ZAP и Nikto – классика жанра, никто спорить не будет. Не понимаю только, почему все забывают про Gobuster – отличный быстрый способ пробежаться по скрытым директориям, а то затеряешься в вебах без него. SonarQube – да, ок, но если без конфигурации, то иногда столько ложных тревог выбрасывает, что проще код самому проверить. В любом случае, бесплатные инструменты – это как ножницы в ремонтном наборе: вроде есть, но на все случаи жизни не подходят.