Avant de commencer les tests de sécurité, la compréhension de la structure de l'application est primordiale. Sans une compréhension approfondie de la mise en page de l'application, il est peu probable qu'il sera testé à fond.

En tests boîte noire il est extrêmement difficile de tester la base du code. Non seulement parce que le testeur n'a pas de vue sur les chemins de code grâce à l'application, mais même si c'était le cas, tester tous les chemins de code serait très coûteux en temps. Une façon de concilier cela est de documenter les chemins de code découverts et testés.

Il y a plusieurs façons d'aborder le test et de mesurer de couverture du code:

• Path – L'étude de chacun des chemins à travers une application qui comprend une analyse combinatoire et une analyse pour chaque trajet de décision. Bien que cette approche offre la minutie, le nombre de chemins testables croît de façon exponentielle avec chaque branche de décision.
• Flux de données (ou analyse des traces) - teste l'affectation de variables via une interaction externe (normalement utilisateur). Met l'accent sur la cartographie du flux, de la transformation et de l'utilisation des données dans une application.
• Race - teste la manipulation dees mêmes données dans plusieurs instances simultanées de l'application.

Le compromis quant à la méthode utilisée et à quel degré chaque méthode sera utilisée doit être négocié avec le propriétaire de l'application. Des approches plus simples pourraient également être adoptées, notamment en demandant au propriétaire quelles fonctions ou sections de code, les préoccupent particulièrement et comment ces segments de code peuvent être atteint.

Afin de déterminer la couverture du code le testeur peut commencer avec une feuille de calcul afin de documenter les liens découverts par une application spidering (manuellement ou automatiquement). Ensuite, le testeur peut regarder de plus près les points de décision dans l'application et déterminer combien de chemins de importants ont été découverts, les documenter dans le tableur avec des descriptions des URL, du texte et des captures d'écran des chemins de découvertes.

Assurer la couverture de code de l'application est beaucoup plus facile avec les approche boîte grise et blanche. Les renseignements demandés par et fournis au testeur permettent de s'assurer que les exigences minimales sur la couverture du code sont remplies.

1] http://en.wikipedia.org/wiki/Code_coverage

• Spidering (manuel ou assisté par logiciel)
• Tableur
• Logiciel de capture d'écran
• Logiciel de Diagrammes