Una Single-Page Application (SPA) è un'app web che carica una pagina principale una sola volta e poi aggiorna dinamicamente i contenuti nel browser, di solito con JavaScript e chiamate API in background. La navigazione, l'invio dei moduli e l'aggiornamento dei dati spesso avvengono senza un ricaricamento completo della pagina.
Le SPA sono importanti nella sicurezza informatica perché la logica effettiva dell'applicazione è suddivisa tra il browser e le API backend. Questo cambia il modo in cui scanner, tester e difensori osservano il sistema: gli strumenti più vecchi potrebbero non rilevare route, cambiamenti di stato o richieste che compaiono solo dopo il rendering lato client. Negli attacchi, le SPA possono esporre API deboli, una gestione insicura dei token o vulnerabilità lato client come XSS e controllo degli accessi non corretto. In difesa, i team di sicurezza testano l'app renderizzata, monitorano il traffico API, validano l'autorizzazione a ogni richiesta e usano strumenti DAST in grado di eseguire JavaScript e seguire i moderni flussi utente.