Qué es cada uno
Burp Suite, de PortSwigger, es la herramienta con la que trabajan la mayoría de los pentesters profesionales. Es una aplicación de escritorio que se coloca entre tu navegador y la web que auditas: captura cada petición, te deja modificarla y reenviarla, automatiza variaciones para probar un parámetro miles de veces y, en la edición Professional, incluye un escáner automático que rastrea y audita la aplicación. Tiene tres ediciones: Community, gratuita, con las herramientas manuales y sin escáner; Professional, de pago por usuario; y Enterprise, para escanear muchas aplicaciones de forma programada. Está pensada para que una persona con conocimientos pase horas explorando una aplicación a mano.
Scanaris está en el extremo opuesto: un servicio web al que pegas la URL de tu web publicada y que, en unos treinta segundos, devuelve 47 comprobaciones en ocho pilares, de solo lectura, ordenadas por impacto, con una explicación en lenguaje llano y un prompt de arreglo por cada hallazgo. Sin instalar, sin configurar y sin saber de seguridad.
Manual frente a automático
La diferencia no es de calidad, es de naturaleza. Burp es un instrumento: lo que encuentra depende de quién lo maneja. Un buen pentester con Burp descubre fallos de lógica de negocio, saltos de autorización entre usuarios, inyecciones que un escáner no ve y encadenamientos de varios fallos pequeños en uno grave. Eso no lo hace ninguna herramienta automática, y tampoco Scanaris. Incluso el escáner de Burp Professional, que sí es automático, necesita que alguien configure el alcance, la autenticación y las exclusiones, y después revise sus resultados.
Scanaris es un servicio: siempre hace lo mismo, con la misma profundidad, sin que nadie lo opere. Mira lo que tu web publica (cabeceras, cookies, certificado, archivos accesibles, secretos en el JavaScript, correo, dominio, reputación, SEO y visibilidad ante la IA) y lo compara con buenas prácticas. Nunca envía datos manipulados: por eso puede ejecutarse a diario contra producción sin riesgo, y por eso no encuentra lo que exige atacar.
Cómo se usa cada uno
Con Burp instalas la aplicación, configuras el navegador para que pase por su proxy (o usas el navegador que trae incorporado), navegas por tu aplicación mientras Burp registra todo, y luego trabajas sobre ese tráfico: repites peticiones cambiando parámetros, lanzas ataques de fuerza sobre un campo, pruebas qué pasa si cambias el identificador de un usuario por el de otro. En Professional, además, lanzas el escáner sobre el alcance definido y esperas de minutos a horas. El resultado es tu propia libreta de hallazgos, más los del escáner, que hay que triar.
Con Scanaris pegas la URL. En el plan Pro vuelve a escanear a diario sin gastar tu cuota, avisa si la web se cae o el certificado caduca, y la API y el servidor MCP permiten lanzar escaneos desde tu propio flujo de despliegue. Está en ocho idiomas, Burp en inglés.
Qué encuentra uno y no el otro
- Solo Burp (en manos de alguien que sepa): fallos de lógica de negocio, acceso a datos de otros usuarios cambiando un identificador, saltos de autenticación, inyecciones, condiciones de carrera, fallos en flujos de pago o de recuperación de contraseña. Todo lo que exige entender la aplicación y probarla a mano.
- Solo Scanaris: SEO y visibilidad ante la IA (robots, sitemap, metadatos, datos estructurados, llms.txt, rastreadores de IA), correo (SPF, DKIM, DMARC), salud del dominio, reputación en Safe Browsing, accesibilidad básica y señales de cumplimiento. Y el arreglo en forma de prompt, que Burp no da.
- Los dos: cabeceras de seguridad, cookies sin atributos, archivos expuestos, TLS, versiones filtradas. El escáner de Burp Professional las marca; Scanaris las explica y te dice cómo corregirlas en tu hosting.
Precio (octubre de 2026)
Burp Suite Community es gratuita, sin escáner y con el ataque automatizado limitado en velocidad. Burp Suite Professional cuesta alrededor de 500 dólares por usuario y año tras la subida de precios de enero de 2026. Burp Suite Enterprise se presupuesta a medida. A eso hay que sumar lo que de verdad cuesta Burp: las horas de la persona que lo maneja, o la factura del pentest si la contratas.
Scanaris tiene un escaneo gratuito con dos o tres hallazgos desbloqueados, y planes de 24, 49 y 99 euros al mes (17, 34 y 69 si pagas el año) para 1, 5 y 25 proyectos, con el informe completo, los prompts, la monitorización y la API.
Cuándo usar los dos
Si manejas datos sensibles, cobras dinero o tienes usuarios que se ven unos a otros, un pentest manual con Burp antes de lanzar y después de cada cambio grande no lo sustituye nada. Scanaris es lo que haces el resto de los días: la comprobación diaria y barata de que el despliegue sigue bien configurado, de que nadie ha dejado un archivo expuesto y de que Google y los asistentes de IA pueden leerte. Si has hecho tu app con Lovable, Bolt o v0 y hoy no tienes pentester, empieza por Scanaris y por la lista de comprobación previa al lanzamiento; el pentest llegará cuando el proyecto lo justifique.
Preguntas frecuentes
¿Puedo usar Burp sin ser experto?
Puedes instalarlo gratis, y PortSwigger ofrece una academia de seguridad web gratuita muy buena para aprender. Pero sacarle partido lleva semanas de práctica. No es una herramienta para una tarde.
¿Scanaris sustituye a un pentest?
No. Cubre la configuración y la exposición de tu web publicada, no la lógica de tu aplicación. Un pentest encuentra cosas que ningún escáner automático verá, y Scanaris encuentra cosas que un pentest puntual no vigila cada día.
¿Es seguro usar Burp contra mi web en producción?
Las pruebas manuales tocan datos reales: creas cuentas, modificas pedidos, envías formularios. Lo habitual es trabajar sobre un entorno de pruebas. Scanaris, al ser de solo lectura, se usa directamente contra producción.