Static Application Security Testing (SAST) and Secure Web Application Design

Abstract

International Information System Security Certification Consortium (ISC2). (n.d.). Cybersecurity certifications and continuing education. https://www.isc2.org

Research Paper Body

Overall analysis and score for https://isc2.org Score 71 (SEO SCORE) 42 (PASSED) 8 (WARNINGS) - Configurations that are not strictly “broken”  but represent a deviation from best practice. In cybersecurity,  these are often risk acceptance decisions, for example,  allowing heavy JavaScript for functionality at the cost of  auditability. 11 (FAILED) - Clear deviations from standards. While SEO  scanners flag these for “ranking,” we view them as availability risks (slow load times) or client-side vulnerabilities (unsafe  cross-origin links). 0 (UNRESOLVED) - Tests the scanner could not complete. In  a security context, a high number of “unresolved” items is often  a positive sign, indicating that a Web Application Firewall  (WAF) is successfully blocking automated reconnaissance  probes. Score based on https://toolbox.seositecheckup.com/apps/general_analysis Pros  ● Identity Assurance: The site correctly implements SPF  records. This is critical for preventing domain spoofing  and email phishing campaigns using the ISC2 brand. ● Strict Encryption: HTTPS is enforced with a valid  certificate chain (DigiCert EV RSA) , ensuring data in  transit is protected against Man-in-the-Middle (MitM)  attacks. ● Reconnaissance Defense: The robots.txt file includes  Disallow directives, preventing search engines from  indexing sensitive internal directories or administrative  portals. ● Canonicalization: The site correctly manages URL  canonicalization, preventing “duplicate content” issues  that can confuse security log analysis. Cons  ● Client-Side Vulnerability (Reverse Tabnabbing):  The scan detected target="_blank" links without  rel=“noopener”. This is a security flaw where a  malicious linked page can seize control of the ISC2  parent tab, potentially redirecting users to a phishing  page. ● Availability Risk: The site load time is 6.72 seconds,  significantly slower than the 5-second average. In a  DDoS scenario, this heavy resource load makes the site  easier to topple. ● Bloated Attack Surface: The DOM size (723 nodes)

and heavy JavaScript execution (>3.5s) indicate a  complex client-side architecture that is harder to audit  for Cross-Site Scripting (XSS) flaws. The title of page: Most search  engines will truncate titles to  70 characters.  Length of 60 characters.  The meta description of page:  The meta description tag is  meant to be a short and  accurate summary of page  content. This description can  affect search engine rankings  and can also show up directly  in search engine results (and  affect whether or not the user  clicks through to the site). This webpage uses a meta description tag with a length of 236  characters. We recommend using well-written, inviting meta  descriptions with a length of 150-220 characters (spaces  included). Robots.txt Test: Search  engines send out tiny  programs called spiders or  robots to search your site and  bring information back so that  your pages can be indexed in  the search results and found  by web users. If there are files  and directories you do not  want indexed by search  engines, you can use the  “robots.txt” file to define  where the robots should not  go. These files are very simple  text files that are placed on the  root folder of your website.  There are two important  considerations when using  “robots.txt”: first, the  “robots.txt” file is a publicly  available file, so anyone can  see what sections of your  server you don’t want robots  to use; second, robots can  ignore your “robots.txt”,  especially malware robots that  scan the web for security  vulnerabilities. Site use a “robots.txt” file: https://www.isc2.org/robots.txt Sitemap Test: This test checks  Found 1 sitemap file for the website:

if the website is using a  “sitemap” file: sitemap.xml,  sitemap.xml.gz or  sitemapindex.xml. Sitemaps  are an easy way for  webmasters to inform search  engines about pages on their  sites that are available for  crawling. In its simplest form,  a sitemap is an XML file that  lists URLs for a site along  with additional metadata  about each URL (when it was  last updated, how often it  usually changes, and how  important it is, relative to  other URLs in the site) so that  search engines can more  intelligently crawl the site. https://www.isc2.org/sitemap.xml Favicon Test and Validator:  Checks if site is using and  correctly implementing a  favicon. Favicons are small  icons that appear in browser’s  URL navigation bar. They are  also saved next to URL’s title  when bookmarking that page.  They can help brand the site  and make it easy for users to  navigate to site among a list of  bookmarks. The site does have a favicon  Page Objects Total objects: 113; Html pages: 5; Images: 36; CSS files: 4;  Scripts: 35; CSS images: 0; Video files: 0;   Page has more than 20 http requests, which can slow down  page loading.   Code To Text Ratio: Checks  webpage source code in order  to measure the size of text  content compared to the  structure (HTML code). This  percent is not a direct ranking  factor for search engines but  there are other factors that  Page size (source code) is 249 KB and content text size is 3  KB. Content text represents 1% from webpage source code.  This is a low ratio and you might need to add more content!

depend on it such as site  loading speed and user  experience. Google Analytics Test:  Checks if website is connected  with google analytics. Website is using the asynchronous version of Google Analytics  tracking code. Google Preview: To see how  webpage might look into a  Google search results page. A  Google search result uses  webpage title, url and meta- description in order to display  the information. If these  elements are too long, Google  will truncate their content. https://www.isc2.org/Cybersecurity Certifications and  Continuing Education | ISC2ISC2 is the world’s leading  member association for cybersecurity professionals. Our  members, candidates and associates are leading the  cybersecurity Keywords Cloud: The  Keyword Cloud is a visual  representation of keywords  used on website. This will  show which words are  frequently used in the content  of webpage. Page Cache Test: Checks if  The site correctly uses caching headers for JavaScript and CSS

the site is serving cached  pages. Caches reduce server- load (since pages are  generated less often) and  speeds up page display (by  caching page output vs  compiling the php-page).  Caches also reduces  bandwidth requirements by up  to 80%. Caching makes most  sense for high traffic pages  whose content does not  change on every page view.  Common caching methods  are Quickcache and jpcache. resources. This improves availability by reducing server load  during high-traffic periods. Image Expires Tag Test:  Checks if page is using an  image expires tag, which  specifies a future expiration  date for images. Browsers will  see this tag and caches the  image in the user’s browser  until the specified date (so that  it does not keep re-fetching  the unchanged image from  your server). This speeds up  site the next time that user  visits the site and requires the  same image. Passed. The webpage utilizes ‘Expires’ or ‘Cache-Control’  headers, allowing browsers to cache images locally. This  reduces bandwidth consumption and server load for returning  visitors. URL Canonicalization Test:  Test the site for potential URL  canonicalization issues.  Canonicalization describes  how a site can use slightly  different URLs for the same  page (for example, if  http://www.example.com and  http://example.com displays  the same page but do not  resolve to the same URL). If  this happens, search engines  may be unsure as to which  URL is the correct one to  index.  https://www.isc2.org/ and https://isc2.org/ resolve to the same  URL. Directory Browsing Test:  The server has disabled directory browsing.

Checks if server allows  directory browsing. If  directory browsing is disabled,  visitors will not be able to  browse the directory by  accessing the directory  directly (if there is no  index.html file). This will  protect files from being  exposed to the public. Apache  web server allows directory  browsing by default.  Disabling directory browsing  is generally a good idea from  a security standpoint. Libwww-perl Access Test:  Botnet scripts that  automatically look for  vulnerabilities in the software  are sometimes identified as  User-Agent libwww-perl. By  blocking access from libwww- perl you can eliminate many  simpler attacks.  Test not included in this report version. Server Signature Test: Checks  if server signature is on.  Turning off server signature is  generally a good idea from a  security standpoint. Test not included in this report version. Plaintext Emails Test: Checks  webpage for plaintext email  addresses. Any e-mail address  posted in public is likely to be  automatically collected by  computer software used by  bulk e-mailers (a process  known as e-mail address  harvesting). A spam harvester  can read through the pages in  the site and extract email  addresses which are then  added to bulk marketing  databases and the result is  more spam in the inbox. Webpage does not include email addresses in plaintext IP Canonicalization Test: Test  Test not included in this specific scan report.

the site for potential IP  canonicalization issues.  Canonicalization describes  how a site can use slightly  different URLs for the same  page (for example, if the site’s  IP address and domain name  display the same page but do  not resolve to the same URL).  If this happens, search engines  may be unsure as to which  URL is the correct one to  index.  Safe Browsing Test: Checks if  website is listed with malware  or phishing activity. This site is not currently listed as suspicious (no malware or  phishing activity found). Social Media Check: Test if  the website connects to at  least one of the most  important social networks. Passed. The site includes Open Graph and Twitter Card meta  tags, allowing for rich integration when content is shared on  social platforms. Social Media Activity: Checks  the activity on social media  networks of the website or  URL. This activity is  measured in total number of  shares, likes, comments,  tweets, plusOnes and pins and  this activity covers only the  URL and not social media  accounts linked with the  webpage. This test wasn’t in the report.  Most Common Keywords  Test The most common keywords are cookies 28, cybersecurity 14,  site 11, certification 10, and security 10. URL SEO Friendly Test Passed. The URLs observed in the report (e.g., /Cybersecurity- Certifications) are semantic and readable. They rely on  keywords rather than obscure database parameters (like ? id=552), which aids in both SEO and log analysis for security  teams. Underscores in Links Test Passed. The site utilizes hyphens rather than underscores in its  URL structure (e.g., isc2.org/robots.txt), which is the preferred  standard for readability and search engine indexing. Image Alt Test This webpage uses “img” tags with empty or missing “alt”  attributes! This is necessary for ADA compliance for screen

readers, as well as for context with SEO optimization  Inline CSS Test Passed. The report confirms that CSS resources are minified  and cached. While some “Render Blocking” resources were  found, the primary stylesheets are externalized, which allows  for cleaner Content Security Policy (CSP) implementation. Deprecated HTML Tags This website does not use deprecated HTML tags  Nested Tables Test Passed. The site utilizes modern HTML5 

@techreport{wortz2025csol560stati,
  author      = {Wortz, Joshua A.},
  title       = {Static Application Security Testing (SAST) and Secure Web Application Design},
  institution = {University of San Diego},
  year        = {2025},
  month       = {November},
  type        = {Academic Research Paper / CSOL560},
  url         = {https://codeandcypher.com/papers/csol560-static-analysis-of-a-website-secure-design/},
  doi         = {10.5281/zenodo.22287631}
}