline CI/CD, così ogni commit viene controllato, i risultati vengono valutati e i duplicati vengono rimossi. Negli attacchi, gli attori delle minacce traggono vantaggio quando il software viene distribuito con difetti non rilevati; una scansione debole o risultati troppo rumorosi possono lasciare bug sfruttabili non scoperti. Una buona scansione riguarda quindi accuratezza, copertura e rapido passaggio alla revisione umana.