¿Cuál es el mejor escáner de vulnerabilidades en 2026?

Nessus, de la estadounidense Tenable, es uno de los escáneres más conocidos entre administradores de sistemas. La versión Professional se instala en una máquina de tu red, revisa equipos, servidores, impresoras y electrónica de red, y ordena lo que encuentra por gravedad. Las opiniones de usuarios destacan dos cosas: la calidad de la detección y una instalación sin complicaciones.

El precio es público, algo poco habitual en este mercado, y Tenable lo muestra en dólares: 4.790 $ por un año, 9.330,95 $ por dos y 13.637,54 $ por tres. La página habla de análisis ilimitados y no indica ningún límite de IP, así que para nuestros 110 activos la factura sigue siendo de 4.790 $ al año. Suma 400 $ por el soporte avanzado 24/7 y 275 $ si quieres la formación oficial.

Las quejas también se repiten. El precio ha subido mucho en los últimos años y varios usuarios lo ven muy caro frente a OpenVAS. Los falsos positivos generan trabajo inútil, los informes son poco prácticos para enseñar a dirección y la interfaz parece anticuada.

Cuidado con Nessus Essentials, la versión gratuita. Solo cubre 5 IP, con una licencia de 30 días, y Tenable la reserva a un uso estrictamente no comercial: sin informes, sin exportación, sin controles de cumplimiento y sin soporte. Sirve para aprender, no para proteger una empresa.

Truco: si también necesitas analizar tus webs, Tenable vende Nessus Expert a 6.790 $ al año. Compara antes con Detectify o Pentest-Tools.

Intruder, empresa británica, es un escáner en la nube: no instalas nada, das de alta tus dominios, IP y cuentas cloud, y lanza los análisis solo. Por dentro usa dos motores conocidos, OpenVAS y Nuclei, y presenta los resultados en una interfaz pensada para quien no es especialista.

Su gran baza es la revisión. Las opiniones son muy positivas y hay un punto que se repite: Intruder hace que sus expertos revisen los falsos positivos que le señalas. Justo el problema número uno del resto de escáneres.

El plan Free sirve para empezar: 5 aplicaciones web, 1 cuenta cloud, 3 usuarios y un escaneo de red al mes limitado a los puertos 80 y 443. Cloud y Pro pasan a un escaneo semanal, Enterprise a uno diario. Algunos usuarios lamentan que el escaneo diario solo exista en el plan más alto.

Dos límites antes de firmar. El escaneo de tu red interna solo existe en Pro y Enterprise: en Cloud solo ves lo expuesto a internet. Y la página de precios no muestra ninguna cifra para Cloud ni Pro: solo una cuota base más un pequeño coste por objetivo, sin impuestos, con un 20 % de descuento en anual.

Truco: la prueba dura 14 días. Da de alta desde el primer día todas tus IP públicas, incluso las que crees apagadas. Un servidor olvidado sigue siendo una puerta abierta mientras esté en línea.

Vulnerability Manager Plus se apoya en agentes instalados en tus equipos y servidores. Está pensado para parques Windows gestionados por un equipo de TI pequeño, y va más allá del diagnóstico: enlaza cada fallo con el parche que lo corrige, en la misma consola.

Es la opción de pago más barata de esta lista para equipos. La edición Professional local cuesta 695 $ al año para 100 equipos. Los servidores aparecen en una tabla aparte, a 145 $ al año para 10 servidores. La versión cloud empieza en 895 $ para 100 equipos y la edición Enterprise en 1.195 $. Incluye un técnico; cada técnico adicional cuesta 195 $ al año. También existe licencia perpetua.

Ten en cuenta que un agente es un programa más que desplegar y mantener en cada máquina. Si tu parque tiene dispositivos que no admiten agente, prevé un escaneo de red como complemento.

Truco: antes de comprar, pregunta a ManageEngine cómo se combinan la tabla de equipos y la de servidores para tu parque exacto. La página las presenta por separado, y es esa cifra total la que debes comparar con Nessus.

Greenbone es la empresa alemana, con sede en Osnabrück, que desarrolla OpenVAS, el gran escáner de código abierto. Tiene dos caras. La Community Edition es gratuita, con soporte en foro y sin compromiso. Las ofertas de pago añaden una base de detección profesional, distinta de la comunitaria, y funciones que la versión gratis no tiene, como la arquitectura de maestro y sensores o las actualizaciones sin conexión.

El primer precio de pago es público: OPENVAS BASIC cuesta 2.524 € al año para redes de menos de 150 activos. Nuestro parque de 110 activos entra. Por encima de 150, toca pasar a OPENVAS SCAN, bajo presupuesto.

Lo gratis tiene un coste oculto: tu tiempo. En foros de administradores hay quien considera OpenVAS demasiado complicado de instalar y configurar, y quien concluye que la Community Edition no compensa el esfuerzo. Un relato detallado sobre una red pequeña de unas 20 máquinas cuenta que la instalación con contenedores era más sencilla pero inestable, la instalación desde el código fuente más fiable, y que cada objetivo tardaba unos 30 minutos en analizarse.

Los falsos positivos también aparecen. La solución integrada son los «overrides», que permiten reclasificar u ocultar un resultado ya verificado. Algunos usuarios dudan además de que la base comunitaria detecte tanto como la de pago.

Truco: si empiezas, usa una máquina virtual ya preparada en lugar de una instalación a mano, y programa la actualización de la base de detección cada noche.

Detectify, empresa sueca, mira tu negocio como lo ve un atacante desde internet: dominios, subdominios, aplicaciones web y API. Está pensado para la web más que para los portátiles y las impresoras de la oficina, y es la herramienta más pertinente de esta lista si tu facturación depende de una web o una aplicación.

Sus precios son públicos y en euros, algo poco común. El modelo: una cuota anual de plataforma, más los activos (dominios, rangos de IP) que se facturan aparte. Starter cuesta 0 €, con 5 usuarios y escaneo de API. Standard empieza en 2.500 € al año y añade SSO. Professional empieza en 5.000 € y añade el escaneo interno en tu cadena de despliegue, para un entorno. Enterprise arranca en 15.000 €.

Dos detalles útiles. Si cobras con tarjeta, el escaneo PCI ASV suma 500 € al año. Y las organizaciones sin ánimo de lucro tienen un 30 % de descuento.

El límite: el precio de entrada nunca es el final, porque cada activo se suma a la cuota. Haz la lista de tus dominios y rangos de IP antes de pedir presupuesto.

Truco: empieza con Starter, gratis, para escanear tus API y valorar los informes. Después pondrás precio a tus activos conociendo ya la herramienta.

Pentest-Tools.com es una plataforma en la nube que reúne herramientas de análisis de red, de aplicaciones web y de explotación de fallos. Eliges qué analizar, lanzas y lees el informe. Nada que instalar, y planes separados por uso, lo que facilita ajustar el gasto.

Los precios son públicos y mensuales. NetScan, para la red, empieza en 96 $ al mes para 16 activos. AppScan, para aplicaciones web, empieza en 140 $ al mes para 5 activos. Exploit empieza en 190 $ al mes. Si pagas al año, abonas 10 meses de 12: NetScan sale a 960 $ al año.

El límite se ve con nuestro parque tipo. 16 activos no cubren 110 equipos y servidores, y la página no publica el precio del plan que los cubriría. Brilla en un perímetro pequeño: unos pocos servidores expuestos, una web, la auditoría de un cliente.

El plan Free da 5 activos por ciclo, sin escaneo autenticado ni API. Suficiente para valorar los informes antes de pagar.

Truco: dedica tus 16 activos de NetScan a las máquinas expuestas a internet y deja la red interna a un escáner instalado en tu casa. Pagas lo mínimo por la parte más arriesgada.

Qualys es uno de los grandes del mercado, con una plataforma totalmente en la nube. Su oferta completa, VMDR, se vende bajo presupuesto y apunta sobre todo a grandes cuentas.

Para una pyme, la puerta de entrada es la Community Edition. Es gratuita, en la nube, e incluye descubrimiento de activos, escaneo de infraestructura y de aplicaciones web. Su interés real: ver cómo es una plataforma de gran cuenta sobre tu propia red, sin compromiso.

Prudencia en dos puntos. La página oficial no indica cuántos activos cubre ni si se permite el uso comercial. No apoyes tu cumplimiento en ella sin preguntarlo antes al proveedor.

El límite de la parte de pago es que no hay precio público. Para saber cuánto costaría VMDR con 110 activos hay que pedir presupuesto, y eso retrasa cualquier comparación con Nessus o Greenbone.

Truco: usa la Community Edition como segunda opinión. Lánzala sobre algunas máquinas que ya analiza tu escáner principal y compara: las diferencias te enseñan lo que se le escapa a cada uno.

Cyberwatch es un proveedor francés con sede en París. Su Vulnerability Manager hace cuatro cosas: cartografía tu parque, lo analiza, prioriza los fallos según el riesgo técnico y el riesgo de negocio, y gestiona los parches en un módulo propio. La priorización por negocio es sencilla en la práctica: un fallo medio en el servidor de facturación va antes que uno grave en un portátil de pruebas.

Su punto fuerte es el despliegue. Se instala en tus servidores, con o sin agente, y funciona en modo desconectado. Es poco habitual y muy útil para una planta industrial, una red aislada o una organización que no quiere que ningún dato de vulnerabilidades salga de casa.

El límite: no hay precio público, todo pasa por presupuesto. Para una pyme de 110 activos, eso supone una conversación comercial antes de saber si encaja en el presupuesto.

Un aviso: en este mercado algunos proveedores destacan sellos o certificaciones. Comprueba tú mismo en las webs oficiales de quien los emite cualquier certificación que te presenten en una licitación.

Truco: acompaña la petición de presupuesto con tu inventario (equipos, servidores, sedes, red aislada o no). Tendrás cifras antes y podrás compararlas línea a línea con Nessus o Greenbone.