O que é cada um
O Burp Suite, da PortSwigger, é a ferramenta com que trabalha a maioria dos pentesters profissionais. É uma aplicação de desktop que se coloca entre o teu navegador e o site que auditas: captura cada pedido, deixa-te modificá-lo e reenviá-lo, automatiza variações para testar um parâmetro milhares de vezes e, na edição Professional, inclui um scanner automático que rastreia e audita a aplicação. Tem três edições: Community, gratuita, com as ferramentas manuais e sem scanner; Professional, paga por utilizador; e Enterprise, para analisar muitas aplicações de forma programada. Foi pensada para que uma pessoa com conhecimentos passe horas a explorar uma aplicação à mão.
O Scanaris está no extremo oposto: um serviço web em que colas o URL do teu site publicado e que, em cerca de trinta segundos, devolve 47 verificações em oito pilares, só de leitura, ordenadas por impacto, com uma explicação em linguagem simples e um prompt de correção por cada resultado. Sem instalar, sem configurar e sem saber de segurança.
Manual contra automático
A diferença não é de qualidade, é de natureza. O Burp é um instrumento: o que encontra depende de quem o usa. Um bom pentester com o Burp descobre falhas de lógica de negócio, saltos de autorização entre utilizadores, injeções que um scanner não vê e encadeamentos de várias falhas pequenas numa grave. Isso nenhuma ferramenta automática faz, e o Scanaris também não. Mesmo o scanner do Burp Professional, que é automático, precisa de alguém que configure o âmbito, a autenticação e as exclusões, e que depois reveja os resultados.
O Scanaris é um serviço: faz sempre o mesmo, com a mesma profundidade, sem que ninguém o opere. Olha para o que o teu site publica (cabeçalhos, cookies, certificado, ficheiros acessíveis, segredos no JavaScript, e-mail, domínio, reputação, SEO e visibilidade perante a IA) e compara-o com boas práticas. Nunca envia dados manipulados: por isso pode correr diariamente contra produção sem risco, e por isso não encontra o que exige atacar.
Como se usa cada um
Com o Burp instalas a aplicação, configuras o navegador para passar pelo seu proxy (ou usas o navegador que traz incorporado), navegas pela tua aplicação enquanto o Burp regista tudo, e depois trabalhas sobre esse tráfego: repetes pedidos mudando parâmetros, lanças ataques de força sobre um campo, testas o que acontece se trocares o identificador de um utilizador pelo de outro. No Professional, além disso, lanças o scanner sobre o âmbito definido e esperas de minutos a horas. O resultado é o teu próprio caderno de resultados, mais os do scanner, que é preciso triar.
Com o Scanaris colas o URL. No plano Pro volta a analisar diariamente sem gastar a tua quota, avisa se o site cair ou o certificado expirar, e a API e o servidor MCP permitem lançar análises a partir do teu próprio fluxo de implantação. Está em oito idiomas, o Burp em inglês.
O que um encontra e o outro não
- Só o Burp (nas mãos de quem sabe): falhas de lógica de negócio, acesso a dados de outros utilizadores mudando um identificador, saltos de autenticação, injeções, condições de corrida, falhas em fluxos de pagamento ou de recuperação de palavra-passe. Tudo o que exige perceber a aplicação e testá-la à mão.
- Só o Scanaris: SEO e visibilidade perante a IA (robots, sitemap, metadados, dados estruturados, llms.txt, rastreadores de IA), e-mail (SPF, DKIM, DMARC), saúde do domínio, reputação no Safe Browsing, acessibilidade básica e sinais de conformidade. E a correção em forma de prompt, que o Burp não dá.
- Os dois: cabeçalhos de segurança, cookies sem atributos, ficheiros expostos, TLS, versões reveladas. O scanner do Burp Professional assinala-os; o Scanaris explica-os e diz-te como os corrigir no teu alojamento.
Preço (outubro de 2026)
O Burp Suite Community é gratuito, sem scanner e com o ataque automatizado limitado em velocidade. O Burp Suite Professional custa cerca de 500 dólares por utilizador e ano, depois da subida de preços de janeiro de 2026. O Burp Suite Enterprise é orçamentado à medida. A isso há que somar o que o Burp realmente custa: as horas de quem o usa, ou a fatura do pentest se o contratares.
O Scanaris tem uma análise gratuita com dois ou três resultados desbloqueados, e planos de 24, 49 e 99 euros por mês (17, 34 e 69 se pagares o ano) para 1, 5 e 25 projetos, com o relatório completo, os prompts, a monitorização e a API.
Quando usar os dois
Se lidas com dados sensíveis, cobras dinheiro ou tens utilizadores que se veem uns aos outros, um pentest manual com o Burp antes de lançar e depois de cada alteração grande não é substituído por nada. O Scanaris é o que fazes nos outros dias: a verificação diária e barata de que a implantação continua bem configurada, de que ninguém deixou um ficheiro exposto e de que o Google e os assistentes de IA te conseguem ler. Se fizeste a tua app com Lovable, Bolt ou v0 e hoje não tens pentester, começa pelo Scanaris e pela lista de verificação de segurança antes do lançamento; o pentest chegará quando o projeto o justificar.
Perguntas frequentes
Posso usar o Burp sem ser especialista?
Podes instalá-lo gratuitamente, e a PortSwigger oferece uma academia de segurança web gratuita muito boa para aprender. Mas tirar-lhe partido leva semanas de prática. Não é uma ferramenta para uma tarde.
O Scanaris substitui um pentest?
Não. Cobre a configuração e a exposição do teu site publicado, não a lógica da tua aplicação. Um pentest encontra coisas que nenhum scanner automático verá, e o Scanaris encontra coisas que um pentest pontual não vigia todos os dias.
É seguro usar o Burp contra o meu site em produção?
Os testes manuais tocam em dados reais: crias contas, modificas pedidos, envias formulários. O habitual é trabalhar num ambiente de testes. O Scanaris, por ser só de leitura, usa-se diretamente contra produção.