La convalida del payload è la fase in cui un tester di sicurezza invia un input di prova controllato, o payload, per confermare se una vulnerabilità sospetta venga effettivamente eseguita. Invece di affidarsi solo a firme, euristiche o indizi statici, il tester verifica il comportamento reale: l'applicazione riflette, analizza o esegue l'input in modo non sicuro? Questo è particolarmente importante per bug web come il cross-site scripting, in cui una stringa costruita ad arte può rivelare se l'input dell'utente raggiunge un sink del browser eseguibile.
In ambito difensivo, la convalida del payload aiuta i team a distinguere i risultati probabili dai problemi confermati, riducendo i falsi positivi e velocizzando la correzione. Gli scanner automatici e i sistemi di test agentici la usano spesso per dimostrare la sfruttabilità su larga scala, mentre i tester umani la impiegano per verificare i casi limite e misurare l'impatto. Se eseguita in sicurezza, utilizza payload di prova non distruttivi che dimostrano il difetto senza causare danni, rendendola un ponte pratico tra la scoperta e la correzione.