Static Application Security Testing, o SAST, è un metodo per esaminare il codice sorgente, il bytecode o altri artefatti dell'applicazione prima dell'esecuzione del software. Cerca modelli non sicuri come rischi di injection, gestione non sicura degli input, segreti codificati nell'applicazione e difetti logici che possono essere individuati tramite analisi anziché esecuzione. Poiché viene eseguito nelle prime fasi del ciclo di sviluppo, SAST aiuta i team a individuare i problemi prima del rilascio, quando le correzioni sono meno costose e più facili da verificare.
SAST è importante nella cyber security perché gli attaccanti spesso sfruttano debolezze presenti nel codice molto prima della distribuzione. In ambito difensivo, viene utilizzato nelle pipeline di build, nei flussi di revisione del codice e negli strumenti per sviluppatori per evidenziare automaticamente i rischi. Il suo valore dipende dalla qualità del segnale: troppi falsi positivi generano affaticamento da alert, mentre una copertura debole può non rilevare problemi reali. Programmi SAST efficaci usano tuning, triage e integrazione nei flussi di lavoro, così i team possono concentrarsi sulle segnalazioni che sono effettivamente raggiungibili e meritano di essere corrette.