Кто давно копается в безопасности веб-проектов, тот знает — найти нормальный бесплатный инструмент не так просто. Лично я обычно пользуюсь OWASP ZAP, он отлично подходит для автоматического сканирования на классические уязвимости типа XSS или SQL-инъекций. Плюс он с открытым исходником, можно подглядывать что там как.

Еще неплохо помогает Nikto — старенький, но живой сканер, который быстро проверяет наличие опасных конфигов и уязвимых скриптов. По опыту, хорошо дополняет ZAP, потому что там акцент чуть другой.

Для статического анализа кода гляньте на SonarQube (базовая версия бесплатна). Особенно полезно, если сервисы растут и хочется ловить ошибки ещё на этапе разработки.

Проверять лучше в лабораторных условиях или на собственных стендах, чтобы не вызывать лишних проблем. Еще не забывайте обновлять базы правила и сами тулзы — уязвимости появляются постоянно, и старый сканер может не заметить ничего нового.

А у кого какие еще бесплатные варианты в ходу? Как поддерживаете актуальность?