Рейтинг российских SAST/DAST-решений 2026: PT, Solar, Стингрей
Анализ исходного кода (SAST) и динамическое тестирование приложений (DAST) перестали быть нишей: безопасная разработка вошла в требования регуляторов, а после ухода Checkmarx, Fortify и Veracode рынок инструментов AppSec в России пересобрался на отечественных продуктах. К 2026 году несколько российских SAST/DAST-решений вышли на корпоративный уровень, но различаются по числу поддерживаемых языков, глубине анализа, доле ложных срабатываний и встраиваемости в CI/CD. **Если коротко:** «рейтинг» SAST/DAST не сводится к одному месту в таблице — он зависит от вашего стека, модели угроз и зрелости процессов разработки. На этой странице — критерии, по которым честно сравнивать инструменты, и ориентир по российским вендорам без баллов и мест. Сами места и подтверждённые сигналы смотрите в [рейтинге SAST, DAST и SCA](/rating/appsec-testing-sast-dast-sca): там поставщики ранжированы по проверяемым фактам, а не по рекламе.
AppSec-проверки должны быть встроены в разработку
SAST, DAST и SCA полезны, когда результаты связаны с пайплайном, владельцами кода и приоритизацией исправлений.
Рейтинги подрядчиков по теме исследования
Если после чтения нужен короткий список исполнителей, начните с профильных рейтингов cyber-index.ru: в них видны компании, кейсы, интервью, категории экспертизы и доверительный индекс.
Как проверять выводы исследования
Используйте материал как основу для shortlist: сопоставьте выводы с профилями компаний, связанными рейтингами, кейсами, интервью клиентов и источниками. Если в статье есть список источников, начинайте проверку с него; если источников мало, дополнительно запросите у подрядчика методику, baseline и примеры работ.
Авторы и проверка материала
У каждого исследования есть персональные авторы, профиль экспертизы, дата публикации, список источников и редакционная проверка выводов.
Авторы закреплены по теме исследования и опираются на практические разборы страниц, кейсов, источников и рыночных выборок.
В профиле автора указаны зона экспертизы, роль в редакции, регалии и темы, за которые он отвечает.
Материалы связаны с методологией cyber-index.ru, внутренними рейтингами, карточками компаний и источниками.
Позиции не продаются, выводы отделены от рекламы, а проверяемые утверждения поддержаны источниками и датами обновления.
Почему рынок SAST/DAST в России изменился
Два процесса наложились друг на друга. Во-первых, безопасная разработка (SSDLC) из «хорошей практики» превратилась в требование: для значимых объектов критической информационной инфраструктуры и госсектора анализ кода и проверка приложений всё чаще становятся обязательным этапом, а доверенные средства должны быть в реестрах. Во-вторых, Checkmarx, Micro Focus Fortify и Veracode свернули продажи и поддержку в России — продлевать лицензии и получать обновления правил анализа в штатном режиме больше нельзя.
Практический итог для команд разработки: вопрос звучит уже не «внедрять ли SAST и DAST», а «на каком отечественном инструменте выстроить пайплайн так, чтобы он находил реальные уязвимости, не утопил разработчиков в ложных срабатываниях и встроился в CI/CD без ручного героизма».
Рынок SAST/DAST в России: коротко в цифрах
Checkmarx, Fortify, Veracode — продажи и поддержка свёрнуты
PT Application Inspector, Solar appScreener, Стингрей, Сварог и др.
Анализ кода входит в требования к SSDLC, нужен реестр
Прогон на вашем коде, замер ложных срабатываний
По каким критериям честно сравнивать SAST и DAST
«Лучший» инструмент — тот, что находит ваши уязвимости в вашем стеке и встраивается в ваш конвейер. Поэтому рейтинг имеет смысл строить не по бренду, а по проверяемым критериям:
- **Покрытие языков и фреймворков.** SAST полезен ровно настолько, насколько глубоко он понимает ваши языки (Java, C#, Python, Go, PHP, JS/TS, 1С и т. д.) и популярные фреймворки. Список «поддерживается» и «разбирается глубоко» — разные вещи. - **Качество анализа и ложные срабатывания.** Высокий recall без контроля false positive убивает доверие команды. Смотрите соотношение найденных реальных дефектов к шуму на вашем коде, а не на витринных примерах. - **DAST и охват API.** Динамика должна уметь не только классический веб, но и REST/GraphQL, аутентифицированные сценарии и SPA. Проверьте обход авторизации и сложные флоу. - **Встраиваемость в CI/CD.** Плагины для GitLab/Jenkins/TeamCity, инкрементальный анализ, политики «блокировать сборку», работа в контейнерах — без этого SAST останется «сканером по пятницам». - **Триаж и поток дефектов.** Дедупликация, маршрутизация в Jira/трекер, подавление повторов, объяснимость находок для разработчика — это и есть зрелость продукта. - **SCA и состав ПО.** Контроль open-source-зависимостей и уязвимостей в них часто идёт рядом с SAST; см. отдельный разбор [SCA и контроля open source](/research/sca-kontrol-open-source-zavisimostej). - **Сертификация и реестр.** Наличие в [реестре отечественного ПО](https://reestr.digital.gov.ru/) и сертификат [ФСТЭК](https://reestr.fstec.ru/) — входной барьер для КИИ и госсектора.
Зрелость класса российских SAST/DAST по критериям
Усреднённая редакционная оценка готовности класса решений по открытым данным. Это не вендорский бенчмарк и не заменяет пилот на вашем коде.
Кто представлен на российском рынке SAST/DAST
Ниже — ориентир по основным игрокам. Это **не рейтинг**: места, баллы и подтверждённые сигналы смотрите в [рейтинге категории](/rating/appsec-testing-sast-dast-sca). Цель таблицы — показать, чем продукты различаются по позиционированию и под какие сценарии заходят чаще.
| Решение | Вендор | Класс | Позиционирование |
|---|---|---|---|
| PT Application Inspector | Positive Technologies | SAST + DAST/IAST | Глубокий анализ с проверкой эксплуатируемости находок |
| Solar appScreener | Ростелеком-Солар | SAST + DAST + SCA | Широкое покрытие языков, простой старт, единая платформа AppSec |
| Стингрей (Stingray) | Стингрей Технолоджис | DAST/анализ мобильных приложений | Безопасность мобильных приложений (Android/iOS) и API |
| Сварог | отечественный вендор | SAST/SCA | Анализ исходного кода и состава ПО для SSDLC |
SAST или DAST: их не выбирают «вместо», их сочетают
SAST читает исходный код и находит дефекты рано — на этапе разработки, включая места, до которых динамика не дотягивается. DAST бьёт по работающему приложению снаружи, видит то, что проявляется только в рантайме (конфигурация, авторизация, реальные ответы сервера), и даёт меньше ложных срабатываний по факту эксплуатации. Зрелый процесс использует оба: SAST в пайплайне на каждый коммит, DAST на стендах и в предрелизе, плюс SCA для зависимостей.
Когда какой инструмент включать и как не дублировать работу — разобрано в материале [SAST против DAST: когда какой инструмент выбрать](/research/sast-vs-dast-vybor). А чем конкретно закрыть ушедшие западные продукты — в разборе [замены Checkmarx, Fortify и Veracode](/research/zamena-checkmarx-fortify-veracode).
Чек-лист выбора SAST/DAST под ваш стек
Как внедрить SAST/DAST без боли: 6 шагов
-
01
Инвентаризация приложений
Соберите список репозиториев, языков, фреймворков и точек входа — это вход для подбора инструмента.
-
02
Шорт-лист и пилот
2–3 кандидата, прогон на реальном коде, замер находок и ложных срабатываний под вашим стеком.
-
03
Базовая интеграция SAST
Встройте сканер в CI/CD в режиме мониторинга, без блокировки сборок на старте.
-
04
Настройка политик и триажа
Подавите шум, настройте маршрутизацию дефектов в трекер, договоритесь о пороге блокировки.
-
05
Подключение DAST и SCA
Добавьте динамику на стендах и контроль зависимостей, сверьте находки с SAST, уберите дубли.
-
06
Ужесточение и масштабирование
Включите блокировку сборок по критичным дефектам, разверните на остальные команды, отслеживайте метрики.
Как мы оцениваем поставщиков
cyber-index.ru не продаёт места в рейтинге. Поставщики сравниваются по проверяемым сигналам: подтверждённые внедрения и кейсы, отзывы и интервью клиентов, внешняя репутация, специализация, прозрачность и свежесть данных. Поэтому статью стоит читать в связке с [рейтингом SAST, DAST и SCA](/rating/appsec-testing-sast-dast-sca): здесь — критерии и рынок, там — сравнение конкретных компаний по подтверждённым фактам.
Следующий шаг
Разобрались с критериями — переходите к сравнению поставщиков: **[рейтинг SAST, DAST и SCA →](/rating/appsec-testing-sast-dast-sca)**. Полезно прочитать рядом: [SAST против DAST](/research/sast-vs-dast-vybor), [чем заменить Checkmarx, Fortify и Veracode](/research/zamena-checkmarx-fortify-veracode) и [SCA и контроль open source](/research/sca-kontrol-open-source-zavisimostej).
Частые вопросы
Существует ли единый «рейтинг лучших» российских SAST/DAST?
Универсального места в таблице нет: лучший инструмент зависит от вашего стека, модели угроз и зрелости процессов. Мы сравниваем поставщиков по проверяемым сигналам — смотрите рейтинг SAST/DAST/SCA, а на этой странице — критерии для собственной оценки.
Чем заменить Checkmarx, Fortify и Veracode в России?
Отечественные SAST/DAST уже закрывают большинство сценариев: анализ кода, динамическое тестирование, контроль зависимостей. Конкретные кандидаты и нюансы перехода — в разборе замены Checkmarx, Fortify и Veracode.
SAST или DAST — что выбрать, если бюджет на один инструмент?
Их не противопоставляют: SAST ловит дефекты рано в коде, DAST — то, что видно только в рантайме. Если стартуете с одного, отталкивайтесь от модели угроз и стека; логику выбора разбираем в SAST против DAST.
Как понять, что инструмент не утопит команду в ложных срабатываниях?
Только пилотом на вашем коде: прогоните 2–3 кандидата и сравните долю реальных дефектов и шума. Витринные демо этого не покажут.
Нужен ли сертификат ФСТЭК для SAST/DAST?
Для значимых объектов КИИ и госсектора наличие в реестре отечественного ПО и сертификат — входной барьер. Для коммерческой разработки чаще решают покрытие стека, качество анализа и встраиваемость в CI/CD.
Где сравнить конкретных вендоров между собой?
В рейтинге SAST, DAST и SCA — там компании ранжированы по подтверждённым сигналам, а не по рекламе.
Источники и метод проверки
Анализ исходного кода (SAST) и динамическое тестирование приложений (DAST) перестали быть нишей: безопасная разработка вошла в требования регуляторов, а после ухода Checkmarx, Fortify и Veracode рынок инструментов AppSec в России пересобрался на отечественных продуктах. К 2026 году несколько российских SAST/DAST-решений вышли на корпоративный уровень, но различаются по числу поддерживаемых языков, глубине анализа, доле ложных срабатываний и встраиваемости в CI/CD. **Если коротко:** «рейтинг» SAST/DAST не сводится к одному месту в таблице — он зависит от вашего стека, модели угроз и зрелости процессов разработки. На этой странице — критерии, по которым честно сравнивать инструменты, и ориентир по российским вендорам без баллов и мест. Сами места и подтверждённые сигналы смотрите в [рейтинге SAST, DAST и SCA](/rating/appsec-testing-sast-dast-sca): там поставщики ранжированы по проверяемым фактам, а не по рекламе.