I migliori 10 strumenti DAST open source / gratuiti a confronto

Ci siamo basati sulla nostra ricerca sugli strumenti di scansione delle vulnerabilità e su DAST per selezionare i principali strumenti DAST open source e le versioni gratuito dei software DAST proprietari. Consulta la nostra logica seguendo i link sui nomi dei prodotti:

Con l'aumentare dei costi e della frequenza degli attacchi informatici, le aziende adottano sempre più strumenti DAST per migliorare la propria postura di sicurezza.

Il software DAST open source o gratuito è il punto di ingresso più economico al software DAST e può essere adatto per

• PMI
• aziende che iniziano il loro percorso di sicurezza informatica
• aziende che cercano strumenti DAST aggiuntivi per completare la propria postura di sicurezza informatica

Strumenti DAST gratuiti

Ordinamento: in base al numero di stelle su GitHub.

Fonti: L'organizzazione OWASP mantiene un elenco di strumenti DAST, molti con versioni gratuito (controlla la colonna “Licenza”).⁶

Criteri di inclusione per:

• Progetti open source: 900+ stelle su GitHub
• Software proprietario: deve essere un pacchetto gratuito da usare fornito da un fornitore di software DAST

ZAP

ZAP è lo strumento DAST open source più utilizzato per stelle su GitHub. Copre la scansione automatica delle vulnerabilità, il penetration testing manuale di applicazioni web e il test delle API REST, rendendolo la scelta predefinita pratica per i team che si avvicinano al DAST.

ZAP funziona come un proxy trasparente, intercettando il traffico tra un browser e un'applicazione web per l'analisi in tempo reale, e può anche essere eseguito in modalità di scansione attiva rispetto a regole di vulnerabilità predefinite. È mantenuto dalla community sotto OWASP, attivamente sviluppato e dispone di un ampio ecosistema di componenti aggiuntivi e documentazione.

ZAP ha aggiunto l'integrazione di prima fase con l'OWASP PenTest Kit (PTK), un'estensione del browser ora preinstallata nei browser avviati da ZAP. Ciò consente flussi di lavoro di test delle sessioni autenticate, particolarmente rilevanti per le applicazioni a pagina singola, collegando lo stato della sessione a livello di browser direttamente nella pipeline di scansione di ZAP.

Nikto

Nikto è uno scanner open source per server web che verifica la presenza di file e CGI pericolosi, software server obsoleti, configurazioni errate e altri problemi comuni. È solo a riga di comando, senza interfaccia grafica.

Aggiornamenti recenti:

• Scansioni significativamente più veloci
• Nuovo linguaggio domain-specific (DSL) per la definizione dei controlli
• Modifiche al formato dei report; cookie abilitati per impostazione predefinita
• User-Agent randomizzato per ridurre il fingerprinting
• Riscritto il modulo di test LFI (inclusione di file locali)
• Licenza modificata in GPLv3⁷

Limitazione: nessuna GUI; opera interamente dalla riga di comando, il che alza la barriera per gli utenti non tecnici.

Arachni

Il repository di Arachni su GitHub ora segnala esplicitamente il progetto come obsoleto. L'ultima data di rilascio è il 2022 (era v1.6.1.3) e il progetto non è più attivamente mantenuto. Il suo design modulare e le avanzate capacità di crawling erano notevoli durante gli anni di attività, ma i team dovrebbero considerarlo a fine vita e valutare ZAP o Wapiti come sostituti.

OpenVAS

OpenVAS è uno scanner open source di vulnerabilità progettato per rilevare problemi di sicurezza su sistemi informatici e reti, costituendo il nucleo del framework Greenbone Vulnerability Management (GVM). Esegue la scansione di CVE note, configurazioni errate e software obsoleti sia in ambienti piccoli che su scala aziendale.

Nota di classificazione: OpenVAS è principalmente uno scanner di vulnerabilità di rete e host, non uno strumento DAST per applicazioni web in senso tradizionale. Appartiene a questo elenco come strumento adiacente di uso frequente, ma non sostituisce ZAP o Wapiti per i test dinamici specifici per applicazioni web (iniezione di form, gestione delle sessioni, logica lato client). Usalo per la copertura host/rete; usa ZAP o Wapiti per la copertura della superficie delle applicazioni web.

Wapiti

Wapiti è uno scanner black-box di vulnerabilità web. Funziona eseguendo il crawling di un'applicazione web distribuita, estraendo link, form e script, e poi iniettando payload nei parametri scoperti per rilevare comportamenti anomali dell'applicazione che indicano vulnerabilità. Supporta anche una modalità passiva per l'analisi del traffico senza fuzzing attivo.

Wapiti supporta script personalizzati per estendere le sue capacità di rilevamento delle vulnerabilità, rendendolo utile in ambienti specializzati in cui il set di regole predefinito richiede un ampliamento.

Strumenti proprietari gratuito per progetti open source

CI Fuzz (Code Intelligence)

Uno strumento di fuzz testing a riga di comando focalizzato su applicazioni embedded, principalmente in contesti automobilistici e di dispositivi medici. Gratuito per progetti open source.

StackHawk (HawkScan)

StackHawk è lo strumento gratuito di test di sicurezza API più consolidato di questo elenco e uno dei pochi prodotti DAST commerciali con il test API dedicato come obiettivo principale. I maintainer di progetti open source possono usarlo senza costi.

Il posizionamento attuale della piattaforma di StackHawk si è ampliato oltre il test esclusivamente API per includere la scoperta della superficie d'attacco dal codice sorgente, i test in runtime e le funzionalità Modern AJAX Spider (crawling consapevole dei framework SPA). Il livello free-for-OSS rimane disponibile mentre la piattaforma commerciale cresce intorno ad esso.

Rilasci recenti:

• v5.3.0 (17 febbraio 2026): aggiunta la scansione JSON-RPC; riscritto il Modern AJAX Spider per la consapevolezza dei framework SPA; aggiunto il rilevamento dei sink DOM XSS; migrazione a Chrome/Puppeteer per l'automazione del browser; inizializzazione più rapida
• v5.2.0 (15 gennaio 2026): flusso di lavoro di triage degli avvisi migliorato; tasso di falsi positivi SQLi ridotto⁸

Strumenti proprietari con edizioni community gratuito

Per ulteriori informazioni su questi strumenti, consulta le alternative a Tenable Nessus o un elenco completo di strumenti DAST.

Altri strumenti di sicurezza applicativa gratuito

DAST è una componente di un programma più ampio di sicurezza applicativa. Gli strumenti SAST open source e gratuito forniscono un'analisi statica complementare, rilevando problemi a livello di codice che DAST non può vedere in runtime. Una postura di sicurezza matura combina entrambi.

Nel 2026, il mercato si sta muovendo verso la correlazione dei risultati DAST e SAST, portando alla luce una vulnerabilità in runtime e tracciandola contemporaneamente alla posizione specifica del codice. “AI Security Fabric” di Snyk è un esempio di questa direzione che diventa una funzionalità del prodotto anziché un processo manuale.⁹

Vantaggi degli strumenti DAST open source

Forniscono un modo rapido ed economico per affrontare la minaccia attuale da parte di attori esterni, offrendo capacità di test accessibili a organizzazioni di tutte le dimensioni e budget:

• Costo iniziale più basso: nessuna negoziazione di licenza o processo di approvvigionamento. Scarica, configura e scansiona.
• Implementazione rapida: per i team senza una pipeline di test di sicurezza consolidata, uno strumento come ZAP o Nikto può essere eseguito su un ambiente di staging entro poche ore dalla decisione di testare.
• Configurazione più semplice per i casi d'uso standard: diversi strumenti di questo elenco funzionano bene out of the box per i pattern comuni di applicazioni web senza richiedere un'ottimizzazione approfondita.
• Community attive: gli strumenti più consolidati (ZAP in particolare) hanno ampie community di utenti, documentazione pubblica ed ecosistemi di componenti aggiuntivi mantenuti. I forum della community sostituiscono il supporto del fornitore che accompagna gli strumenti a pagamento.
• Nessun vendor lock-in: i risultati appartengono a te. L'integrazione con le pipeline CI/CD è flessibile poiché gli strumenti sono aperti e scriptabili.

Raccomandazioni per la scelta di uno strumento DAST open source

Puoi provare facilmente queste soluzioni in esecuzioni di test sulle applicazioni della tua azienda e confrontare le alternative. È importante misurare questi aspetti per le diverse soluzioni:

• % di vulnerabilità correttamente identificate
• % di falsi positivi sul totale delle vulnerabilità identificate
• Guida alla correzione: quanto è utile lo strumento nel descrivere come risolvere i problemi?
• Integrazione CI/CD: può essere eseguito headlessly in una pipeline senza intervento manuale?
• Velocità di scansione: se blocca i deployment, una scansione di 45 minuti su una grande applicazione è un problema di workflow
• Uso delle risorse: le scansioni attive approfondite sono computazionalmente intensive; assicurati che l'infrastruttura di test sia dimensionata adeguatamente
• Personalizzazione: lo strumento supporta estensioni o regole personalizzate per lo stack tecnologico specifico della tua applicazione?

Perché investire in DAST?

DAST rileva una classe di vulnerabilità che l'analisi statica e la revisione del codice normalmente non individuano, in particolare problemi che si manifestano solo quando l'applicazione è in esecuzione ed elabora richieste reali. Le debolezze di autenticazione, i difetti nella gestione delle sessioni e le configurazioni errate nell'infrastruttura distribuita sono gli esempi più comuni.

I tre principali vettori di attacco che le organizzazioni devono affrontare sono credenziali compromesse, phishing e sfruttamento delle vulnerabilità. I dati non crittografati in transito si trovano all'intersezione di tutti e tre. DAST testa direttamente:

• Se i dati sensibili sono esposti in transito
• Se i token di sessione possono essere dirottati o falsificati
• Se i controlli di autenticazione (politiche sulle password, blocco dell'account, controlli di autorizzazione) reggono contro la manipolazione attiva

Le conseguenze dei fallimenti in queste aree, come furti finanziari, esposizione di PII e interruzioni operative, sono ben documentate e in aumento di costo anno dopo anno.

Non perderti i nostri benchmark e approfondimenti basati sui dati. Il pulsante apre Google; selezionare AIMultiple conferma che desideri vedere AIMultiple più spesso nei risultati di ricerca di Google.

Aggiungi come fonte preferita

Altro su DAST e test AppSec

• Soluzioni PAM gratuite
• Le migliori 10 soluzioni PAM gratuite
• Strumenti IAST

Cita questa ricerca

Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.

@misc{dilmegani2026,
  author = {Dilmegani, Cem and Arslan, Ezgi},
  title  = {{I migliori 10 strumenti DAST open source / gratuiti a confronto}},
  year   = {2026},
  month  = aug,
  howpublished    = {\url{https://aimultiple.com/free-dast-tools}},
  note   = {AIMultiple. Consultato il 21 agosto 2026}
}

Registro delle modifiche

6 aggiornamenti

202620252024

1. 26 feb

   Rimossa una sezione sull'esplorazione degli strumenti DAST gratuiti.

Collegamenti di riferimento

1.

ZAP

2.

Nikto

3.

Arachni

4.

OpenVAS

5.

Wapiti

6.

Free for Open Source Application Security Tools | OWASP Foundation

7.

Release Nikto 2.6.0 · sullo/nikto · GitHub

8.

Changelog | StackHawk Documentation

StackHawk

9.

Snyk Unveils the AI Security Fabric: An Adaptive System to Unleash AI Innovators Securely | Snyk

Snyk

Cem Dilmegani

Analista principale

Segui

Cem è analista principale presso AIMultiple dal 2017.

Il lavoro di Cem presso AIMultiple è stato citato da importanti testate internazionali tra cui Business Insider, Forbes, Morning Brew e Washington Post, da aziende globali come Deloitte e HPE, da ONG come il World Economic Forum e da organizzazioni sovranazionali come la Commissione europea. [1], [2], [3], [4], [5]

Nel corso della sua carriera, Cem ha lavorato come consulente tecnologico, acquirente tecnologico e imprenditore tecnologico. Ha consigliato le aziende sulle loro decisioni tecnologiche presso McKinsey & Company e Altman Solon per più di un decennio. Ha inoltre pubblicato un report McKinsey sulla digitalizzazione.

Ha guidato la strategia tecnologica e gli approvvigionamenti di una società di telecomunicazioni rispondendo direttamente al CEO. Ha inoltre guidato la crescita commerciale dell'azienda deep tech Hypatos, che ha raggiunto ricavi ricorrenti annuali a 7 cifre e una valutazione a 9 cifre partendo da zero in 2 anni. Il lavoro di Cem in Hypatos è stato ripreso da importanti testate tecnologiche come TechCrunch e Business Insider.

Cem interviene regolarmente a conferenze tecnologiche internazionali. Si è laureato come ingegnere informatico presso l'Università di Bogazici e possiede un MBA della Columbia Business School.

Visualizza il profilo completo

Ricercato da

Ezgi Arslan, PhD.

Analista di settore

Segui

Ezgi ha conseguito un PhD in Economia aziendale con specializzazione in finanza e ricopre il ruolo di analista di settore presso AIMultiple. Conduce ricerche e approfondimenti all'intersezione tra tecnologia e business, con competenze che spaziano dalla sostenibilità alle indagini e all'analisi del sentiment, dalle applicazioni di agenti IA nella finanza all'ottimizzazione dei motori di risposta, dalla gestione dei firewall alle tecnologie di procurement.

Visualizza il profilo completo

Sii il primo a commentare

Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.

Nome

Indirizzo e-mail

Commento

0/450

Pubblica un commento