Czym jest każde z narzędzi
Burp Suite firmy PortSwigger to narzędzie, z którym pracuje większość zawodowych pentesterów. To aplikacja desktopowa, która staje między twoją przeglądarką a audytowaną stroną: przechwytuje każde żądanie, pozwala je zmienić i wysłać ponownie, automatyzuje warianty, by przetestować parametr tysiące razy, a w edycji Professional zawiera automatyczny skaner, który przeszukuje i sprawdza aplikację. Ma trzy edycje: Community, darmową, z narzędziami ręcznymi i bez skanera; Professional, płatną za użytkownika; oraz Enterprise, do skanowania wielu aplikacji według harmonogramu. Jest pomyślana tak, by kompetentna osoba spędzała godziny na ręcznym badaniu aplikacji.
Scanaris stoi na przeciwnym biegunie: to usługa webowa, w którą wklejasz adres opublikowanej strony i która po około trzydziestu sekundach zwraca 47 kontroli w ośmiu filarach, tylko do odczytu, uporządkowanych według wpływu, z wyjaśnieniem prostym językiem i promptem naprawczym do każdego ustalenia. Bez instalowania, bez konfigurowania i bez wiedzy o bezpieczeństwie.
Ręcznie kontra automatycznie
Różnica nie dotyczy jakości, tylko natury. Burp to instrument: to, co znajdzie, zależy od tego, kto go trzyma. Dobry pentester z Burpem odkrywa błędy w logice biznesowej, obejścia autoryzacji między użytkownikami, injection niewidoczne dla skanera i łańcuchy kilku drobnych błędów składające się na jeden poważny. Tego nie robi żadne narzędzie automatyczne, Scanaris też nie. Nawet skaner Burp Professional, który jest automatyczny, potrzebuje kogoś, kto skonfiguruje zakres, uwierzytelnianie i wykluczenia, a potem przejrzy wyniki.
Scanaris to usługa: zawsze robi to samo, z tą samą głębią, bez niczyjej obsługi. Patrzy na to, co publikuje twoja strona (nagłówki, ciasteczka, certyfikat, dostępne pliki, sekrety w JavaScripcie, poczta, domena, reputacja, SEO i widoczność dla AI), i porównuje z dobrymi praktykami. Nigdy nie wysyła spreparowanych danych: dlatego może codziennie bez ryzyka działać na produkcji i dlatego nie znajduje tego, co wymaga ataku.
Jak używa się każdego z nich
W Burpie instalujesz aplikację, kierujesz przeglądarkę przez jego proxy (albo używasz wbudowanej przeglądarki), poruszasz się po swojej aplikacji, a Burp wszystko rejestruje, a potem pracujesz na tym ruchu: powtarzasz żądania ze zmienionymi parametrami, uruchamiasz ataki siłowe na pole, sprawdzasz, co się stanie, gdy podmienisz identyfikator jednego użytkownika na identyfikator innego. W Professional dodatkowo uruchamiasz skaner na zdefiniowanym zakresie i czekasz od minut do godzin. Wynikiem jest twój własny notes z ustaleniami plus te ze skanera, które trzeba przesiać.
W Scanarisie wklejasz adres. W planie Pro skanuje ponownie codziennie bez zużywania limitu, ostrzega, gdy strona padnie lub certyfikat wygaśnie, a API i serwer MCP pozwalają uruchamiać skany z twojego własnego procesu wdrożenia. Jest w ośmiu językach, Burp po angielsku.
Co znajduje jedno, a drugie nie
- Tylko Burp (w kompetentnych rękach): błędy w logice biznesowej, dostęp do danych innych użytkowników przez zmianę identyfikatora, obejścia uwierzytelniania, injection, wyścigi, błędy w przepływach płatności lub odzyskiwania hasła. Wszystko, co wymaga zrozumienia aplikacji i ręcznego testowania.
- Tylko Scanaris: SEO i widoczność dla AI (robots, mapa strony, metadane, dane strukturalne, llms.txt, roboty AI), poczta (SPF, DKIM, DMARC), zdrowie domeny, reputacja w Safe Browsing, podstawowa dostępność i sygnały zgodności. Oraz naprawa w formie promptu, której Burp nie daje.
- Oba: nagłówki bezpieczeństwa, ciasteczka bez atrybutów, ujawnione pliki, TLS, wyciekające wersje. Skaner Burp Professional je oznacza; Scanaris je objaśnia i mówi, jak je poprawić u twojego dostawcy hostingu.
Cena (październik 2026)
Burp Suite Community jest darmowy, bez skanera i ze spowolnionym narzędziem do zautomatyzowanych ataków. Burp Suite Professional kosztuje około 500 dolarów za użytkownika rocznie po podwyżce ze stycznia 2026. Burp Suite Enterprise jest wyceniany indywidualnie. Do tego dochodzi to, ile Burp kosztuje naprawdę: godziny osoby, która go obsługuje, albo faktura za pentest, jeśli go zlecisz.
Scanaris ma darmowy skan z dwoma lub trzema odblokowanymi ustaleniami oraz plany za 24, 49 i 99 euro miesięcznie (17, 34 i 69 przy płatności rocznej) na 1, 5 i 25 projektów, z pełnym raportem, promptami, monitorowaniem i API.
Kiedy używać obu
Jeśli przetwarzasz dane wrażliwe, przyjmujesz płatności albo masz użytkowników, którzy widzą się nawzajem, ręcznego pentestu z Burpem przed startem i po każdej dużej zmianie nie zastąpi nic. Scanaris to to, co robisz we wszystkie pozostałe dni: codzienna, tania kontrola, że wdrożenie nadal jest dobrze skonfigurowane, że nikt nie zostawił odsłoniętego pliku i że Google oraz asystenci AI mogą cię czytać. Jeśli zbudowałeś aplikację w Lovable, Bolt lub v0 i dziś nie masz pentestera, zacznij od Scanarisa i od listy kontrolnej bezpieczeństwa przed startem; pentest przyjdzie, gdy projekt to uzasadni.
Często zadawane pytania
Czy mogę używać Burpa, nie będąc ekspertem?
Możesz zainstalować go za darmo, a PortSwigger oferuje bardzo dobrą darmową akademię bezpieczeństwa webowego do nauki. Ale wyciągnięcie z niego wartości zajmuje tygodnie praktyki. To nie jest narzędzie na jedno popołudnie.
Czy Scanaris zastępuje pentest?
Nie. Obejmuje konfigurację i ekspozycję twojej opublikowanej strony, a nie logikę aplikacji. Pentest znajduje rzeczy, których żaden automatyczny skaner nie zobaczy, a Scanaris znajduje rzeczy, których jednorazowy pentest nie pilnuje codziennie.
Czy bezpiecznie jest używać Burpa na stronie produkcyjnej?
Testy ręczne dotykają prawdziwych danych: zakładasz konta, zmieniasz zamówienia, wysyłasz formularze. Zwykle pracuje się na środowisku testowym. Scanaris, jako narzędzie tylko do odczytu, używany jest bezpośrednio na produkcji.