Ce qu'est chacun
ZAP (Zed Attack Proxy) est l'outil de tests dynamiques de sécurité gratuit et open source le plus utilisé au monde. Il est né au sein de l'OWASP et, même si beaucoup l'appellent encore « OWASP ZAP », il n'est plus un projet de cette organisation depuis 2023 : depuis septembre 2024, il s'appelle ZAP by Checkmarx, parce que Checkmarx a embauché son équipe principale et finance le développement. Il reste gratuit, open source et maintenu régulièrement (la version 2.17 est sortie en décembre 2025). C'est une application de bureau, aussi disponible en image Docker, qui se place entre votre navigateur et le site testé, explore ses pages et lance des attaques contrôlées pour trouver des vulnérabilités.
Scanaris est un service web : vous collez l'URL de votre site publié et, une trentaine de secondes plus tard, il renvoie 47 vérifications réparties en huit piliers, en lecture seule, classées par impact et avec un prompt de correction pour chaque constat. Rien à installer, rien à configurer, et il n'attaque rien.
Passif contre actif : la différence qui compte
Scanaris ne fait que des requêtes normales, celles qu'un navigateur ferait, et examine ce que votre site répond : en-têtes, cookies, certificat, fichiers accessibles, le JavaScript servi, le robots.txt. Il n'envoie jamais de données manipulées et n'essaie pas de provoquer une panne. C'est pourquoi on peut le lancer contre un site en production à toute heure sans risque.
ZAP a deux modes. L'analyse passive observe le trafic sans le modifier, un peu comme Scanaris, et détecte les en-têtes manquants, les cookies sans attributs ou les informations qui fuient. L'analyse active, c'est autre chose : elle envoie des milliers de requêtes avec des charges conçues pour provoquer des injections SQL, du cross-site scripting, des inclusions de fichiers et des dizaines d'autres failles. Ce mode peut remplir des formulaires, créer des enregistrements, envoyer des e-mails depuis votre site ou faire tomber un petit serveur. Il ne doit servir que sur des sites qui vous appartiennent, de préférence en environnement de test, et avec une autorisation explicite.
Comment on utilise chacun
Avec ZAP, vous installez l'application (elle a besoin de Java) ou lancez son conteneur, définissez un contexte avec l'URL cible, configurez l'authentification si vous voulez tester les parties privées, lancez le crawler puis l'analyse active, qui prend de quelques minutes à plusieurs heures selon la taille du site. À la fin, vous avez une liste d'alertes par niveau de risque à passer en revue une par une, car une partie seront des faux positifs. Pour l'intégrer au déploiement, il existe des actions GitHub et un framework d'automatisation en YAML ; la « baseline scan » de ZAP est passive et rapide, et c'est ce que la plupart utilisent en intégration continue.
Avec Scanaris, vous collez l'URL. Le rapport classe les constats par impact, explique chacun en langage clair et fournit un prompt prêt pour Cursor, Claude ou votre éditeur IA. Sur le forfait Pro, il relance l'analyse chaque jour, prévient en cas de panne ou de certificat sur le point d'expirer, et l'API et le serveur MCP permettent de lancer des analyses depuis votre propre flux. Il existe en huit langues ; ZAP est en anglais avec des traductions partielles de la communauté.
Ce que l'un trouve et pas l'autre
- Seulement ZAP : injections SQL, cross-site scripting réfléchi ou stocké, inclusion de fichiers, redirections ouvertes, failles dans la logique d'authentification des parties privées, problèmes dans des API REST, GraphQL ou SOAP à partir de leur définition. Tout ce qui exige d'attaquer pour être confirmé.
- Seulement Scanaris : SEO et visibilité auprès de l'IA (robots, sitemap, métadonnées, données structurées, llms.txt, robots d'IA), e-mail (SPF, DKIM, DMARC), santé du domaine, réputation Safe Browsing, accessibilité de base, signaux de conformité légale. Et surtout la correction : ZAP décrit le problème de façon générique ; Scanaris vous donne le prompt.
- Les deux : en-têtes de sécurité manquants ou faibles, cookies sans attributs, fichiers et répertoires exposés, versions de serveur divulguées, TLS. Ici ZAP est plus exhaustif et Scanaris plus lisible.
Prix (octobre 2026)
ZAP ne coûte pas d'argent. Il coûte du temps : installer, configurer l'authentification, attendre l'analyse, écarter les faux positifs et interpréter chaque alerte. Pour qui sait, c'est une aubaine ; pour qui ne sait pas, c'est un après-midi entier et un rapport dont on ne sait par quel bout prendre.
Scanaris propose une analyse gratuite avec deux ou trois constats débloqués, et des forfaits à 24, 49 et 99 euros par mois (17, 34 et 69 en paiement annuel) pour 1, 5 et 25 projets, avec le rapport complet, les prompts, la surveillance et l'API.
Quand utiliser les deux
Ils sont complémentaires et c'est ainsi que beaucoup d'équipes les emploient : Scanaris chaque jour sur le site publié, parce qu'il est sûr, rapide et vous dit quoi corriger en premier ; la « baseline scan » de ZAP en intégration continue si vous avez un pipeline ; et une analyse active complète de ZAP, en environnement de test ou entre les mains d'un professionnel, avant un lancement important ou quand vous manipulez des données sensibles. Si vous avez construit votre appli avec Lovable, Bolt ou v0 et voulez savoir aujourd'hui s'il y a quelque chose de grave, commencez par Scanaris et par la checklist de sécurité avant lancement ; ZAP viendra ensuite.
Questions fréquentes
ZAP peut-il casser mon site ?
L'analyse passive, non. L'active, oui : elle soumet des formulaires, crée des données de test et charge le serveur. Lancez-la sur une copie ou en dehors des heures d'activité, et jamais sur un site qui n'est pas le vôtre.
Scanaris attaque-t-il mon site ?
Non. Il ne fait que lire ce que votre site montre déjà à tout visiteur, avec des requêtes limitées en cadence. C'est pourquoi il ne trouve pas d'injections : il ne les teste pas.
ZAP est-il toujours gratuit depuis son passage chez Checkmarx ?
Oui. Il reste open source sous licence Apache 2.0, et Checkmarx vend à part son propre produit commercial de tests dynamiques. Ce qui a changé, c'est le nom et qui paie les développeurs.