Qué es OWASP ZAP

Bienvenida

Bienvenido a OWASP ZAP: escáner web libre. ZAP, por Zed Attack Proxy, es la herramienta de seguridad web gratuita y de código abierto más usada del mundo, y la mantiene la comunidad OWASP. Esta píldora es para quien desarrolla o defiende una aplicación web y quiere revisarla antes de publicarla, sin pagar una licencia.

No necesita experiencia previa en pruebas de seguridad: basta una computadora con Windows, Linux o macOS. En unos 45 minutos sabrá reconocer la interfaz real de ZAP, configurar su proxy y su certificado, lanzar un escaneo automatizado, explorar a mano y, sobre todo, leer y priorizar las alertas. El laboratorio lo hará contra una copia propia de OWASP Juice Shop, una aplicación vulnerable hecha para practicar.

Qué es OWASP ZAP

ZAP es dos cosas a la vez:

• Un proxy de intercepción: se coloca entre su navegador y la aplicación, y registra, muestra y deja modificar cada petición y respuesta HTTP.
• Un escáner de vulnerabilidades web: a partir de ese tráfico detecta fallas como inyección, cabeceras de seguridad ausentes, cookies inseguras o fugas de información.

Es la alternativa abierta a Burp Suite. Cubre el mismo flujo de trabajo (proxy, araña y escaneo), pero sin costo y con licencia libre, así que puede instalarlo en cuantos equipos quiera y hasta auditar su código. Hoy vive bajo el Software Security Project, heredero del proyecto OWASP.

La idea del proxy

Normalmente su navegador habla directo con el servidor. Con ZAP en medio, todo el tráfico pasa primero por él:

Navegador  →  ZAP (127.0.0.1:8080)  →  Servidor web
           ←                        ←

Así ZAP ve cada petición y cada respuesta, las guarda en su historial y puede analizarlas o reenviarlas modificadas. Ese es el corazón de la herramienta: todo lo demás se construye sobre ese tráfico capturado.

Por qué le importa a quien defiende

Las mismas pruebas que usa un atacante sirven para encontrar sus propios huecos antes que nadie. Con ZAP puede escanear su aplicación en un entorno de pruebas, ver qué alertas salen y arreglarlas antes de publicar. Más adelante verá que incluso se puede ejecutar sin interfaz, dentro de la tubería de integración continua, para que ningún despliegue pase sin una revisión mínima.