DAST con OWASP ZAP

Probar la aplicación desplegada desde fuera para encontrar riesgos que solo aparecen durante la ejecución.

Qué cubre

DAST observa endpoints, headers, autenticación, sesiones y respuestas reales de la aplicación en ejecución.

OWASP ZAP puede ejecutar un baseline scan en entornos controlados y dejar evidencia como artefacto del pipeline.

Ejecutarlo después del deploy a Staging, con datos sintéticos, cuentas de prueba y una allowlist de endpoints.

Los escaneos activos deben aislarse y autorizarse: nunca apuntar contra producción sin un plan explícito.

Puede ser más lento e inestable que SAST y necesita autenticación, datos representativos y manejo de falsos positivos.

DAST encuentra síntomas; la corrección requiere rastrear el endpoint hasta el código, configuración o dependencia responsable.