Czym jest każde z narzędzi
ZAP (Zed Attack Proxy) to najczęściej używane na świecie darmowe, otwartoźródłowe narzędzie do dynamicznych testów bezpieczeństwa. Powstał w ramach OWASP i choć wiele osób wciąż mówi „OWASP ZAP”, od 2023 roku nie jest już projektem tej organizacji: od września 2024 nazywa się ZAP by Checkmarx, bo Checkmarx zatrudnił jego główny zespół i finansuje rozwój. Pozostaje darmowy, otwartoźródłowy i regularnie utrzymywany (wersja 2.17 wyszła w grudniu 2025). To aplikacja desktopowa, dostępna też jako obraz Dockera, która staje między twoją przeglądarką a testowaną stroną, przeszukuje jej podstrony i przeprowadza kontrolowane ataki, żeby znaleźć luki.
Scanaris to usługa webowa: wklejasz adres opublikowanej strony i po około trzydziestu sekundach dostajesz 47 kontroli w ośmiu filarach, tylko do odczytu, uporządkowanych według wpływu i z promptem naprawczym do każdego ustalenia. Nic nie instalujesz, nic nie konfigurujesz i nic nie jest atakowane.
Pasywnie kontra aktywnie: różnica, która ma znaczenie
Scanaris wysyła tylko zwykłe żądania, takie jak przeglądarka, i ogląda to, co twoja strona odpowiada: nagłówki, ciasteczka, certyfikat, dostępne pliki, serwowany JavaScript, robots.txt. Nigdy nie wysyła spreparowanych danych ani nie próbuje wywołać błędu. Dlatego można go bez ryzyka uruchomić na stronie produkcyjnej o każdej porze.
ZAP ma dwa tryby. Skan pasywny obserwuje ruch bez zmieniania go, podobnie jak Scanaris, i wykrywa brakujące nagłówki, ciasteczka bez atrybutów czy wyciekające informacje. Skan aktywny to co innego: wysyła tysiące żądań z ładunkami zaprojektowanymi tak, by wywołać SQL injection, cross-site scripting, dołączanie plików i dziesiątki innych błędów. Ten tryb potrafi wypełniać formularze, tworzyć rekordy, wysyłać e-maile z twojej strony albo położyć mały serwer. Wolno go używać tylko na własnych stronach, najlepiej w środowisku testowym, i za wyraźną zgodą.
Jak używa się każdego z nich
W ZAP instalujesz aplikację (wymaga Javy) albo uruchamiasz kontener, definiujesz kontekst z docelowym adresem, konfigurujesz uwierzytelnianie, jeśli chcesz testować części prywatne, uruchamiasz pająka, a potem skan aktywny, który trwa od minut do godzin zależnie od wielkości strony. Na końcu masz listę alertów według poziomu ryzyka, które trzeba przejrzeć jeden po drugim, bo część z nich to fałszywe alarmy. Do wpięcia we wdrożenie są GitHub Actions i framework automatyzacji w YAML-u; „baseline scan” ZAP-a jest pasywny i szybki, i to jego większość uruchamia w ciągłej integracji.
W Scanarisie wklejasz adres. Raport porządkuje ustalenia według wpływu, objaśnia każde prostym językiem i daje prompt gotowy do Cursora, Claude'a lub twojego edytora z AI. W planie Pro skanuje ponownie codziennie, ostrzega o awariach i certyfikatach bliskich wygaśnięcia, a API i serwer MCP pozwalają uruchamiać skany z twojego własnego procesu. Jest w ośmiu językach; ZAP jest po angielsku z częściowymi tłumaczeniami społeczności.
Co znajduje jedno, a drugie nie
- Tylko ZAP: SQL injection, odbity lub zapisany cross-site scripting, dołączanie plików, otwarte przekierowania, błędy w logice uwierzytelniania części prywatnych, problemy w API REST, GraphQL lub SOAP na podstawie ich definicji. Wszystko, co wymaga ataku, żeby to potwierdzić.
- Tylko Scanaris: SEO i widoczność dla AI (robots, mapa strony, metadane, dane strukturalne, llms.txt, roboty AI), poczta (SPF, DKIM, DMARC), zdrowie domeny, reputacja w Safe Browsing, podstawowa dostępność, sygnały zgodności prawnej. A przede wszystkim naprawa: ZAP opisuje problem ogólnie; Scanaris daje ci prompt.
- Oba: brakujące lub słabe nagłówki bezpieczeństwa, ciasteczka bez atrybutów, ujawnione pliki i katalogi, wyciekające wersje serwera, TLS. Tu ZAP jest dokładniejszy, a Scanaris czytelniejszy.
Cena (październik 2026)
ZAP nie kosztuje pieniędzy. Kosztuje czas: instalację, konfigurację uwierzytelniania, czekanie na skan, odrzucanie fałszywych alarmów i interpretowanie każdego alertu. Dla kogoś, kto się zna, to okazja; dla kogoś, kto się nie zna, to całe popołudnie i raport, do którego nie wiadomo, jak się zabrać.
Scanaris ma darmowy skan z dwoma lub trzema odblokowanymi ustaleniami oraz plany za 24, 49 i 99 euro miesięcznie (17, 34 i 69 przy płatności rocznej) na 1, 5 i 25 projektów, z pełnym raportem, promptami, monitorowaniem i API.
Kiedy używać obu
Uzupełniają się i tak używa ich wiele zespołów: Scanaris codziennie na opublikowanej stronie, bo jest bezpieczny, szybki i mówi, co naprawić najpierw; „baseline scan” ZAP-a w ciągłej integracji, jeśli masz pipeline; i pełny aktywny skan ZAP-a, w środowisku testowym albo w rękach profesjonalisty, przed ważnym startem lub gdy przetwarzasz dane wrażliwe. Jeśli zbudowałeś aplikację w Lovable, Bolt lub v0 i chcesz dziś wiedzieć, czy jest coś poważnego, zacznij od Scanarisa i od listy kontrolnej bezpieczeństwa przed startem; ZAP przyjdzie później.
Często zadawane pytania
Czy ZAP może zepsuć moją stronę?
Skan pasywny nie. Aktywny może: wysyła formularze, tworzy dane testowe i obciąża serwer. Uruchamiaj go na kopii albo poza godzinami pracy, i nigdy na stronie, która nie jest twoja.
Czy Scanaris atakuje moją stronę?
Nie. Czyta tylko to, co twoja strona i tak pokazuje każdemu odwiedzającemu, żądaniami o ograniczonym tempie. Dlatego nie znajduje injection: nie testuje ich.
Czy ZAP jest nadal darmowy po przejściu do Checkmarx?
Tak. Pozostaje otwartoźródłowy na licencji Apache 2.0, a Checkmarx osobno sprzedaje własny komercyjny produkt do testów dynamicznych. Zmieniła się nazwa i to, kto płaci deweloperom.