Ce qu'est chacun
Burp Suite, de PortSwigger, est l'outil avec lequel travaillent la plupart des pentesters professionnels. C'est une application de bureau qui se place entre votre navigateur et le site audité : elle capture chaque requête, vous laisse la modifier et la renvoyer, automatise des variations pour tester un paramètre des milliers de fois et, dans l'édition Professional, inclut un scanner automatique qui explore et audite l'application. Elle existe en trois éditions : Community, gratuite, avec les outils manuels et sans scanner ; Professional, payante par utilisateur ; et Enterprise, pour scanner de nombreuses applications de façon planifiée. Elle est conçue pour qu'une personne compétente passe des heures à explorer une application à la main.
Scanaris est à l'opposé : un service web où vous collez l'URL de votre site publié et qui, une trentaine de secondes plus tard, renvoie 47 vérifications réparties en huit piliers, en lecture seule, classées par impact, avec une explication en langage clair et un prompt de correction pour chaque constat. Rien à installer, rien à configurer, aucune connaissance en sécurité requise.
Manuel contre automatique
La différence n'est pas de qualité, mais de nature. Burp est un instrument : ce qu'il trouve dépend de qui le tient. Un bon pentester avec Burp découvre des failles de logique métier, des contournements d'autorisation entre utilisateurs, des injections qu'un scanner ne voit pas et des enchaînements de plusieurs petites failles en une grave. Aucun outil automatique ne fait cela, et Scanaris non plus. Même le scanner de Burp Professional, qui est automatique, a besoin que quelqu'un configure le périmètre, l'authentification et les exclusions, puis passe en revue ses résultats.
Scanaris est un service : il fait toujours la même chose, à la même profondeur, sans que personne ne le pilote. Il regarde ce que votre site publie (en-têtes, cookies, certificat, fichiers accessibles, secrets dans le JavaScript, e-mail, domaine, réputation, SEO et visibilité auprès de l'IA) et le compare aux bonnes pratiques. Il n'envoie jamais de données manipulées : c'est pourquoi il peut tourner chaque jour contre la production sans risque, et pourquoi il ne trouve pas ce qui exige d'attaquer.
Comment on utilise chacun
Avec Burp, vous installez l'application, faites passer votre navigateur par son proxy (ou utilisez le navigateur intégré), parcourez votre application pendant que Burp enregistre tout, puis travaillez sur ce trafic : vous rejouez des requêtes en changeant les paramètres, lancez des attaques par force brute sur un champ, testez ce qui se passe quand vous remplacez l'identifiant d'un utilisateur par celui d'un autre. En Professional, vous lancez aussi le scanner sur le périmètre défini et attendez de quelques minutes à plusieurs heures. Le résultat est votre propre carnet de constats, plus ceux du scanner, à trier.
Avec Scanaris, vous collez l'URL. Sur le forfait Pro, il relance l'analyse chaque jour sans consommer votre quota, vous prévient si le site tombe ou si le certificat expire, et l'API et le serveur MCP permettent de déclencher des analyses depuis votre propre flux de déploiement. Il existe en huit langues ; Burp est en anglais.
Ce que l'un trouve et pas l'autre
- Seulement Burp (entre des mains compétentes) : failles de logique métier, accès aux données d'autres utilisateurs en changeant un identifiant, contournements d'authentification, injections, conditions de concurrence, failles dans les parcours de paiement ou de récupération de mot de passe. Tout ce qui exige de comprendre l'application et de la tester à la main.
- Seulement Scanaris : SEO et visibilité auprès de l'IA (robots, sitemap, métadonnées, données structurées, llms.txt, robots d'IA), e-mail (SPF, DKIM, DMARC), santé du domaine, réputation Safe Browsing, accessibilité de base et signaux de conformité. Et la correction sous forme de prompt, que Burp ne donne pas.
- Les deux : en-têtes de sécurité, cookies sans attributs, fichiers exposés, TLS, versions divulguées. Le scanner de Burp Professional les signale ; Scanaris les explique et vous dit comment les corriger chez votre hébergeur.
Prix (octobre 2026)
Burp Suite Community est gratuit, sans scanner et avec l'outil d'attaque automatisée limité en vitesse. Burp Suite Professional coûte environ 500 dollars par utilisateur et par an depuis la hausse de prix de janvier 2026. Burp Suite Enterprise est sur devis. À cela s'ajoute ce que Burp coûte vraiment : les heures de la personne qui le manie, ou la facture du pentest si vous le confiez à quelqu'un.
Scanaris propose une analyse gratuite avec deux ou trois constats débloqués, et des forfaits à 24, 49 et 99 euros par mois (17, 34 et 69 en paiement annuel) pour 1, 5 et 25 projets, avec le rapport complet, les prompts, la surveillance et l'API.
Quand utiliser les deux
Si vous manipulez des données sensibles, encaissez des paiements ou avez des utilisateurs qui se voient entre eux, un pentest manuel avec Burp avant le lancement et après chaque changement majeur n'est remplacé par rien. Scanaris, c'est ce que vous faites tous les autres jours : la vérification quotidienne et peu coûteuse que le déploiement reste bien configuré, que personne n'a laissé un fichier exposé et que Google et les assistants IA peuvent vous lire. Si vous avez construit votre appli avec Lovable, Bolt ou v0 et n'avez pas de pentester aujourd'hui, commencez par Scanaris et par la checklist de sécurité avant lancement ; le pentest viendra quand le projet le justifiera.
Questions fréquentes
Puis-je utiliser Burp sans être expert ?
Vous pouvez l'installer gratuitement, et PortSwigger propose une excellente académie de sécurité web gratuite pour apprendre. Mais en tirer parti demande des semaines de pratique. Ce n'est pas un outil pour un après-midi.
Scanaris remplace-t-il un pentest ?
Non. Il couvre la configuration et l'exposition de votre site publié, pas la logique de votre application. Un pentest trouve des choses qu'aucun scanner automatique ne verra, et Scanaris trouve des choses qu'un pentest ponctuel ne surveille pas chaque jour.
Est-il sûr d'utiliser Burp contre mon site en production ?
Les tests manuels touchent de vraies données : vous créez des comptes, modifiez des commandes, soumettez des formulaires. L'usage est de travailler sur un environnement de test. Scanaris, en lecture seule, s'utilise directement contre la production.