OWASP ZAP vs Burp Suite: qual scanner usar?

Toda pessoa que entra no teste de segurança de aplicações web esbarra cedo nesta decisão: ZAP ou Burp Suite? As duas ferramentas fazem coisas parecidas — interceptar tráfego, escanear vulnerabilidades, manipular requisições — mas têm filosofias, modelos de licença e públicos diferentes. Este artigo compara as duas de forma prática, mostra como cada uma se comporta em campo e dá critérios concretos para você escolher com segurança.

O que essas ferramentas fazem

Antes de comparar, vale alinhar o que ambas resolvem. ZAP e Burp Suite são proxies de interceptação. Elas se posicionam entre o seu navegador e a aplicação alvo, permitindo ver, pausar e modificar cada requisição HTTP antes que ela chegue ao servidor — e cada resposta antes que ela chegue ao navegador.

Esse posicionamento "no meio do caminho" (um man-in-the-middle consentido, que você mesmo configura) é o que torna possível enxergar a aplicação como o servidor a vê: cabeçalhos, cookies, tokens, parâmetros ocultos, chamadas de API que o front-end dispara em segundo plano. Tudo o que o navegador esconde da interface visual fica exposto no histórico do proxy.

A partir dessa base, as duas oferecem funcionalidades como:

• Spidering / crawling, para mapear todas as páginas e endpoints.
• Scanner automatizado, que testa cada parâmetro contra falhas conhecidas.
• Repeater / manual request, para reenviar e ajustar requisições à mão.
• Fuzzing, para bombardear parâmetros com payloads e observar respostas.
• Decoder / encoder, para converter dados entre Base64, URL-encoding, hash, etc.
• Comparação de respostas, para flagrar diferenças sutis entre duas requisições.

Esse conjunto cobre boa parte do trabalho descrito no guia de testes de referência da área (OWASP Foundation, 2020), e ambas se encaixam naturalmente em uma metodologia de pentest bem definida.

Como o proxy entra no seu fluxo

Em ambas as ferramentas, o passo inicial é o mesmo. Você configura o navegador para enviar todo o tráfego para o proxy local (tipicamente 127.0.0.1:8080) e instala o certificado raiz da ferramenta no navegador, para que o HTTPS também possa ser interceptado sem avisos de segurança. A partir daí, navegar pela aplicação alimenta o histórico do proxy, que vira o seu mapa de ataque.

Na prática, a maioria das pessoas hoje usa o navegador embutido que tanto o ZAP quanto o Burp oferecem. Ele já vem pré-configurado com o proxy e o certificado corretos, eliminando a parte mais chata e propensa a erro do setup.

OWASP ZAP: o open source da fundação

O OWASP ZAP (Zed Attack Proxy) é mantido pela OWASP Foundation e é totalmente gratuito e open source. Esse já é seu maior diferencial: você tem acesso a todas as funcionalidades sem custo nem licença.

Pontos fortes do ZAP:

• Custo zero. Ideal para estudantes, hobbyistas e equipes com orçamento apertado.
• Automação amigável. Tem uma API REST e modos headless que facilitam integração em pipelines de CI/CD.
• Modo automatizado simples. O "Automated Scan" permite a iniciantes rodar uma varredura completa com poucos cliques.
• Comunidade ativa. Por ser da OWASP, recebe contribuições e add-ons constantes pelo ZAP Marketplace.
• Sem teto artificial. Não há recurso "trancado" atrás de uma licença paga.

Em contrapartida, alguns usuários consideram a interface menos polida e o fluxo de trabalho manual um pouco menos fluido que o do concorrente.

Modos de varredura do ZAP

O ZAP oferece dois modos de scan que vale distinguir:

• Passive scan (varredura passiva): analisa o tráfego que passa pelo proxy sem enviar nada de novo. Detecta cabeçalhos de segurança ausentes, cookies sem HttpOnly, vazamento de informação. É seguro de rodar contra qualquer alvo, pois não gera requisições extras.
• Active scan (varredura ativa): injeta payloads de fato — testa SQL injection, XSS, path traversal e dezenas de outras famílias. É intrusivo e só deve rodar contra alvos autorizados.

Para automação, o ZAP expõe um modo de linha de comando muito usado em pipelines:

# Baseline scan: rápido, passivo, ideal para rodar a cada build
docker run -t ghcr.io/zaproxy/zaproxy:stable \
  zap-baseline.py -t https://staging.exemplo.com -r relatorio.html

# Full scan: inclui o active scan, mais demorado e intrusivo
docker run -t ghcr.io/zaproxy/zaproxy:stable \
  zap-full-scan.py -t https://staging.exemplo.com

Esse zap-baseline.py é um dos motivos pelos quais o ZAP virou queridinho de equipes de DevSecOps: ele cabe em uma etapa de CI sem maiores cerimônias e gera relatório consumível.

Burp Suite: o padrão da indústria

O Burp Suite, da PortSwigger, é frequentemente chamado de canivete suíço do pentester web e é referência de mercado em testes manuais. Ele existe em três edições: Community (gratuita e limitada), Professional (paga, por usuário) e Enterprise (voltada a varredura contínua em escala).

Pontos fortes do Burp:

• Fluxo manual excepcional. As ferramentas Repeater, Intruder e Decoder são extremamente eficientes para testes manuais.
• Scanner robusto na versão Professional, com baixa taxa de falsos positivos e cobertura de falhas modernas.
• Extensibilidade. O BApp Store oferece centenas de extensões da comunidade, muitas escritas em Java ou Python (via Jython).
• Documentação e academia. A PortSwigger mantém a Web Security Academy, material de aprendizado amplamente reconhecido e gratuito.
• Burp Collaborator. Um servidor externo que detecta vulnerabilidades out-of-band (como SSRF e injeções cegas), recurso difícil de replicar com ferramentas gratuitas.

Aprofundamos os recursos dele no guia dedicado ao Burp Suite. A principal desvantagem é o custo da edição Professional e o fato de a edição Community ter o scanner automatizado e o Intruder bastante limitados (o Intruder Community é estrangulado por throttling, ficando lento demais para uso sério).

As ferramentas que fazem a fama do Burp

Vale conhecer o trio que define a experiência do Burp no dia a dia:

• Repeater: pega uma requisição do histórico e permite editá-la e reenviá-la quantas vezes quiser, observando a resposta. É onde você mora ao investigar uma falha manualmente.
• Intruder: automatiza o envio de muitas variações de uma requisição — perfeito para enumerar valores, força bruta controlada e fuzzing dirigido.
• Comparer e Decoder: comparam respostas byte a byte e convertem encodings, respectivamente.

Como o Burp se encaixa no fluxo de trabalho

O fluxo típico de uma sessão de Burp começa pela aba Target, que organiza tudo o que você navegou em uma árvore por host e caminho. A partir dali, você define o escopo (scope) — quais hosts fazem parte do teste — para que o spider e o scanner não saiam fuçando onde não devem. Com o escopo fechado, você navega manualmente pela aplicação, deixando o histórico crescer, e então manda as requisições interessantes para o Repeater com um atalho simples. É um fluxo desenhado para a investigação manual ser fluida, e é nesse fluxo que o Burp se destaca.

Uma diferença prática de filosofia: o ZAP tende a empurrar o usuário para a automação ("rode o Automated Scan e veja o que aparece"), enquanto o Burp tende a empurrar para a exploração manual ("navegue, observe, mande para o Repeater"). Ambas as abordagens são válidas, mas explicam por que cada ferramenta atrai um perfil diferente de profissional.

Comparação direta

Colocando lado a lado as dimensões que mais pesam na decisão:

• Custo: ZAP é 100% gratuito; Burp tem versão gratuita limitada e Pro paga (assinatura anual por usuário).
• Curva de aprendizado: ZAP tende a ser mais acolhedor para o primeiro contato; Burp recompensa quem investe tempo.
• Teste manual: Burp leva vantagem com Repeater e Intruder; ZAP cobre bem, mas com menos refinamento.
• Automação em CI/CD: ZAP brilha pela natureza open source e API; Burp tem o Enterprise Edition, voltado a esse nicho, porém pago.
• Scanner automatizado: Burp Professional costuma ser mais preciso e atualizado; ZAP é competente e gratuito.
• Detecção out-of-band: Burp Collaborator é um diferencial forte; o ZAP cobre parte disso via add-on OAST, com menos comodidade.
• Material de aprendizado: a Web Security Academy do Burp é um trunfo; o ZAP tem boa documentação, mas sem um currículo guiado equivalente.

Não existe vencedor absoluto. A escolha certa depende do seu contexto — e muitos profissionais usam as duas.

Tabela mental de decisão rápida

Se você precisa decidir em trinta segundos, use estas perguntas:

1. Tenho orçamento para licença? Não → ZAP. Sim → considere Burp Pro.
2. O foco é automação em pipeline? Sim → ZAP é mais natural e barato.
3. O foco é caça manual a bugs (inclusive bug bounty)? Sim → Burp Pro tende a compensar.
4. Estou aprendendo do zero? Comece pelo ZAP para entender os conceitos sem barreira, e migre para o Burp quando o teste manual ficar central.

Quando escolher o ZAP

O ZAP é a melhor escolha quando:

• Você está começando e quer aprender sem barreira de custo.
• Precisa automatizar varreduras de segurança dentro de um pipeline de integração contínua.
• Trabalha em uma equipe ou projeto com restrição de licenças e exige software open source.
• Quer um scanner gratuito para uma primeira passada exploratória, complementando testes manuais.
• Precisa rodar varredura headless em containers efêmeros, sem interface gráfica.

Para muitas equipes de desenvolvimento que querem incluir testes de segurança no fluxo de entrega, o ZAP é o ponto de entrada natural.

Quando escolher o Burp

O Burp Suite Professional é a melhor escolha quando:

• Seu trabalho é predominantemente teste manual aprofundado, em que Repeater e Intruder fazem diferença diária.
• Você precisa de um scanner de alta precisão para engajamentos profissionais.
• Depende de extensões específicas disponíveis no BApp Store.
• Faz bug bounty e precisa de produtividade máxima por hora investida.
• Investiga falhas complexas como XSS e SQL Injection, onde manipular cada requisição com agilidade é essencial.

Para pentesters profissionais que vivem de testes web, o custo da licença costuma se pagar rápido em produtividade.

Usando as duas juntas

Tratar a escolha como "uma ou outra" é um falso dilema. Muitos profissionais combinam:

• ZAP no pipeline, rodando varreduras automatizadas a cada build.
• Burp na bancada, para a investigação manual fina dos achados.

Essa combinação aproveita o melhor dos dois mundos: a automação gratuita do ZAP e a precisão manual do Burp. Em ambientes de treino como os CTFs, inclusive, é comum ver pessoas alternando entre as duas conforme o desafio.

Um fluxo combinado típico em um time de produto seria:

1. O ZAP roda um zap-baseline.py em cada pull request, falhando o build se aparecer algo de severidade alta.
2. Semanalmente, o ZAP roda um full scan contra o ambiente de staging.
3. Quando o scanner aponta algo suspeito, a pessoa de segurança abre o Burp para confirmar manualmente, descartar falso positivo e escrever a prova de conceito.

Passo a passo: do zero ao primeiro achado

Para tornar a teoria concreta, veja como uma primeira investigação acontece, em passos que valem para qualquer das duas ferramentas:

1. Suba a ferramenta e abra o navegador embutido. Isso já configura proxy e certificado, evitando o setup manual.
2. Defina o escopo. Adicione o host alvo ao escopo para que spider e scanner não vazem para terceiros.
3. Navegue como um usuário comum. Faça login, preencha formulários, clique nos fluxos principais. Cada ação alimenta o histórico do proxy.
4. Rode a varredura passiva. Veja de imediato cabeçalhos de segurança ausentes, cookies sem flags, vazamentos óbvios — tudo sem enviar payload algum.
5. Escolha um parâmetro suspeito e mande para o Repeater (Burp) ou Manual Request (ZAP). Comece a manipular valores à mão para entender o comportamento.
6. Só então rode a varredura ativa, contra alvo autorizado, para deixar a ferramenta testar as famílias de falha automaticamente.
7. Valide manualmente cada achado relevante antes de reportar, escrevendo uma prova de conceito reproduzível.

Esse roteiro evita o erro clássico do iniciante, que é apertar "scan" antes de entender a aplicação — gerando um relatório cheio de ruído e pouco contexto.

Erros comuns ao usar scanners

Independentemente da ferramenta, alguns erros aparecem com frequência e vale evitar desde o início:

• Rodar active scan em produção sem autorização. Varredura ativa envia payloads reais, pode corromper dados, disparar e-mails de teste e derrubar serviços. Sempre tenha escopo e autorização por escrito.
• Confiar cegamente no relatório. Scanners produzem falsos positivos. Todo achado de severidade relevante precisa de validação manual antes de virar ticket.
• Esquecer da autenticação. Se você não configurar a sessão autenticada, o scanner só testa as páginas públicas e perde a maior parte da superfície de ataque.
• Ignorar o escopo (scope). Sem definir o escopo, o spider pode sair navegando para domínios de terceiros e você acaba escaneando algo que não devia.
• Tratar o scanner como o pentest inteiro. Ferramenta automatizada encontra o trivial; falhas de lógica de negócio, IDOR e quebra de controle de acesso quase sempre exigem olho humano.

Extensibilidade: BApp Store e ZAP Marketplace

Boa parte do poder de longo prazo de cada ferramenta vem de seu ecossistema de extensões. No Burp, o BApp Store reúne centenas de plugins da comunidade — desde o popular Logger++, que registra todo o tráfego de forma detalhada, até extensões que automatizam a detecção de classes específicas de vulnerabilidade. Muitas das técnicas mais avançadas de pesquisa de segurança chegam ao público primeiro como uma extensão de Burp.

No ZAP, o equivalente é o ZAP Marketplace, acessível de dentro da própria ferramenta. Add-ons cobrem desde regras adicionais de scan ativo até integrações com outras ferramentas. Por ser open source, o ZAP também é mais fácil de estender no nível do código-fonte, caso você precise de algo muito específico.

Na prática, o catálogo do Burp tende a ser maior e mais voltado a pesquisa de ponta, enquanto o do ZAP é sólido e cobre bem os casos comuns. Para quem faz pesquisa de vulnerabilidades de fronteira, a vantagem do BApp Store costuma ser decisiva.

Perguntas frequentes

ZAP é "pior" que o Burp por ser gratuito? Não. ZAP é uma ferramenta madura, mantida pela OWASP e usada profissionalmente. O Burp Pro tem vantagem em refinamento de teste manual e precisão de scanner, mas isso não torna o ZAP amador. Para muitos cenários, especialmente automação, o ZAP é a escolha tecnicamente melhor.

Posso fazer bug bounty só com ZAP? Sim, é possível, e há quem faça. Porém, a maioria dos caçadores profissionais prefere o Burp Pro pelo ganho de produtividade do Repeater/Intruder e pelo Collaborator. Comece com o ZAP e migre quando sentir que a ferramenta está te freando.

Qual é mais fácil de aprender? Para o primeiro contato, o ZAP costuma ser mais acolhedor por causa do "Automated Scan" de poucos cliques. Já o conceito por trás de ambos é o mesmo, então o que você aprende em uma transfere facilmente para a outra.

Preciso saber programar para usar essas ferramentas? Não para o uso básico. Mas saber programar ajuda muito a escrever extensões, automatizar via API e entender as falhas que você está testando.

Qual escolher se a empresa não pode pagar nada? ZAP, sem dúvida. Ele dá uma cobertura excelente a custo zero e cabe no pipeline. Se mais tarde houver orçamento e o teste manual virar central, aí sim avalie o Burp Pro.

Conclusão

ZAP e Burp Suite resolvem o mesmo problema central — testar a segurança de aplicações web — mas servem perfis diferentes. O ZAP vence em custo, automação e acessibilidade para quem está começando; o Burp lidera em testes manuais profundos, precisão de scanner e recursos como o Collaborator na versão Professional. Em vez de tratar a decisão como uma rivalidade, considere onde cada ferramenta brilha e, se possível, use as duas de forma complementar: ZAP automatizando o trivial no pipeline e Burp na bancada para a investigação fina. A melhor ferramenta é sempre a que se encaixa no seu contexto, orçamento e estágio de aprendizado — e dominar os conceitos por trás de ambas vale mais do que decorar a interface de qualquer uma.

Referências

• OWASP Foundation (2020). OWASP Web Security Testing Guide v4.2. OWASP.
• Stuttard, D., Pinto, M. (2011). The Web Application Hacker's Handbook (2nd ed.). Wiley.
• PortSwigger (2024). Web Security Academy. PortSwigger Ltd.
• OWASP Foundation (2021). OWASP Top Ten 2021. OWASP.