Cos'è ciascuno
Burp Suite, di PortSwigger, è lo strumento con cui lavora la maggior parte dei pentester professionisti. È un'applicazione desktop che si mette tra il tuo browser e il sito sotto audit: cattura ogni richiesta, ti lascia modificarla e rinviarla, automatizza variazioni per provare un parametro migliaia di volte e, nell'edizione Professional, include uno scanner automatico che esplora e verifica l'applicazione. Ha tre edizioni: Community, gratuita, con gli strumenti manuali e senza scanner; Professional, a pagamento per utente; ed Enterprise, per scansionare molte applicazioni in modo pianificato. È pensata perché una persona competente passi ore a esplorare un'applicazione a mano.
Scanaris sta all'estremo opposto: un servizio web in cui incolli l'URL del tuo sito pubblicato e che, in una trentina di secondi, restituisce 47 controlli in otto pilastri, in sola lettura, ordinati per impatto, con una spiegazione in linguaggio semplice e un prompt di correzione per ogni risultato. Niente da installare, niente da configurare, nessuna competenza di sicurezza richiesta.
Manuale contro automatico
La differenza non è di qualità, è di natura. Burp è uno strumento: ciò che trova dipende da chi lo usa. Un buon pentester con Burp scopre difetti di logica di business, scavalcamenti di autorizzazione tra utenti, injection che uno scanner non vede e concatenazioni di più piccoli difetti in uno grave. Questo nessuno strumento automatico lo fa, e nemmeno Scanaris. Perfino lo scanner di Burp Professional, che è automatico, ha bisogno di qualcuno che configuri il perimetro, l'autenticazione e le esclusioni, e che poi ne riveda i risultati.
Scanaris è un servizio: fa sempre la stessa cosa, con la stessa profondità, senza che nessuno lo operi. Guarda ciò che il tuo sito pubblica (header, cookie, certificato, file raggiungibili, segreti nel JavaScript, e-mail, dominio, reputazione, SEO e visibilità presso l'IA) e lo confronta con le buone pratiche. Non invia mai dati manipolati: per questo può girare ogni giorno contro la produzione senza rischi, e per questo non trova ciò che richiede di attaccare.
Come si usa ciascuno
Con Burp installi l'applicazione, fai passare il browser dal suo proxy (o usi il browser integrato), navighi nella tua applicazione mentre Burp registra tutto, e poi lavori su quel traffico: ripeti richieste cambiando i parametri, lanci attacchi a forza bruta su un campo, provi cosa succede se scambi l'identificativo di un utente con quello di un altro. In Professional, inoltre, lanci lo scanner sul perimetro definito e aspetti da minuti a ore. Il risultato è il tuo quaderno di risultati, più quelli dello scanner, da smistare.
Con Scanaris incolli l'URL. Nel piano Pro ripete la scansione ogni giorno senza consumare la tua quota, ti avvisa se il sito va giù o il certificato scade, e l'API e il server MCP permettono di avviare scansioni dal tuo flusso di deploy. È in otto lingue, Burp in inglese.
Cosa trova uno e l'altro no
- Solo Burp (in mani competenti): difetti di logica di business, accesso ai dati di altri utenti cambiando un identificativo, scavalcamenti di autenticazione, injection, race condition, difetti nei flussi di pagamento o di recupero password. Tutto ciò che richiede di capire l'applicazione e provarla a mano.
- Solo Scanaris: SEO e visibilità presso l'IA (robots, sitemap, metadati, dati strutturati, llms.txt, crawler di IA), e-mail (SPF, DKIM, DMARC), salute del dominio, reputazione su Safe Browsing, accessibilità di base e segnali di conformità. E la correzione in forma di prompt, che Burp non dà.
- Entrambi: header di sicurezza, cookie senza attributi, file esposti, TLS, versioni rivelate. Lo scanner di Burp Professional li segnala; Scanaris li spiega e ti dice come correggerli sul tuo hosting.
Prezzo (ottobre 2026)
Burp Suite Community è gratuito, senza scanner e con lo strumento di attacco automatizzato limitato in velocità. Burp Suite Professional costa circa 500 dollari per utente all'anno dopo l'aumento di prezzo di gennaio 2026. Burp Suite Enterprise è su preventivo. A questo va aggiunto ciò che Burp costa davvero: le ore di chi lo usa, o la fattura del pentest se lo commissioni.
Scanaris ha una scansione gratuita con due o tre risultati sbloccati, e piani a 24, 49 e 99 euro al mese (17, 34 e 69 se paghi l'anno) per 1, 5 e 25 progetti, con il report completo, i prompt, il monitoraggio e l'API.
Quando usare entrambi
Se gestisci dati sensibili, incassi pagamenti o hai utenti che si vedono tra loro, un pentest manuale con Burp prima del lancio e dopo ogni cambiamento importante non lo sostituisce nulla. Scanaris è ciò che fai tutti gli altri giorni: il controllo quotidiano ed economico che il deploy è ancora configurato bene, che nessuno ha lasciato un file esposto e che Google e gli assistenti IA riescono a leggerti. Se hai costruito la tua app con Lovable, Bolt o v0 e oggi non hai un pentester, parti da Scanaris e dalla checklist di sicurezza prima del lancio; il pentest arriverà quando il progetto lo giustificherà.
Domande frequenti
Posso usare Burp senza essere un esperto?
Puoi installarlo gratis, e PortSwigger offre un'ottima accademia gratuita di sicurezza web per imparare. Ma trarne valore richiede settimane di pratica. Non è uno strumento per un pomeriggio.
Scanaris sostituisce un pentest?
No. Copre la configurazione e l'esposizione del tuo sito pubblicato, non la logica della tua applicazione. Un pentest trova cose che nessuno scanner automatico vedrà, e Scanaris trova cose che un pentest una tantum non sorveglia ogni giorno.
È sicuro usare Burp contro il mio sito in produzione?
I test manuali toccano dati reali: crei account, modifichi ordini, invii moduli. La prassi è lavorare su un ambiente di test. Scanaris, essendo in sola lettura, si usa direttamente contro la produzione.