Короче, кто как относится к открытым тулзам типа Nikto, OWASP ZAP или даже Nessus Community Edition? Я вот периодически пробую их для быстрой проверки своих тестовых сайтов — вроде полезные, но не всегда понятно, насколько им можно доверять в реальных проектах. Часто ругают, что они генерят много ложных срабатываний, а серьезные баги пропускают.

С одной стороны — бесплатное и доступное, можно быстро поймать что-то очевидное и настраивать под себя. С другой — для серьезной безопасности и глубокой проверки лучше, наверное, профессиональные сканеры и ручной анализ. К тому же, некоторые бесплатные инструменты затачиваются под типичные ошибки, и если система сильно кастомная, они просто не найдут ничего.

Интересно, у кого какой опыт? Насколько можно полагаться на такие утилиты в реальном дайвинг-тесте? Пользуетесь ли вы їх как основным средством или скорее как вспомогательным?