Что это: Метод анализа работающего веб-приложения извне, без доступа к исходному коду ("черный ящик"). Сканер имитирует действия злоумышленника, отправляя различные запросы и анализируя ответы.

Как работает: Сканер начинает с карты сайта (crawling), затем проводит активное тестирование (fuzzing) параметров, заголовков, форм на наличие уязвимостей из OWASP Top 10 (инъекции, XSS, SSRF, небезопасная конфигурация и т.д.).

Плюсы: Находит реально эксплуатируемые уязвимости, видит приложение "как есть" (со всеми конфигурациями и зависимостями), низкий уровень ложноположительных срабатываний для найденных проблем.

Минусы: Запускается поздно (требует собранного и развернутого приложения), проверяет только доступные эндпоинты, может быть медленным, не видит корневую причину в коде.

Примеры инструментов: OWASP ZAP (открытый, очень популярен), Burp Suite (профессиональный), Acunetix, Nessus.

Когда использовать: На staging-окружении после успешного деплоя. Часто интегрируется в CD-пайплайн.