Невід’ємною частиною комплексного тестування є тестування безпеки веб-додатків або сайту. Це тестування спрямоване на виявлення шляхів злому системи, оцінку захищеності веб-додатків або сайту та аналіз ризиків, пов’язаних з підходом до захисту від зломщиків і доступу до конфіденційних даних. Базуючись на принципах конфіденційності, доступності та цілісності, послуга тестування безпеки допомагає забезпечити збереження даних, облікових записів, доступу користувачів і з’єднань. Оцінюючи потенційну вразливість компонентів системи під час тестування безпеки, команда QA-інженерів перевіряє реальну реакцію механізмів захисту програмного забезпечення та пропонує комплекс заходів для підвищення рівня захисту веб-додатків від несанкціонованих дій. Всі основні вимоги до безпеки веб-додатків повинні бути перевірені і застосовані, щоб тестувальники могли зафіксувати список зауважень і дефектів з градацією критичності вразливостей. Як правило, перевіряються наступні характеристики:
Контроль доступу. Виявляє проблеми, пов’язані з доступом неавторизованих користувачів до інформації та функцій відповідно до їхньої ролі. Тестування конфігурації рольової моделі. Аутентифікація. Дозволяє переконатися у відсутності можливості обійти процес реєстрації та авторизації; аутентифікація також допомагає забезпечити коректність управління даними користувачів і виключити можливість отримання інформації про зареєстрованих користувачів та їх облікові дані. Валідація вхідних значень. Використовується для перевірки алгоритмів обробки даних, у тому числі недостовірних значень перед тим, як додаток буде до них звертатися.
Криптографія. Розкриває проблеми, пов’язані з шифруванням, дешифруванням, підписом і перевіркою автентичності, в тому числі на рівні мережевих протоколів, роботи з тимчасовими файлами і cookies. Механізм обробки помилок. Включає в себе перевірку системних помилок програми на відсутність факту розкриття інформації про внутрішні механізми безпеки (наприклад, шляхом демонстрації винятків і програмного коду). Конфігурація сервера. Перевірка багатопотокових процесів на наявність помилок, пов’язаних з доступністю значень змінних для спільного використання з іншими додатками та запитами. Інтеграція із зовнішніми сервісами. Дозволяє забезпечити неможливість маніпуляцій з даними, що передаються між додатком і зовнішніми компонентами (наприклад, платіжними системами або соціальними мережами). Перевірка стійкості до Dos/DDos-атак. Перевіряє здатність додатку обробляти незаплановані високі навантаження та великі обсяги даних, які можуть бути спрямовані на знищення додатку.