Wat elk van beide is
Burp Suite, van PortSwigger, is de tool waarmee de meeste professionele pentesters werken. Het is een desktopapplicatie die tussen je browser en de geauditeerde site gaat zitten: ze vangt elk verzoek op, laat je het wijzigen en opnieuw versturen, automatiseert varianten om een parameter duizenden keren te testen en bevat in de Professional-editie een automatische scanner die de applicatie doorzoekt en controleert. Er zijn drie edities: Community, gratis, met de handmatige tools en zonder scanner; Professional, betaald per gebruiker; en Enterprise, om veel applicaties volgens schema te scannen. Ze is bedoeld om een deskundig iemand urenlang handmatig een applicatie te laten verkennen.
Scanaris staat aan het andere uiteinde: een webdienst waarin je de URL van je gepubliceerde site plakt en die zo'n dertig seconden later 47 checks in acht pijlers teruggeeft, alleen-lezen, gerangschikt op impact, met een uitleg in gewone taal en een fix-prompt voor elke bevinding. Niets te installeren, niets te configureren, geen securitykennis nodig.
Handmatig tegenover automatisch
Het verschil zit niet in kwaliteit maar in aard. Burp is een instrument: wat het vindt hangt af van wie het hanteert. Een goede pentester met Burp ontdekt fouten in de bedrijfslogica, autorisatie-omzeilingen tussen gebruikers, injecties die een scanner niet ziet en ketens van meerdere kleine fouten tot één ernstige. Dat doet geen enkele automatische tool, en Scanaris ook niet. Zelfs de scanner van Burp Professional, die wél automatisch is, heeft iemand nodig die de scope, de authenticatie en de uitsluitingen instelt en daarna de resultaten nakijkt.
Scanaris is een dienst: het doet altijd hetzelfde, even diep, zonder dat iemand het bedient. Het bekijkt wat je site publiceert (headers, cookies, certificaat, bereikbare bestanden, geheimen in het JavaScript, e-mail, domein, reputatie, SEO en AI-zichtbaarheid) en vergelijkt dat met goede praktijken. Het stuurt nooit gemanipuleerde data: daarom kan het dagelijks zonder risico tegen productie draaien, en daarom vindt het niet wat aanvallen vereist.
Hoe je elk van beide gebruikt
Bij Burp installeer je de applicatie, laat je je browser via de proxy lopen (of gebruik je de ingebouwde browser), loop je door je applicatie terwijl Burp alles vastlegt, en werk je daarna op dat verkeer: je herhaalt verzoeken met andere parameters, voert brute-force-aanvallen uit op een veld, test wat er gebeurt als je de identificatie van de ene gebruiker door die van een andere vervangt. In Professional start je bovendien de scanner over de gedefinieerde scope en wacht je minuten tot uren. Het resultaat is je eigen notitieboek met bevindingen, plus die van de scanner, die je moet sorteren.
Bij Scanaris plak je de URL. In het Pro-abonnement scant het dagelijks opnieuw zonder je quotum te verbruiken, waarschuwt het als de site uitvalt of het certificaat verloopt, en kun je via de API en de MCP-server scans starten vanuit je eigen deploymentflow. Het is er in acht talen, Burp in het Engels.
Wat de een vindt en de ander niet
- Alleen Burp (in bekwame handen): fouten in de bedrijfslogica, toegang tot data van andere gebruikers door een identificatie te wijzigen, authenticatie-omzeilingen, injecties, race conditions, fouten in betaal- of wachtwoordherstelflows. Alles wat begrip van de applicatie en handmatig testen vereist.
- Alleen Scanaris: SEO en AI-zichtbaarheid (robots, sitemap, metadata, gestructureerde data, llms.txt, AI-crawlers), e-mail (SPF, DKIM, DMARC), domeingezondheid, Safe Browsing-reputatie, basistoegankelijkheid en compliance-signalen. En de fix als prompt, die Burp niet geeft.
- Beide: security-headers, cookies zonder attributen, blootgestelde bestanden, TLS, gelekte versies. De scanner van Burp Professional markeert ze; Scanaris legt ze uit en vertelt je hoe je ze bij je hoster oplost.
Prijs (oktober 2026)
Burp Suite Community is gratis, zonder scanner en met een vertraagde geautomatiseerde aanvalstool. Burp Suite Professional kost na de prijsverhoging van januari 2026 ongeveer 500 dollar per gebruiker per jaar. Burp Suite Enterprise is op offerte. Daar komt bij wat Burp écht kost: de uren van de persoon die ermee werkt, of de factuur van de pentest als je die uitbesteedt.
Scanaris heeft een gratis scan met twee of drie ontgrendelde bevindingen, en abonnementen van 24, 49 en 99 euro per maand (17, 34 en 69 bij jaarlijkse betaling) voor 1, 5 en 25 projecten, met het volledige rapport, de prompts, monitoring en de API.
Wanneer je beide gebruikt
Verwerk je gevoelige data, neem je betalingen aan of heb je gebruikers die elkaar kunnen zien, dan vervangt niets een handmatige pentest met Burp vóór de lancering en na elke grote wijziging. Scanaris is wat je op alle andere dagen doet: de dagelijkse, goedkope controle dat de deployment nog goed geconfigureerd is, dat niemand een bestand open heeft laten staan en dat Google en AI-assistenten je kunnen lezen. Heb je je app met Lovable, Bolt of v0 gebouwd en heb je vandaag geen pentester, begin dan met Scanaris en de security-checklist vóór de lancering; de pentest komt wanneer het project het rechtvaardigt.
Veelgestelde vragen
Kan ik Burp gebruiken zonder expert te zijn?
Je kunt het gratis installeren, en PortSwigger biedt een uitstekende gratis websecurity-academie om het te leren. Maar er waarde uit halen kost weken oefening. Het is geen tool voor één middag.
Vervangt Scanaris een pentest?
Nee. Het dekt de configuratie en de blootstelling van je gepubliceerde site, niet de logica van je applicatie. Een pentest vindt dingen die geen enkele automatische scanner ziet, en Scanaris vindt dingen die een eenmalige pentest niet elke dag in de gaten houdt.
Is het veilig om Burp tegen mijn productiesite te gebruiken?
Handmatig testen raakt echte data: je maakt accounts aan, wijzigt bestellingen, verstuurt formulieren. Gebruikelijk is om op een testomgeving te werken. Scanaris wordt, omdat het alleen leest, rechtstreeks tegen productie gebruikt.