Честно, для старта хватает OWASP ZAP — простой и бесплатный, наглядно показывает большинство базовых проблем. Да, бывают ложняки, но если не гоняться за всем подряд, а сосредоточиться на основном, помогает понять, что и где стоит проверить ручками. Главное — не ожидать чудес, а использовать как часть общей проверки.