Cos'è ciascuno
ZAP (Zed Attack Proxy) è lo strumento di test dinamici di sicurezza gratuito e open source più usato al mondo. È nato dentro OWASP e, anche se molti continuano a chiamarlo "OWASP ZAP", dal 2023 non è più un progetto di quell'organizzazione: da settembre 2024 si chiama ZAP by Checkmarx, perché Checkmarx ha assunto il suo team principale e finanzia lo sviluppo. Resta gratuito, open source e mantenuto con regolarità (la versione 2.17 è uscita a dicembre 2025). È un'applicazione desktop, disponibile anche come immagine Docker, che si mette tra il tuo browser e il sito sotto test, ne esplora le pagine e lancia attacchi controllati per trovare vulnerabilità.
Scanaris è un servizio web: incolli l'URL del tuo sito pubblicato e in una trentina di secondi restituisce 47 controlli in otto pilastri, in sola lettura, ordinati per impatto e con un prompt di correzione per ogni risultato. Niente da installare, niente da configurare, e non attacca nulla.
Passivo contro attivo: la differenza che conta
Scanaris fa solo richieste normali, come quelle che farebbe un browser, ed esamina ciò che il tuo sito risponde: header, cookie, certificato, file raggiungibili, il JavaScript che servi, il robots.txt. Non invia mai dati manipolati né prova a provocare un errore. Per questo può girare contro un sito in produzione a qualsiasi ora senza rischi.
ZAP ha due modalità. La scansione passiva osserva il traffico senza alterarlo, in modo simile a Scanaris, e rileva header mancanti, cookie senza attributi o informazioni che trapelano. La scansione attiva è un'altra cosa: invia migliaia di richieste con payload pensati per provocare SQL injection, cross-site scripting, inclusione di file e decine di altri difetti. Quella modalità può compilare moduli, creare record, inviare e-mail dal tuo sito o mettere giù un server piccolo. Va usata solo su siti propri, meglio in un ambiente di test, e con autorizzazione esplicita.
Come si usa ciascuno
Con ZAP installi l'applicazione (richiede Java) o avvii il suo container, definisci un contesto con l'URL bersaglio, configuri l'autenticazione se vuoi testare le aree private, lanci lo spider e poi la scansione attiva, che impiega da minuti a ore a seconda delle dimensioni del sito. Alla fine hai una lista di avvisi per livello di rischio da rivedere uno a uno, perché una parte saranno falsi positivi. Per integrarlo nel deploy ci sono le GitHub Actions e un framework di automazione in YAML; la "baseline scan" di ZAP è passiva e rapida, ed è ciò che la maggior parte usa in integrazione continua.
Con Scanaris incolli l'URL. Il report ordina i risultati per impatto, spiega ciascuno in linguaggio semplice e dà un prompt pronto per Cursor, Claude o il tuo editor con IA. Nel piano Pro ripete la scansione ogni giorno, avvisa di cadute e di certificati in scadenza, e l'API e il server MCP permettono di lanciare scansioni dal tuo flusso. È in otto lingue; ZAP è in inglese con traduzioni parziali della community.
Cosa trova uno e l'altro no
- Solo ZAP: SQL injection, cross-site scripting riflesso o memorizzato, inclusione di file, redirect aperti, difetti nella logica di autenticazione delle aree private, problemi nelle API REST, GraphQL o SOAP a partire dalla loro definizione. Tutto ciò che richiede di attaccare per essere confermato.
- Solo Scanaris: SEO e visibilità presso l'IA (robots, sitemap, metadati, dati strutturati, llms.txt, crawler di IA), e-mail (SPF, DKIM, DMARC), salute del dominio, reputazione su Safe Browsing, accessibilità di base, segnali di conformità legale. E soprattutto la correzione: ZAP descrive il problema in modo generico; Scanaris ti consegna il prompt.
- Entrambi: header di sicurezza mancanti o deboli, cookie senza attributi, file e directory esposti, versioni del server rivelate, TLS. Qui ZAP è più esaustivo e Scanaris più leggibile.
Prezzo (ottobre 2026)
ZAP non costa denaro. Costa tempo: installare, configurare l'autenticazione, aspettare la scansione, scartare i falsi positivi e interpretare ogni avviso. Per chi sa, è un affare; per chi non sa, è un pomeriggio intero e un report da cui non si sa da che parte cominciare.
Scanaris ha una scansione gratuita con due o tre risultati sbloccati, e piani a 24, 49 e 99 euro al mese (17, 34 e 69 se paghi l'anno) per 1, 5 e 25 progetti, con il report completo, i prompt, il monitoraggio e l'API.
Quando usare entrambi
Sono complementari ed è così che li usano molti team: Scanaris ogni giorno sul sito pubblicato, perché è sicuro, rapido e ti dice cosa correggere per primo; la "baseline scan" di ZAP in integrazione continua se hai una pipeline; e una scansione attiva completa di ZAP, in un ambiente di test o nelle mani di un professionista, prima di un lancio importante o quando gestisci dati sensibili. Se hai costruito la tua app con Lovable, Bolt o v0 e vuoi sapere oggi se c'è qualcosa di grave, parti da Scanaris e dalla checklist di sicurezza prima del lancio; ZAP verrà dopo.
Domande frequenti
ZAP può rompere il mio sito?
La scansione passiva no. Quella attiva sì: invia moduli, crea dati di prova e carica il server. Falla su una copia o fuori orario, e mai su un sito che non sia tuo.
Scanaris attacca il mio sito?
No. Legge solo ciò che il tuo sito mostra già a qualsiasi visitatore, con richieste a ritmo limitato. Per questo non trova injection: non le prova.
ZAP è ancora gratuito dopo il passaggio a Checkmarx?
Sì. Resta open source con licenza Apache 2.0, e Checkmarx vende a parte il proprio prodotto commerciale di test dinamici. Ciò che è cambiato è il nome e chi paga gli sviluppatori.