Qué es cada uno
ZAP (Zed Attack Proxy) es la herramienta de pruebas dinámicas de seguridad gratuita y de código abierto más usada del mundo. Nació dentro de OWASP, y aunque mucha gente sigue llamándola "OWASP ZAP", desde 2023 ya no es un proyecto de esa organización: desde septiembre de 2024 se llama ZAP by Checkmarx, porque Checkmarx contrató a su equipo principal y financia el desarrollo. Sigue siendo gratuita, de código abierto y mantenida con regularidad (la versión 2.17 salió en diciembre de 2025). Es una aplicación de escritorio, también disponible como imagen Docker, que se coloca entre tu navegador y la web que pruebas, rastrea sus páginas y lanza ataques controlados para encontrar vulnerabilidades.
Scanaris es un servicio web: pegas la URL de tu web publicada y en unos treinta segundos devuelve 47 comprobaciones en ocho pilares, de solo lectura, ordenadas por impacto y con un prompt de arreglo por cada hallazgo. No se instala, no se configura y no ataca nada.
Pasivo frente a activo: la diferencia que importa
Scanaris solo hace peticiones normales, como las que haría un navegador, y examina lo que tu web responde: cabeceras, cookies, certificado, archivos accesibles, el JavaScript que sirves, el robots.txt. Nunca envía datos manipulados ni intenta provocar un fallo. Por eso se puede ejecutar contra una web en producción a cualquier hora sin riesgo.
ZAP tiene dos modos. El escaneo pasivo observa el tráfico sin alterarlo, parecido a lo que hace Scanaris, y detecta cabeceras ausentes, cookies sin atributos o información filtrada. El escaneo activo es otra cosa: envía miles de peticiones con cargas diseñadas para provocar inyecciones SQL, scripts entre sitios, inclusión de archivos y decenas de fallos más. Ese modo puede rellenar formularios, crear registros, enviar correos desde tu web o tumbar un servidor pequeño. Solo debe usarse sobre webs propias, mejor en un entorno de pruebas, y con permiso explícito.
Cómo se usa cada uno
Con ZAP instalas la aplicación (necesita Java) o arrancas su contenedor, defines un contexto con la URL objetivo, configuras la autenticación si quieres probar las partes privadas, lanzas el rastreador y después el escaneo activo, que tarda de minutos a horas según el tamaño de la web. Al terminar tienes una lista de alertas por nivel de riesgo que hay que revisar una a una, porque una parte serán falsos positivos. Para integrarlo en el despliegue hay acciones de GitHub y un marco de automatización en YAML; la "baseline scan" de ZAP es pasiva y rápida, y es lo que la mayoría usa en integración continua.
Con Scanaris pegas la URL. El informe ordena los hallazgos por impacto, explica cada uno en lenguaje llano y da un prompt listo para Cursor, Claude o tu editor con IA. En el plan Pro vuelve a escanear a diario, avisa de caídas y de certificados a punto de caducar, y la API y el servidor MCP permiten lanzar escaneos desde tu propio flujo. Está en ocho idiomas; ZAP está en inglés con traducciones parciales de la comunidad.
Qué encuentra uno y no el otro
- Solo ZAP: inyecciones SQL, scripts entre sitios reflejados o almacenados, inclusión de archivos, redirecciones abiertas, fallos en la lógica de autenticación de las partes privadas, problemas en APIs REST, GraphQL o SOAP a partir de su definición. Todo lo que exige atacar para confirmarse.
- Solo Scanaris: SEO y visibilidad ante la IA (robots, sitemap, metadatos, datos estructurados, llms.txt, rastreadores de IA), correo (SPF, DKIM, DMARC), salud del dominio, reputación en Safe Browsing, accesibilidad básica, señales de cumplimiento legal. Y, sobre todo, el arreglo: ZAP describe el problema de forma genérica; Scanaris te da el prompt.
- Los dos: cabeceras de seguridad ausentes o débiles, cookies sin atributos, archivos y directorios expuestos, versiones de servidor filtradas, TLS. Aquí ZAP es más exhaustivo y Scanaris más legible.
Precio (octubre de 2026)
ZAP no cuesta dinero. Cuesta tiempo: instalar, configurar la autenticación, esperar el escaneo, descartar falsos positivos e interpretar cada alerta. Para quien sabe, es una ganga; para quien no, es una tarde entera y un informe que no sabe por dónde coger.
Scanaris tiene un escaneo gratuito con dos o tres hallazgos desbloqueados, y planes de 24, 49 y 99 euros al mes (17, 34 y 69 si pagas el año) para 1, 5 y 25 proyectos, con el informe completo, los prompts, la monitorización y la API.
Cuándo usar los dos
Son complementarios y así los usan muchos equipos: Scanaris cada día sobre la web publicada, porque es seguro, rápido y te dice qué arreglar primero; la "baseline scan" de ZAP en integración continua si tienes pipeline; y un escaneo activo completo de ZAP, en un entorno de pruebas o a manos de un profesional, antes de un lanzamiento importante o cuando manejas datos sensibles. Si has hecho tu app con Lovable, Bolt o v0 y quieres saber hoy si hay algo grave, empieza por Scanaris y por la lista de comprobación previa al lanzamiento; ZAP vendrá después.
Preguntas frecuentes
¿ZAP puede romper mi web?
El escaneo pasivo no. El activo puede: envía formularios, crea datos de prueba y carga el servidor. Hazlo sobre una copia o fuera de horas, y nunca sobre una web que no sea tuya.
¿Scanaris ataca mi web?
No. Solo lee lo que tu web ya muestra a cualquier visitante, con peticiones limitadas en ritmo. Por eso no encuentra inyecciones: no las prueba.
¿ZAP sigue siendo gratis después de pasar a Checkmarx?
Sí. Sigue siendo de código abierto con licencia Apache 2.0, y Checkmarx vende aparte su propio producto comercial de pruebas dinámicas. Lo que cambió es el nombre y quién paga a los desarrolladores.