C'est quoi ?
OpenTRAP est un proxy d'interception pour tester la sécurité des applications web. Le trafic du navigateur passe par le proxy, où on l'inspecte, le modifie et le rejoue, et un assistant lance l'exploration puis l'audit d'une cible. L'interface reprend le découpage de Burp Suite en onglets (Proxy, Repeater, Intruder, Collaborator…), et la détection repose sur le moteur d'OWASP ZAP.
Pourquoi c'est intéressant ?
- L'outillage manuel de Burp, sans édition payante : Repeater pour rejouer une requête, Intruder et ses quatre types d'attaque, Sequencer pour mesurer l'entropie des jetons, Decoder, Comparer, Organizer et un Logger de toutes les requêtes émises. Le code est sous AGPL-3.0 et aucune fonction n'est réservée à une licence.
- Le scan de ZAP sans son interface : ZAP tourne en processus fils sur la boucle locale, piloté par son API JSON, et ses résultats sont convertis dans le modèle d'incidents d'OpenTRAP. Les packs de règles bêta s'ajoutent à ceux du cœur ; les règles alpha, plus bruyantes, sont écartées. Les quatre niveaux de scan (Lightweight, Fast, Balanced, Deep) testent les mêmes failles et ne diffèrent que par la profondeur.
- Un Chromium prêt à intercepter : un clic ouvre un Chromium dans un profil isolé, déjà routé par le proxy et qui fait confiance à son autorité de certification. Aucun certificat n'est à installer, et le navigateur ne se télécharge que si on le demande.
- Des projets légers : les milliers de requêtes de sonde d'un audit ne sont gardées qu'en en-têtes, ce qui ramène un projet chargé de scans à environ un dixième de sa taille, selon la FAQ. Le crawl, le trafic manuel et chaque vulnérabilité restent conservés en entier.
- Aucune fonction d'IA, par principe : le README l'exclut de la feuille de route, au motif qu'un outil de sécurité tourne dans des environnements où envoyer du trafic à un modèle tiers n'est pas acceptable.
À savoir
Linux x86_64 seulement. Le seul artefact publié est un AppImage de 228 Mo qui embarque son runtime Java et le moteur ZAP 2.17.0. Le projet ne publie aucune version pour Windows ni pour macOS.
Une interface en avance sur le code. La feuille de route recense quinze fonctions dessinées dans l'interface mais pas implémentées : la connexion à l'application avant un scan, le scan d'une API seule, la tâche et la vue de crawl en direct, la console, et tout l'onglet Extensions (installation, catalogue, API, vérifications personnalisées). Cliquer sur l'une d'elles ouvre une fenêtre qui donne son code de référence et explique comment la contribuer.
Un Collaborator relié à un serveur public par défaut. Les interactions hors bande passent par le protocole interactsh, celui de Nuclei, avec l'instance publique oast.pro comme serveur par défaut. D'après le code, les interactions reviennent chiffrées avec la clé RSA du client, et le serveur ne peut pas les lire. Une instance interactsh auto-hébergée se configure quand une mission interdit de faire transiter des données de la cible par un tiers.
Un dépôt ouvert le 19 octobre 2026. Il a publié 26 releases jusqu'au 25 octobre, nommées par un horodatage (20261025-221014) et sans numéro de version. La dernière annonce 24 suites et 104 cas de test. Le mainteneur signe 78 des 139 commits, et un contributeur 49 autres.