O que é cada um
O ZAP (Zed Attack Proxy) é a ferramenta de testes dinâmicos de segurança gratuita e de código aberto mais usada do mundo. Nasceu dentro da OWASP e, embora muita gente continue a chamar-lhe "OWASP ZAP", desde 2023 já não é um projeto dessa organização: desde setembro de 2024 chama-se ZAP by Checkmarx, porque a Checkmarx contratou a sua equipa principal e financia o desenvolvimento. Continua gratuito, de código aberto e mantido com regularidade (a versão 2.17 saiu em dezembro de 2025). É uma aplicação de desktop, também disponível como imagem Docker, que se coloca entre o teu navegador e o site que testas, rastreia as suas páginas e lança ataques controlados para encontrar vulnerabilidades.
O Scanaris é um serviço web: colas o URL do teu site publicado e em cerca de trinta segundos devolve 47 verificações em oito pilares, só de leitura, ordenadas por impacto e com um prompt de correção por cada resultado. Não se instala, não se configura e não ataca nada.
Passivo contra ativo: a diferença que importa
O Scanaris só faz pedidos normais, como os que faria um navegador, e examina o que o teu site responde: cabeçalhos, cookies, certificado, ficheiros acessíveis, o JavaScript que serves, o robots.txt. Nunca envia dados manipulados nem tenta provocar uma falha. Por isso pode correr contra um site em produção a qualquer hora sem risco.
O ZAP tem dois modos. A análise passiva observa o tráfego sem o alterar, parecido com o que faz o Scanaris, e deteta cabeçalhos em falta, cookies sem atributos ou informação exposta. A análise ativa é outra coisa: envia milhares de pedidos com cargas desenhadas para provocar injeções SQL, scripts entre sites, inclusão de ficheiros e dezenas de outras falhas. Esse modo pode preencher formulários, criar registos, enviar e-mails a partir do teu site ou derrubar um servidor pequeno. Só deve ser usado em sites próprios, de preferência num ambiente de testes, e com autorização explícita.
Como se usa cada um
Com o ZAP instalas a aplicação (precisa de Java) ou arrancas o seu contentor, defines um contexto com o URL alvo, configuras a autenticação se quiseres testar as áreas privadas, lanças o rastreador e depois a análise ativa, que demora de minutos a horas conforme o tamanho do site. No fim tens uma lista de alertas por nível de risco que é preciso rever um a um, porque uma parte serão falsos positivos. Para o integrar na implantação há ações do GitHub e um framework de automatização em YAML; a "baseline scan" do ZAP é passiva e rápida, e é o que a maioria usa em integração contínua.
Com o Scanaris colas o URL. O relatório ordena os resultados por impacto, explica cada um em linguagem simples e dá um prompt pronto para o Cursor, o Claude ou o teu editor com IA. No plano Pro volta a analisar diariamente, avisa de quedas e de certificados prestes a expirar, e a API e o servidor MCP permitem lançar análises a partir do teu próprio fluxo. Está em oito idiomas; o ZAP está em inglês com traduções parciais da comunidade.
O que um encontra e o outro não
- Só o ZAP: injeções SQL, scripts entre sites refletidos ou armazenados, inclusão de ficheiros, redirecionamentos abertos, falhas na lógica de autenticação das áreas privadas, problemas em APIs REST, GraphQL ou SOAP a partir da sua definição. Tudo o que exige atacar para se confirmar.
- Só o Scanaris: SEO e visibilidade perante a IA (robots, sitemap, metadados, dados estruturados, llms.txt, rastreadores de IA), e-mail (SPF, DKIM, DMARC), saúde do domínio, reputação no Safe Browsing, acessibilidade básica, sinais de conformidade legal. E, sobretudo, a correção: o ZAP descreve o problema de forma genérica; o Scanaris dá-te o prompt.
- Os dois: cabeçalhos de segurança em falta ou fracos, cookies sem atributos, ficheiros e diretórios expostos, versões do servidor reveladas, TLS. Aqui o ZAP é mais exaustivo e o Scanaris mais legível.
Preço (outubro de 2026)
O ZAP não custa dinheiro. Custa tempo: instalar, configurar a autenticação, esperar pela análise, descartar falsos positivos e interpretar cada alerta. Para quem sabe, é uma pechincha; para quem não sabe, é uma tarde inteira e um relatório que não sabe por onde pegar.
O Scanaris tem uma análise gratuita com dois ou três resultados desbloqueados, e planos de 24, 49 e 99 euros por mês (17, 34 e 69 se pagares o ano) para 1, 5 e 25 projetos, com o relatório completo, os prompts, a monitorização e a API.
Quando usar os dois
São complementares e é assim que muitas equipas os usam: o Scanaris todos os dias sobre o site publicado, porque é seguro, rápido e diz-te o que corrigir primeiro; a "baseline scan" do ZAP em integração contínua se tens pipeline; e uma análise ativa completa do ZAP, num ambiente de testes ou nas mãos de um profissional, antes de um lançamento importante ou quando lidas com dados sensíveis. Se fizeste a tua app com Lovable, Bolt ou v0 e queres saber hoje se há algo grave, começa pelo Scanaris e pela lista de verificação de segurança antes do lançamento; o ZAP vem depois.
Perguntas frequentes
O ZAP pode partir o meu site?
A análise passiva não. A ativa pode: submete formulários, cria dados de teste e carrega o servidor. Fá-la sobre uma cópia ou fora de horas, e nunca sobre um site que não seja teu.
O Scanaris ataca o meu site?
Não. Só lê o que o teu site já mostra a qualquer visitante, com pedidos limitados em ritmo. Por isso não encontra injeções: não as testa.
O ZAP continua gratuito depois de passar para a Checkmarx?
Sim. Continua de código aberto com licença Apache 2.0, e a Checkmarx vende à parte o seu próprio produto comercial de testes dinâmicos. O que mudou foi o nome e quem paga aos programadores.