Il web pentesting, o test di penetrazione delle applicazioni web, è il test autorizzato di siti web e app web per individuare punti deboli di sicurezza prima che lo facciano i veri attaccanti. Un pentester si comporta come un avversario, ma entro un ambito concordato: analizza i flussi di accesso, la gestione delle sessioni, la validazione degli input, i controlli di accesso e la logica di business alla ricerca di vulnerabilità come SQL injection, cross-site scripting, autenticazione compromessa e accesso diretto insicuro agli oggetti.
Questo è importante perché le applicazioni web sono una superficie di attacco comune e spesso espongono dati sensibili o transazioni critiche. In difesa, il web pentesting aiuta i team a verificare i controlli di sicurezza, dare priorità alle correzioni e misurare se le patch chiudano davvero il divario. In pratica, combina controlli automatizzati con un'attenta revisione manuale, poiché molti problemi gravi emergono solo quando un tester manipola le richieste, riutilizza i token o concatena piccoli punti deboli in una compromissione più ampia. Un buon web pentesting è controllato, documentato e ripetibile.