La scansione al momento del merge è la pratica di controllare codice, file di infrastruttura o configurazioni prima che una pull request o una modifica venga unita nel branch principale. È un controllo di sicurezza shift-left: i problemi vengono individuati mentre la modifica è ancora facile da esaminare, correggere o rifiutare.
Nella cybersecurity, questo è importante perché molti attacchi iniziano con semplici errori come servizi esposti, controlli di accesso deboli o valori predefiniti non sicuri nell'infrastructure as code. Uno scanner al momento del merge può segnalare questi problemi prima che raggiungano il deployment, riducendo la probabilità che una configurazione errata diventi una vulnerabilità attiva. È particolarmente efficace per controlli deterministici nelle pipeline CI, ma funziona meglio se affiancato da controlli successivi come l'applicazione delle policy al momento del deployment e l'analisi del contesto cloud per la prioritizzazione.