Toda aplicación web es una superficie de ataque, y la verdad incómoda es que no puedes asegurar lo que no has probado contra ataques reales. El análisis estático lee tu código fuente e identifica patrones sospechosos, pero no puede decirte si la aplicación desplegada realmente fuga datos, acepta una carga inyectada o expone un panel de administrador no autenticado. Eso requiere pinchar la aplicación en ejecución desde afuera como lo haría un atacante — pruebas de seguridad de aplicaciones dinámicas, o DAST. Las buenas noticias para 2026 son que el ecosistema de DAST de código abierto es maduro, capaz y gratuito, cubriendo todo desde comprobaciones rápidas de CVE conocido a escaneo completo de rastreo de ataque. El problema es que ninguna herramienta única hace todo bien, y usar una cuando necesitas varias deja brechas.
Esta guía explica cómo funciona DAST, por qué las herramientas de código abierto son complementarias en lugar de competitivas, y cómo montarlas en un pipeline de escaneo por capas que se adapta a CI/CD. Los personajes principales son ZAP, el proxy y escáner completo; Nuclei, el escáner de vulnerabilidades rápido basado en plantillas; Wapiti, el escáner de fuzzing de línea de comandos; y Nikto, el comprobador de configuración de servidor veterano. Entender para qué es cada una es cómo construyes cobertura en lugar de redundancia.
Qué DAST realmente hace
Las pruebas dinámicas tratan la aplicación como una caja negra. En lugar de leer código, una herramienta DAST interactúa con la aplicación en ejecución sobre HTTP — rastreando sus páginas, presentando formularios, llamando sus API — y observa cómo responde a entrada normal y maliciosa. Si enviar ' OR 1=1-- en un parámetro cambia la respuesta de una manera que sugiere que la consulta se ejecutó, esa es una señal de inyección SQL. Si una etiqueta de script reflejada vuelve sin escapear en la página, eso es cross-site scripting. DAST atrapa las vulnerabilidades que solo existen en tiempo de ejecución: fallos de inyección, problemas de autenticación y sesión, configuraciones erróneas, endpoints expuestos e problemas que emergen de cómo los componentes realmente interactúan cuando se despliegan.
La gran fortaleza de DAST es que prueba la realidad — el sistema en ejecución actual, incluyendo su servidor, su configuración y su comportamiento en tiempo de ejecución, no un modelo abstracto del código fuente. Su debilidad correspondiente es que solo prueba lo que puede alcanzar: si el rastreador nunca encuentra una página, o no puede autenticarse, o no entiende el enrutamiento del lado del cliente de una aplicación de una sola página, esa superficie queda sin probar. Por eso la calidad del rastreo y el soporte de autenticación importan mucho, y por qué las herramientas difieren significativamente en qué tan bien descubren la verdadera superficie de una aplicación. También es por qué DAST complementa en lugar de reemplaza el análisis estático y escaneo de dependencias — cada uno ve lo que los otros están ciegos.
ZAP: el caballo de trabajo completo
ZAP (Zed Attack Proxy), mantenido por Checkmarx después de su larga carrera como un flagship de OWASP, es la herramienta DAST de código abierto más completa, y para muchos equipos es toda la pila por sí sola. Su fundación es un proxy interceptor: enrutas un navegador (o un rastreador automatizado) a través de ZAP, y registra cada solicitud y respuesta, construyendo un mapa de la aplicación. Desde ese tráfico ejecuta escaneos pasivos (identificando problemas de respuestas observadas sin atacar) y, bajo demanda, escaneos activos (enviando cargas de ataque para confirmar vulnerabilidades). Alrededor de ese núcleo añade un araña y una araña Ajax para apps pesadas en JavaScript, un fuzzer, soporte WebSocket y escaneo de API para REST, GraphQL y SOAP.
La ventaja decisiva de ZAP para 2026 es la automatización. Sus scripts de escaneo empaquetados — un escaneo de línea base (pasivo), un escaneo completo (activo) y un escaneo de API impulsado por una especificación OpenAPI — están diseñados para ejecutarse sin cabeza en un contenedor, lo que hace que ZAP sea un ajuste natural para CI/CD. Apunta el escaneo de línea base a un despliegue de staging en cada pull request y obtienes DAST continuo y de bajo ruido con casi sin configuración. Su Framework de Automatización e API HTTP completo te permiten escribir escaneos arbitrariamente complejos, y su manejo de contexto y autenticación te permite probar como un usuario conectado, que es donde usualmente viven las vulnerabilidades interesantes. Cuando la gente pregunta por "una herramienta DAST de código abierto", ZAP es la respuesta, y la hoja de trucos de ZAP cubre sus modos de escaneo y API.
El compromiso es que la amplitud de ZAP viene con peso: es una herramienta sustancial con una curva de aprendizaje, y un escaneo activo completo de una aplicación grande toma tiempo. Ese es un costo razonable por su cobertura, pero es por qué las herramientas más ligeras y rápidas aún tienen un lugar junto a ella.
Nuclei: detección rápida e impulsada por plantillas
Nuclei, de ProjectDiscovery, ataca una parte diferente del problema: velocidad y cobertura de vulnerabilidades conocidas. En lugar de rastrear y fuzzing, Nuclei ejecuta un destino contra una enorme librería de plantillas YAML mantenidas por la comunidad, cada una describiendo cómo detectar un problema específico — un CVE conocido, una credencial predeterminada, un archivo de configuración expuesto, una configuración errónea. Porque las plantillas son declarativas y el motor de Nuclei es rápido y paralelo, puede comprobar miles de problemas conocidos en muchos hosts en minutos, de forma determinista.
Esto hace que Nuclei sea el paso inicial ideal y la comprobación continua ideal. Excela en responder "¿este destino es vulnerable a algo ya conocido?" — el directorio .git expuesto, el CVE sin parches, el panel de administrador olvidado, el login predeterminado. Los más de 12,000 plantillas comunitarias significa que el conocimiento colectivo de la comunidad de seguridad está codificado y reutilizable, y nuevas plantillas aparecen cuando se divulgan nuevas vulnerabilidades. En un pipeline, Nuclei es lo suficientemente barato para ejecutar en cada despliegue e incluso contra producción (con cuidado), atrapando regresiones y problemas recientemente divulgados rápidamente. La hoja de trucos de Nuclei cubre selección de plantillas y escaneo.
Lo que Nuclei no hace es descubrir vulnerabilidades novedosas en la lógica específica de tu aplicación. Comprueba contra un catálogo de patrones conocidos; no rastrea tu app y fuzzea sus parámetros únicos como lo hace ZAP o Wapiti. Eso no es un defecto — es el diseño — pero es exactamente por qué Nuclei se empareja con un escáner de rastreo en lugar de reemplazarlo.
Wapiti y Nikto: especialistas enfocados
Dos herramientas más ligeras completan la pila de código abierto. Wapiti es un escáner de caja negra de línea de comandos que funciona como un fuzzer: rastrea la aplicación para enumerar URLs y formularios, luego inyecta cargas en cada parámetro e inspecciona las respuestas para signos de vulnerabilidad — inyección SQL, XSS, divulgación de archivos, inyección de comandos, SSRF y más. Es más ligero y scriptable que ZAP, con licencia GPL e instalable con pip, lo que lo hace fácil de soltar en un trabajo de CI cuando quieres fuzzing activo sin la huella completa de ZAP. Sus lanzamientos de 2026 se han mantenido al día con clases de ataque más nuevas, y la hoja de trucos de Wapiti cubre su sistema de módulos.
Nikto es el veterano del grupo y ocupa un nicho estrecho pero útil: comprobaciones a nivel de servidor. Escanea un servidor web para archivos peligrosos y CGI, software de servidor obsoleto y configuraciones erróneas comunes — miles de comprobaciones contra el propio servidor en lugar de la lógica comercial de la aplicación. Es rápido, simple y complementario: Nikto te dice que el servidor está mal configurado o ejecuta algo peligroso, mientras que ZAP y Wapiti prueban la aplicación ejecutándose en él. Para un paso rápido de higiene del servidor sigue valiendo la pena ejecutarlo.
Montando un pipeline por capas
Las herramientas son complementarias porque cubren diferentes ejes — amplitud de vulnerabilidad conocida, profundidad de lógica de aplicación y configuración de servidor — y la postura más fuerte las estratifica por costo y cobertura. Un pipeline 2026 práctico se ve así. En cada despliegue a staging, ejecuta Nuclei para un barrido rápido y amplio de CVE conocidos y exposiciones, y un escaneo de línea base de ZAP (pasivo) para hallazgos de aplicación de bajo ruido — ambos son lo suficientemente rápidos para puerta un pull request. En un programa (noche o por lanzamiento), ejecuta los escaneos más pesados: un escaneo completo de ZAP y/o Wapiti para fuzzing de parámetros y formularios de la aplicación para fallos de inyección y lógica novedosos, más un paso Nikto para higiene del servidor. Alimenta todo en el mismo reporte para que los hallazgos sean triados juntos.
Esta estratificación respeta la realidad de que el escaneo activo es lento y la comprobación de CVE conocido es rápida, así que ejecutas la comprobación amplia barata constantemente y la comprobación profunda cara periódicamente. También respeta que cada herramienta tiene puntos ciegos que los otros cubren: Nuclei se pierde bugs de lógica de app novedosos que fuzzing de ZAP/Wapiti atrapa; ZAP/Wapiti se pierden CVE recientemente divulgados que las plantillas frescas de Nuclei atrapan; ambos se pierden configuraciones erróneas de servidor que Nikto identifica. Ejecuta una y tienes una sensación falsa de seguridad; ejecuta el conjunto estratificado y tienes cobertura genuina. El error más común que los equipos cometen es adoptar un escáner único y asumir que es completo — ninguna herramienta DAST lo es, y las de código abierto son explícitamente diseñadas para complementarse.
Autenticación y alcance: dónde los escaneos triunfan o fracasan
Un punto que determina si alguno de esto funciona: DAST solo prueba lo que puede alcanzar, así que autenticación y configuración de alcance son dónde los escaneos silenciosamente triunfan o fracasan. Las vulnerabilidades más serias usualmente viven detrás de un login — en la aplicación autenticada, las funciones de administrador, los datos específicos del usuario. Un escáner que solo prueba páginas públicas y sin autenticación está probando la parte menos interesante de la superficie de ataque. Toda herramienta DAST seria soporta escaneo autenticado (los contextos y gestión de sesión de ZAP son particularmente capaces), pero requiere configuración: enseñarle al escáner cómo iniciar sesión, cómo reconocer una sesión válida y cómo evitar cerrarse sesión. Invertir en esa configuración es lo que separa un escaneo que encuentra problemas reales de uno que produce un reporte limpio y engañosamente limpio.
El alcance importa igual de mucho en la otra dirección. Un escáner activo envía cargas de ataque reales, que pueden crear datos, desencadenar acciones o estresar un sistema. Debes confinar escaneos a destinos autorizados — tu propio staging o ambientes explícitamente permitidos — y ser deliberado sobre ejecutar escaneos activos contra producción. Escanear sistemas que no posees o no tienes permiso para probar es ilegal, y el poder que hace estas herramientas valiosas para la defensa las hace peligrosas cuando se usan mal. Define el alcance, obtén autorización y prefiere staging para los escaneos agresivos.
Manejando apps modernas: SPA e API
Un desafío que el modelo DAST clásico no anticipó es que una gran parte de aplicaciones web 2026 no son páginas renderizadas por servidor que un rastreador puede recorrer siguiendo enlaces. Son aplicaciones de una sola página (SPA) donde el navegador ejecuta JavaScript para construir la interfaz y obtener datos de API, y API sin cabeza sin interfaz HTML en absoluto. Ambas rompen un araña ingenua: no hay enlaces <a href> para seguir, y la verdadera superficie de ataque es un conjunto de endpoints de API invocados por código del lado del cliente. Un escáner que solo entiende rastreo HTML tradicional mapeará casi nada de tal aplicación e reportará un resultado vacío, engañosamente tranquilizador.
Las herramientas se han adaptado, y usar el modo correcto importa. Para SPA, la Araña Ajax de ZAP impulsa un navegador real para ejecutar JavaScript y observar las solicitudes que la app realmente hace, descubriendo las llamadas de API que un araña simple se perdería. Para API directamente, el mejor camino es saltar rastreo completamente y alimentar al escáner una especificación: el escaneo de API de ZAP consume una definición OpenAPI (Swagger), SOAP o GraphQL y prueba cada endpoint documentado y parámetro sistemáticamente. Esto es a menudo más exhaustivo que rastreo, porque la especificación enumera la superficie completa en lugar de confiar en el descubrimiento. La regla práctica es dar al escáner un mapa cuando tienes uno — un archivo OpenAPI, una colección Postman, un esquema GraphQL — en lugar de esperar que rastree su camino a cobertura completa.
Esto también reenmarca dónde DAST se ajusta en desarrollo moderno. Cuando la aplicación es API-first, DAST se convierte en pruebas de seguridad de API, e integrar la especificación de API en el pipeline de escaneo es el paso de configuración de mayor apalancamiento. Un equipo que envía una API REST o GraphQL debe conectar su OpenAPI/esquema al escaneo de API de ZAP en CI, para que cada endpoint sea probado en cada cambio. Tratar la especificación como el destino de escaneo, en lugar de la interfaz renderizada, es cómo DAST se mantiene efectivo conforme las aplicaciones se alejan de HTML renderizado por servidor.
El resultado final
Las pruebas de seguridad de aplicaciones dinámicas atrapan las vulnerabilidades que solo existen cuando tu aplicación está realmente en ejecución, y en 2026 la pila DAST de código abierto cubre el rango completo de forma gratuita — si la usas como un conjunto estratificado en lugar de apostar todo a una herramienta. Ejecuta Nuclei para detección rápida y continua de CVE conocidos y exposición; ejecuta ZAP como tu caballo de trabajo completo de rastreo y escaneo activo con automatización de CI de primera clase; añade Wapiti para fuzzing de línea de comandos ligero y Nikto para higiene de configuración de servidor. Estratifica las comprobaciones rápidas en cada despliegue y los escaneos profundos en un programa, invierte en escaneo autenticado para que pruebes la superficie que importa, confina escaneos activos a destinos autorizados, y conviertes "esperamos que la app es segura" en "la probamos contra ataques reales continuamente".
Referencias y Recursos
Herramientas
Fondo y análisis
- Nuclei Alternatives 2026: Faster Vuln Scanners — AppSec Santa
- Comparing Open-Source DAST Tools — ZAP, Nuclei, Wapiti, Nikto
- Best Free DAST Tools in 2026
Hojas de trucos relacionadas de 1337skills