Escáner de seguridad de aplicaciones web (DAST) gratuito y de código abierto, que sirve para encontrar vulnerabilidades durante el desarrollo y las pruebas, y también para auditorías manuales.
ZAP (Zed Attack Proxy) es una herramienta de pruebas dinámicas de seguridad de aplicaciones (DAST) gratuita y de código abierto, con licencia Apache-2.0. Su repositorio oficial la presenta como el escáner de aplicaciones web más usado del mundo. Antes se conocía como OWASP ZAP; hoy el sitio y el repositorio usan la marca ZAP by Checkmarx. La versión estable actual es la 2.17.0, que redujo las alertas duplicadas y sumó la pestaña Insights y las alertas «sistémicas».
Para qué sirve
Detectar vulnerabilidades en aplicaciones web propias mientras se desarrollan y se prueban.
Hacer pruebas manuales de seguridad web en laboratorios como DVWA o Juice Shop, o en CTF.
Revisar configuraciones inseguras: cabeceras de seguridad faltantes, cookies sin Secure/HttpOnly, inyecciones y XSS.
Integrarse en pipelines de CI/CD mediante el modo daemon, scripts, su API REST o las imágenes Docker oficiales.
Generar reportes (por ejemplo, JSON y XML) para el seguimiento de los hallazgos.
Instalación
Requisito: Java 17 o superior en Windows y Linux. El instalador de macOS ya trae Java 17. También hay instaladores y paquetes en https://www.zaproxy.org/download/
Linux (Flathub): Código: text
flatpak install flathub org.zaproxy.ZAP
flatpak run org.zaproxy.ZAP
Ojo: los binarios no están firmados, así que algunos navegadores o antivirus pueden marcarlos como peligrosos. Verificá los checksums publicados en la página del release en GitHub (https://github.com/zaproxy/zaproxy/releases/tag/v2.17.0). En los ejemplos de abajo, zap.sh es el script de arranque: en Windows es zap.bat y en macOS está en /Applications/ZAP.app/Contents/Java/zap.sh.
Comandos frecuentes
1. Ver la versión instalada: Código: text
zap.sh -version
2. Listar todas las opciones, incluidas las que agregan los complementos: Código: text
zap.sh -h
3. Arrancar sin interfaz gráfica, con una sesión nueva y una clave para la API (pensado para controlarlo desde tu laboratorio): Código: text
5. Listar los complementos instalados: Código: text
zap.sh -cmd -addonlist
6. Actualizar los complementos desde el Marketplace: Código: text
zap.sh -cmd -addonupdate
7. Arrancar en modo silencioso, sin peticiones propias de ZAP (ni siquiera para buscar actualizaciones), ideal en entornos aislados: Código: text
zap.sh -daemon -silent
8. Arrancar con más detalle en los logs para depurar: Código: text
zap.sh -daemon -loglevel DEBUG
9. Mostrar información para soporte (versiones, complementos, sistema operativo): Código: text
zap.sh -suppinfo
10. Generar un zip con los SBOM disponibles: Código: text
zap.sh -sbomzip /tmp/zap-sbom.zip
Buenas prácticas y uso legal
Solo con autorización: el escaneo pasivo apenas observa el tráfico, pero el escaneo activo envía ataques reales, como inyecciones, y puede modificar o romper datos. Usalo únicamente en tu laboratorio (DVWA, Juice Shop), en un CTF o en sistemas con autorización por escrito y un alcance definido. Escanear sistemas de terceros sin permiso puede ser delito.
Preferí entornos descartables: en pre-producción, apuntá a instancias que puedas restaurar.
Cómo se detecta: un escaneo DAST genera muchas peticiones en poco tiempo, muchos errores 4xx/5xx, rutas recorridas en orden y cargas típicas de inyección en los parámetros. Un WAF, un IDS o un SIEM que analice los logs del servidor web suele notarlo. Usá tus propios escaneos para comprobar que esas alertas se disparan.
Cómo se defiende la aplicación: corregí lo que ZAP reporta (cabeceras de seguridad, cookies, inyecciones, XSS), aplicá rate limiting, usá un WAF y sumá un análisis pasivo en cada pull request.
Protegé ZAP: no expongas la API a la red, configurá api.key, usá -silent en entornos aislados y verificá los checksums, porque los binarios no están firmados.
Mantené los parsers al día: desde la 2.17.0, los reportes JSON y XML incluyen el campo created (ISO 8601) y el campo generatedString se va a eliminar más adelante.
Alternativas
Burp Suite: proxy de interceptación y escáner web muy usado en pentesting, con edición gratuita y versiones comerciales.
Nikto: escáner de servidores web por línea de comandos, orientado a configuraciones inseguras y archivos conocidos.
Wapiti: escáner de vulnerabilidades web de caja negra y código abierto.
Nuclei: escáner basado en plantillas YAML para detectar vulnerabilidades y malas configuraciones.
Redactado con el asistente Underc0de IA a partir de fuentes públicas. Actualizado el 09/11/2026. ¿Ves un error? Contanos en el foro.
