Wat elk van beide is
ZAP (Zed Attack Proxy) is wereldwijd de meestgebruikte gratis, open-source tool voor dynamische securitytests. Het ontstond binnen OWASP, en hoewel veel mensen het nog "OWASP ZAP" noemen, is het sinds 2023 geen project van die organisatie meer: sinds september 2024 heet het ZAP by Checkmarx, omdat Checkmarx het kernteam in dienst nam en de ontwikkeling financiert. Het blijft gratis, open source en regelmatig onderhouden (versie 2.17 verscheen in december 2025). Het is een desktopapplicatie, ook beschikbaar als Docker-image, die tussen je browser en de geteste site gaat zitten, de pagina's doorzoekt en gecontroleerde aanvallen uitvoert om kwetsbaarheden te vinden.
Scanaris is een webdienst: je plakt de URL van je gepubliceerde site en zo'n dertig seconden later krijg je 47 checks in acht pijlers terug, alleen-lezen, gerangschikt op impact en met een fix-prompt voor elke bevinding. Niets te installeren, niets te configureren, en het valt niets aan.
Passief tegenover actief: het verschil dat telt
Scanaris doet alleen normale verzoeken, zoals een browser die zou doen, en bekijkt wat je site antwoordt: headers, cookies, certificaat, bereikbare bestanden, het JavaScript dat je serveert, de robots.txt. Het stuurt nooit gemanipuleerde data en probeert nooit een fout uit te lokken. Daarom kun je het op elk moment zonder risico tegen een productiesite draaien.
ZAP heeft twee standen. De passieve scan bekijkt het verkeer zonder het te wijzigen, vergelijkbaar met wat Scanaris doet, en detecteert ontbrekende headers, cookies zonder attributen of gelekte informatie. De actieve scan is iets anders: die stuurt duizenden verzoeken met payloads die SQL-injectie, cross-site scripting, bestandsinclusie en tientallen andere fouten moeten uitlokken. Die stand kan formulieren invullen, records aanmaken, e-mails vanaf je site versturen of een kleine server platleggen. Gebruik hem alleen op je eigen sites, liefst in een testomgeving, en met uitdrukkelijke toestemming.
Hoe je elk van beide gebruikt
Bij ZAP installeer je de applicatie (die Java nodig heeft) of start je de container, definieer je een context met de doel-URL, stel je authenticatie in als je de privégedeelten wilt testen, start je de spider en daarna de actieve scan, die minuten tot uren duurt afhankelijk van de grootte van de site. Daarna heb je een lijst waarschuwingen per risiconiveau die je een voor een moet nalopen, omdat een deel valse positieven zijn. Om het in je deployment te hangen zijn er GitHub Actions en een automatiseringsframework in YAML; de "baseline scan" van ZAP is passief en snel, en dat is wat de meesten in continuous integration draaien.
Bij Scanaris plak je de URL. Het rapport rangschikt bevindingen op impact, legt elke bevinding in gewone taal uit en geeft een prompt die klaar is voor Cursor, Claude of je AI-editor. In het Pro-abonnement scant het dagelijks opnieuw, waarschuwt het bij uitval en bij certificaten die bijna verlopen, en kun je via de API en de MCP-server scans starten vanuit je eigen flow. Het is er in acht talen; ZAP is in het Engels met gedeeltelijke vertalingen van de community.
Wat de een vindt en de ander niet
- Alleen ZAP: SQL-injectie, gereflecteerde of opgeslagen cross-site scripting, bestandsinclusie, open redirects, fouten in de authenticatielogica van privégedeelten, problemen in REST-, GraphQL- of SOAP-API's op basis van hun definitie. Alles wat aanvallen vereist om bevestigd te worden.
- Alleen Scanaris: SEO en AI-zichtbaarheid (robots, sitemap, metadata, gestructureerde data, llms.txt, AI-crawlers), e-mail (SPF, DKIM, DMARC), domeingezondheid, Safe Browsing-reputatie, basistoegankelijkheid, signalen van juridische compliance. En vooral de fix: ZAP beschrijft het probleem in algemene termen; Scanaris geeft je de prompt.
- Beide: ontbrekende of zwakke security-headers, cookies zonder attributen, blootgestelde bestanden en mappen, gelekte serverversies, TLS. Hier is ZAP grondiger en Scanaris leesbaarder.
Prijs (oktober 2026)
ZAP kost geen geld. Het kost tijd: installeren, authenticatie instellen, wachten op de scan, valse positieven wegstrepen en elke waarschuwing interpreteren. Voor wie het kent is het een koopje; voor wie het niet kent is het een hele middag en een rapport waar je niet aan durft te beginnen.
Scanaris heeft een gratis scan met twee of drie ontgrendelde bevindingen, en abonnementen van 24, 49 en 99 euro per maand (17, 34 en 69 bij jaarlijkse betaling) voor 1, 5 en 25 projecten, met het volledige rapport, de prompts, monitoring en de API.
Wanneer je beide gebruikt
Ze vullen elkaar aan en zo gebruiken veel teams ze: Scanaris elke dag op de gepubliceerde site, omdat het veilig en snel is en je vertelt wat je eerst moet oplossen; de "baseline scan" van ZAP in continuous integration als je een pipeline hebt; en een volledige actieve ZAP-scan, in een testomgeving of in handen van een professional, vóór een grote lancering of wanneer je gevoelige data verwerkt. Heb je je app met Lovable, Bolt of v0 gebouwd en wil je vandaag weten of er iets ernstigs mis is, begin dan met Scanaris en de security-checklist vóór de lancering; ZAP komt daarna.
Veelgestelde vragen
Kan ZAP mijn site stukmaken?
De passieve scan niet. De actieve wel: die verstuurt formulieren, maakt testdata aan en belast de server. Draai hem op een kopie of buiten kantooruren, en nooit op een site die niet van jou is.
Valt Scanaris mijn site aan?
Nee. Het leest alleen wat je site al aan elke bezoeker toont, met verzoeken in een beperkt tempo. Daarom vindt het geen injecties: het test er niet op.
Is ZAP nog gratis na de overgang naar Checkmarx?
Ja. Het blijft open source onder de Apache 2.0-licentie, en Checkmarx verkoopt zijn eigen commerciële product voor dynamische tests apart. Wat veranderde is de naam en wie de ontwikkelaars betaalt.