Burp Suite vs OWASP ZAP: el proxy que se paga solo.

Burp Suite Professional es el estándar de facto del sector. OWASP ZAP es la alternativa gratuita y mantenida por la comunidad. El argumento de ZAP es "todo lo que hace Burp, sin coste". El argumento es casi cierto y las carencias que quedan son justo la razón por la que las consultoras siguen comprando licencias de Burp.

La respuesta breve

• Testing manual interactivo: Burp gana por un margen que todo el mundo subestima.
• Gratuito / código abierto / integración en CI: ZAP gana de calle — no hay equivalente de Burp que no cueste nada.
• Escaneo autenticado de una SPA: ZAP se acerca más a "funciona de fábrica".
• Extensiones: la BApp Store de Burp es más profunda; los add-ons de ZAP van recortando distancia.

Testing manual: el terreno de Burp

El Repeater de Burp es la aplicación estrella. Envías una petición, editas cualquier byte, pulsas Go y ves la respuesta. ZAP tiene la misma función (Requester), pero la UX va medio paso por detrás: menos orientada al teclado, menos tolerante con la entrada malformada. En un objetivo difícil puedes pasar quinientas peticiones por el Repeater en una tarde. Medio segundo por petición acaba sumando.

Intruder (Burp) y Fuzzer (ZAP) hacen fuzzing de parámetros los dos. Los conjuntos de payloads y la extracción por grep de Intruder son más ricos. El Fuzzer de ZAP es competente, pero antes o después tirarás de una herramienta externa —ffuf, wfuzz—.

Headless / CI: el terreno de ZAP

ZAP incluye una imagen de Docker y un framework de automatización diseñado explícitamente para CI. El wrapper zap-baseline.py es un one-liner que te da una puerta de seguridad en cualquier pipeline.

docker run -t zaproxy/zap-stable zap-baseline.py \
  -t https://staging.example.com \
  -r baseline-report.html

Burp Enterprise puede hacer esto — cuesta a partir de 5.000 $ por nodo y año. Para la mayoría de equipos, esa pregunta se responde sola.

Superficie de extensiones

Los números cuentan una historia, pero esconden otra: en nuestro laboratorio, las cinco extensiones que más usamos (Autorize, Active Scan++, JWT Editor, Hackvertor, Param Miner) son todas exclusivas de Burp y todas críticas para flujos de trabajo concretos.

Escaneo activo: dónde empatan y dónde no

Lanza ambos escáneres contra la suite de apps vulnerables (DVWA, Juice Shop, WebGoat, NodeGoat, BWA, más tres benchmarks internos). Los dos encuentran lo fácil — XSS reflejado, inyección SQL en parámetros numéricos, IDOR básico—. Donde divergen:

• Inyección ciega con autenticación: Burp detecta una porción notable que ZAP se deja, sobre todo por la mayor variación de payloads de Intruder.
• SPAs modernas (React/Vue) con autenticación: el HUD de ZAP facilita la gestión de sesión; el grabador de macros de Burp requiere más preparación, pero es más potente una vez configurado.
• Apps con mucho WebSocket: el soporte de WS de Burp está más maduro.
• GraphQL: prácticamente un empate con las extensiones adecuadas en cada uno.

La letra pequeña de lo "gratis"

Burp tiene una Community Edition. Está severamente limitada — sin ritmo en Intruder, sin sesiones guardadas, sin extensiones—. Existe para darte una idea, no para trabajar de verdad. La bifurcación del camino es real: ZAP hasta el final, o Burp Pro y el coste de la licencia.

La recomendación

Si eres ingeniero de seguridad en una empresa que hace seguridad como función, el coste de Burp Pro está por debajo del coste del tiempo que ahorra en un trimestre. Cómpralo.

Si eres desarrollador haciendo trabajo con conciencia de seguridad, un contractor con presupuesto ajustado, un taller pequeño o cualquiera que necesite meter un escaneo en un pipeline — ZAP es la herramienta adecuada, y la distancia con Burp es lo bastante pequeña como para que rara vez la notes.

Si estás formando a testers nuevos, arráncalos con ZAP. Que sea gratis significa que pueden instalarlo en un portátil personal sin papeleo, y las metáforas de la interfaz se trasladan limpiamente a Burp más adelante.