Burp Suite Professional est une boîte à outils destinée aux spécialistes qui évaluent la sécurité des sites et des applications web. Elle est éditée par PortSwigger Ltd, une société britannique, et son histoire commence avec Dafydd Stuttard, qui en a écrit la première version entre 2003 et 2006 d’après la chronologie publiée par l’éditeur. Le logiciel est propriétaire et vendu sous forme d’abonnement, mais il existe à côté une édition Community gratuite, limitée aux outils manuels.
PortSwigger revendique plus de 70 000 clients, dont 16 000 entreprises. Sa gamme comprend aussi Burp Suite DAST, un scanner automatisé destiné aux grandes organisations.
À quoi sert Burp Suite Professional
Tout part d’un proxy d’interception. Le navigateur du testeur, ou le navigateur Chromium livré avec Burp et déjà configuré, fait passer son trafic par l’outil. Chaque requête HTTP ou HTTPS et chaque message WebSocket échangé avec l’application s’affiche alors dans un historique, où l’on peut l’examiner en détail. Cette position d’intermédiaire révèle ce que l’interface du site ne montre pas : paramètres masqués, en-têtes, jetons de session, appels d’API exécutés en arrière-plan par le code JavaScript.
Autour de ce proxy gravitent des modules spécialisés. Repeater rejoue une requête à la main, Decoder convertit les données entre différents encodages, Comparer met deux réponses côte à côte et Sequencer mesure le caractère aléatoire des jetons générés par l’application. L’édition Professional ajoute ce qui fait gagner du temps sur une mission réelle : Burp Scanner, qui explore le site automatiquement et signale les vulnérabilités web, la version complète d’Intruder pour automatiser l’envoi de variantes d’une requête, Burp Collaborator pour repérer les failles qui ne se manifestent qu’en dehors de la réponse visible, des fichiers de projet, une fonction de recherche et un assistant baptisé Burp AI.
Le logiciel se prête aussi à la personnalisation. Le BApp Store, la boutique d’extensions intégrée, regroupe selon PortSwigger plus de 300 modules écrits par plus de 250 auteurs, et les fonctions Bambdas et BChecks permettent d’écrire de petits filtres ou contrôles maison. Burp Suite DAST reprend le même moteur, mais pour des analyses planifiées ou intégrées à une chaîne d’intégration continue, dans le cloud de PortSwigger ou sur ses propres serveurs.
Face aux autres outils de notre logithèque, Burp occupe un terrain précis, celui du protocole HTTP. MobSF analyse le code des applications mobiles et Frida instrumente un programme pendant son exécution, tandis que Burp observe les échanges réseau entre l’application et son serveur. Le projet libre ZAP reste l’alternative gratuite la plus connue.
Pour qui ?
L’édition Professional vise les auditeurs qui réalisent des tests d’intrusion dans un cadre contractuel, les équipes de sécurité applicative qui vérifient leurs propres services avant une mise en production, et les chercheurs qui participent à des programmes de prime aux bogues. L’édition Community convient à l’apprentissage et aux vérifications ponctuelles d’un développeur qui veut comprendre ce que son application envoie réellement.
Les limites sont réelles. Burp ne s’occupe que du web et des API, il ne remplace ni un scanner de ports comme Masscan ni un outil d’audit de mots de passe comme Hashcat. Son usage suppose une bonne connaissance du protocole HTTP et des familles de vulnérabilités, faute de quoi les résultats du scanner restent difficiles à interpréter. Côté matériel, la documentation demande au minimum 4 Go de mémoire et en recommande 16, et un fichier de projet peut atteindre plusieurs dizaines de gigaoctets.
Télécharger Burp Suite Professional sans risque
Les installateurs se trouvent sur la page des versions de PortSwigger, qui distingue les versions stables des versions Early Adopter, plus récentes. On y trouve des installateurs pour Windows, macOS et Linux, en x64 comme en ARM, ainsi qu’un fichier JAR multiplateforme, avec leurs empreintes MD5 et SHA-256. L’édition Community se télécharge librement. L’édition Professional demande une licence : PortSwigger l’affiche à 499 dollars par utilisateur pour un an, avec des engagements possibles jusqu’à dix ans. Un essai complet, sans carte bancaire, est accordé sur demande avec une adresse électronique professionnelle.
Une édition Professional offerte gratuitement sur un forum ou un site de téléchargement est forcément une copie piratée. Or un outil placé au milieu de tout le trafic d’un audit voit passer des identifiants, des cookies de session et des données de clients, ce qui en fait le pire endroit où accepter un exécutable modifié par un inconnu.
Questions fréquentes
Burp Suite est-il gratuit ?
L’édition Community l’est, avec les outils manuels et une version de démonstration d’Intruder. L’édition Professional coûte 499 dollars par utilisateur et par an selon le site de PortSwigger. Un essai gratuit permet de l’évaluer avant d’acheter.
Qu’apporte l’édition Professional par rapport à Community ?
Elle ajoute le scanner de vulnérabilités, l’exploration automatique du site, Intruder sans bridage, Burp Collaborator, la sauvegarde des projets et la recherche dans l’historique. Elle donne aussi accès aux extensions réservées aux abonnés et à l’assistant Burp AI.
Peut-on tester n’importe quel site avec Burp ?
Non. Le contrat de licence de PortSwigger interdit d’analyser des sites ou des systèmes sans l’autorisation de leur propriétaire. Un test d’intrusion se mène sur la base d’un accord écrit qui fixe le périmètre et les dates.
