Las 10 mejores herramientas DAST de código abierto / gratuitas comparadas

Nos basamos en nuestra investigación sobre herramientas de escaneo de vulnerabilidades y DAST para seleccionar las principales herramientas DAST de código abierto y las versiones gratis del software DAST propietario. Consulte nuestra justificación siguiendo los enlaces en los nombres de los productos:

A medida que aumentan el coste y la frecuencia de los ciberataques, las empresas adoptan cada vez más herramientas DAST para mejorar su postura de seguridad.

El software DAST de código abierto o gratis es el punto de entrada de menor coste al software DAST y puede ser adecuado para

• PYMES
• empresas que inician su recorrido en ciberseguridad
• empresas que buscan herramientas DAST adicionales para complementar su postura de ciberseguridad

Herramientas DAST gratuitas

Ordenación: Según el número de estrellas en GitHub.

Fuentes: La organización OWASP mantiene una lista de herramientas DAST, muchas con versiones gratis (consulte la columna “Licencia”).⁶

Criterios de inclusión para:

• Proyectos de código abierto: 900+ estrellas en GitHub
• Software propietario: debe ser un paquete de uso gratis proporcionado por un proveedor de software DAST

ZAP

ZAP es la herramienta DAST de código abierto más utilizada por estrellas en GitHub. Cubre escaneo automatizado de vulnerabilidades, pruebas manuales de penetración de aplicaciones web y pruebas de API REST, lo que la convierte en la opción predeterminada práctica para equipos nuevos en DAST.

ZAP funciona como un proxy transparente, interceptando el tráfico entre un navegador y una aplicación web para su análisis en tiempo real, y también puede ejecutarse en modo de escaneo activo con reglas de vulnerabilidad predefinidas. Se mantiene de forma comunitaria bajo OWASP, se desarrolla activamente y cuenta con un amplio ecosistema de complementos y documentación.

ZAP añadió una integración de primera fase con el OWASP PenTest Kit (PTK), una extensión de navegador que ahora viene preinstalada en los navegadores lanzados por ZAP. Esto permite flujos de trabajo de prueba de sesiones autenticadas, especialmente relevantes para aplicaciones de una sola página, al conectar el estado de sesión a nivel de navegador directamente con el pipeline de escaneo de ZAP.

Nikto

Nikto es un escáner de servidores web de código abierto que verifica archivos peligrosos y CGIs, software de servidor desactualizado, configuraciones incorrectas y otros problemas comunes. Es solo de línea de comandos y no tiene interfaz gráfica.

Actualizaciones recientes:

• Escaneos significativamente más rápidos
• Nuevo lenguaje específico de dominio (DSL) para definir comprobaciones
• Cambios en el formato de informes; cookies habilitadas por defecto
• User-Agent aleatorio para reducir la huella digital
• Se reescribió el módulo de pruebas de LFI (inclusión de archivos locales)
• La licencia cambió a GPLv3⁷

Limitación: Sin interfaz gráfica; funciona completamente desde la línea de comandos, lo que eleva la barrera para los usuarios no técnicos.

Arachni

El repositorio de GitHub de Arachni ahora marca explícitamente el proyecto como obsoleto. La última fecha de lanzamiento es 2022 (era v1.6.1.3) y el proyecto ya no se mantiene activamente. Su diseño modular y sus avanzadas capacidades de rastreo fueron notables durante sus años activos, pero los equipos deberían tratarlo como fin de vida útil y evaluar ZAP o Wapiti como reemplazos.

OpenVAS

OpenVAS es un escáner de vulnerabilidades de código abierto diseñado para detectar problemas de seguridad en sistemas informáticos y redes, y constituye el núcleo del framework Greenbone Vulnerability Management (GVM). Escanea CVEs conocidos, configuraciones incorrectas y software desactualizado tanto en entornos pequeños como empresariales.

Nota de clasificación: OpenVAS es principalmente un escáner de vulnerabilidades de red y de host, no una herramienta DAST de aplicaciones web en el sentido tradicional. Pertenece a esta lista como herramienta adyacente de uso frecuente, pero no reemplaza a ZAP ni a Wapiti para pruebas dinámicas específicas de aplicaciones web (inyección de formularios, manejo de sesiones, lógica del lado del cliente). Úselo para cobertura de host/red; use ZAP o Wapiti para cobertura de la superficie de aplicaciones web.

Wapiti

Wapiti es un escáner de vulnerabilidades web de caja negra. Funciona rastreando una aplicación web desplegada, extrayendo enlaces, formularios y scripts, y luego inyectando payloads en los parámetros descubiertos para detectar comportamientos anormales de la aplicación que indiquen vulnerabilidades. También admite un modo pasivo para el análisis del tráfico sin fuzzing activo.

Wapiti admite scripts personalizados para ampliar sus capacidades de detección de vulnerabilidades, lo que lo hace útil en entornos especializados donde el conjunto de reglas predeterminado necesita ampliarse.

Herramientas propietarias que son gratis para proyectos de código abierto

CI Fuzz (Code Intelligence)

Una herramienta de fuzz testing de línea de comandos centrada en aplicaciones embebidas, principalmente en contextos automotrices y de dispositivos médicos. Gratuita para proyectos de código abierto.

StackHawk (HawkScan)

StackHawk es la herramienta gratis de pruebas de seguridad de API más establecida de esta lista y uno de los pocos productos DAST comerciales con un enfoque principal en pruebas de API dedicadas. Los mantenedores de proyectos de código abierto pueden usarla sin coste.

El posicionamiento actual de la plataforma de StackHawk se ha expandido más allá de las pruebas exclusivas de API para incluir el descubrimiento de la superficie de ataque desde el código fuente, pruebas en tiempo de ejecución y capacidades Modern AJAX Spider (rastreo consciente de frameworks SPA). El nivel gratis para OSS sigue disponible mientras la plataforma comercial crece a su alrededor.

Lanzamientos recientes:

• v5.3.0 (17 de febrero de 2026): Se añadió el escaneo de JSON-RPC; se reescribió Modern AJAX Spider con reconocimiento de frameworks SPA; se añadió detección de sumideros DOM XSS; se migró a Chrome/Puppeteer para la automatización del navegador; inicialización más rápida
• v5.2.0 (15 de enero de 2026): Se mejoró el flujo de trabajo de clasificación de alertas; se redujo la tasa de falsos positivos de SQLi⁸

Herramientas propietarias con ediciones comunitarias gratis

Para más información sobre estas herramientas, consulte alternativas a Tenable Nessus o una lista completa de herramientas DAST.

Otras herramientas de seguridad de aplicaciones gratis

DAST es un componente de un programa más amplio de seguridad de aplicaciones. Las herramientas SAST de código abierto y gratis proporcionan análisis estático complementario, detectando problemas a nivel de código que DAST no puede ver en tiempo de ejecución. Una postura de seguridad madura combina ambos.

En 2026, el mercado avanza hacia la correlación de los hallazgos de DAST y SAST, sacando a la superficie una vulnerabilidad en tiempo de ejecución y rastreándola simultáneamente hasta la ubicación específica del código. El “AI Security Fabric” de Snyk es un ejemplo de esta dirección que se convierte en una característica del producto en lugar de un proceso manual.⁹

Beneficios de las herramientas DAST de código abierto

Proporcionan una forma rápida y rentable de abordar la amenaza actual de actores externos al ofrecer capacidades de prueba accesibles para organizaciones de todos los tamaños y presupuestos:

• Menor coste inicial: sin negociación de licencias ni proceso de adquisición. Descargue, configure y escanee.
• Implementación rápida: para equipos sin un pipeline establecido de pruebas de seguridad, una herramienta como ZAP o Nikto puede estar ejecutándose contra un entorno de staging a las pocas horas de decidir hacer pruebas.
• Configuración más sencilla para casos de uso estándar: varias herramientas de esta lista funcionan bien desde el primer momento para patrones comunes de aplicaciones web sin requerir un ajuste profundo.
• Comunidades activas: las herramientas más consolidadas (especialmente ZAP) tienen grandes comunidades de usuarios, documentación pública y ecosistemas de complementos mantenidos. Los foros de la comunidad sustituyen al soporte del proveedor que incluyen las herramientas de pago.
• Sin dependencia de un proveedor: los resultados le pertenecen. La integración con pipelines de CI/CD es flexible, ya que las herramientas son abiertas y programables.

Recomendaciones para elegir una herramienta DAST de código abierto

Puede probar fácilmente estas soluciones en pruebas piloto en las aplicaciones de su empresa y comparar alternativas. Es importante medir estos aspectos para las distintas soluciones:

• % de vulnerabilidades correctamente identificadas
• % de falsos positivos en todas las vulnerabilidades identificadas
• Guía de corrección: ¿Qué tan útil es la herramienta para describir cómo resolver los problemas?
• Integración de CI/CD: ¿puede ejecutarse sin interfaz en un pipeline sin intervención manual?
• Velocidad de escaneo: si condiciona los despliegues, un escaneo de 45 minutos en una aplicación grande es un problema de flujo de trabajo
• Uso de recursos: los escaneos activos profundos son computacionalmente intensivos; asegúrese de que la infraestructura de prueba esté dimensionada adecuadamente
• Personalización: ¿la herramienta admite extensiones o reglas personalizadas para la pila tecnológica específica de su aplicación?

¿Por qué invertir en DAST en absoluto?

DAST detecta una clase de vulnerabilidades que el análisis estático y la revisión de código suelen pasar por alto, específicamente, problemas que solo se manifiestan cuando la aplicación se está ejecutando y procesando solicitudes reales. Las debilidades de autenticación, los fallos de gestión de sesiones y las configuraciones incorrectas en la infraestructura desplegada son los ejemplos más comunes.

Los tres vectores de ataque principales a los que se enfrentan las organizaciones son credenciales comprometidas, phishing y explotación de vulnerabilidades. Los datos no cifrados en tránsito se sitúan en la intersección de los tres. DAST prueba directamente:

• Si los datos confidenciales quedan expuestos en tránsito
• Si los tokens de sesión pueden ser secuestrados o falsificados
• Si los controles de autenticación (políticas de contraseñas, bloqueo de cuentas, comprobaciones de autorización) resisten la manipulación activa

Las consecuencias de los fallos en estas áreas, como el robo financiero, la exposición de PII y la interrupción operativa, están bien documentadas y su coste aumenta año tras año.

No te pierdas nuestros análisis comparativos e insights basados en datos. El botón abre Google; seleccionar AIMultiple confirma que deseas ver AIMultiple con más frecuencia en los resultados de búsqueda de Google.

Añadir como fuente preferida

Más sobre DAST y pruebas de AppSec

• Soluciones PAM gratuitas
• Las 10 mejores soluciones PAM gratuitas
• Herramientas IAST

Cita esta investigación

Elige el formato que se ajuste al lugar donde vas a publicar. Pegar la versión con enlace en tu CMS conserva el enlace de retroceso.

@misc{dilmegani2026,
  author = {Dilmegani, Cem and Arslan, Ezgi},
  title  = {{Las 10 mejores herramientas DAST de código abierto / gratuitas comparadas}},
  year   = {2026},
  month  = aug,
  howpublished    = {\url{https://aimultiple.com/free-dast-tools}},
  note   = {AIMultiple. Recuperado el 21 de agosto de 2026}
}

Registro de cambios

6 actualizaciones

202620252024

1. 26 de feb

   Se eliminó una sección sobre la exploración de herramientas DAST gratuitas.

Enlaces de referencia

1.

ZAP

2.

Nikto

3.

Arachni

4.

OpenVAS

5.

Wapiti

6.

Free for Open Source Application Security Tools | OWASP Foundation

7.

Release Nikto 2.6.0 · sullo/nikto · GitHub

8.

Changelog | StackHawk Documentation

StackHawk

9.

Snyk Unveils the AI Security Fabric: An Adaptive System to Unleash AI Innovators Securely | Snyk

Snyk

Cem Dilmegani

Analista Principal

Síguenos

Cem ha sido el analista principal en AIMultiple desde 2017.

El trabajo de Cem en AIMultiple ha sido citado por publicaciones líderes mundiales como Business Insider, Forbes, Morning Brew y Washington Post, empresas globales como Deloitte y HPE, ONG como World Economic Forum y organizaciones supranacionales como European Commission. [1], [2], [3], [4], [5]

A lo largo de su carrera, Cem trabajó como consultor tecnológico, comprador de tecnología y emprendedor tecnológico. Asesoró a empresas en sus decisiones tecnológicas en McKinsey & Company y Altman Solon durante más de una década. También publicó un informe de McKinsey sobre digitalización.

Dirigió la estrategia tecnológica y las adquisiciones de una empresa de telecomunicaciones reportando al CEO. También lideró el crecimiento comercial de la empresa de deep tech Hypatos, que alcanzó unos ingresos recurrentes anuales de 7 dígitos y una valoración de 9 dígitos desde 0 en 2 años. El trabajo de Cem en Hypatos fue cubierto por publicaciones tecnológicas líderes como TechCrunch y Business Insider.

Cem participa habitualmente en conferencias internacionales de tecnología. Se graduó en Bogazici University como ingeniero informático y tiene un MBA de Columbia Business School.

Ver perfil completo

Investigado por

Ezgi Arslan, PhD.

Analista de la industria

Síguenos

Ezgi tiene un doctorado en Administración de Empresas con especialización en finanzas y se desempeña como Analista de la Industria en AIMultiple. Impulsa la investigación y los conocimientos en la intersección de la tecnología y los negocios, con experiencia en sostenibilidad, análisis de encuestas y de sentimiento, aplicaciones de agentes de IA en finanzas, optimización para motores de respuestas, gestión de cortafuegos y tecnologías de adquisiciones.

Ver perfil completo

Sé el primero en comentar

Tu dirección de correo electrónico no será publicada. Todos los campos son obligatorios. Los comentarios se dejan en su idioma original.

Nombre

Dirección de correo electrónico

Comentario

0/450

Publicar comentario