Ogma versus Caido

Ogma i Caido staví testování bezpečnosti webu na práci s provozem: zachytit požadavek, pochopit ho, upravit a sledovat výsledek. Oba nástroje používají v backendu Rust a nabízejí historii HTTP, zachytávání a opakované odesílání požadavků i automatizaci. Smysluplné srovnání nespočívá v počtu karet, ale v tom, co zvládnete bez dalších předplatných, pluginů nebo nastavování.

Ogma spojuje úsporný návrh se širokou sadou nástrojů přímo v aplikaci. Desktopová aplikace sdružuje ruční testování, pracovní postupy, skenování, průzkum, ovládání prohlížeče a vestavěný server MCP. Asistent AI je dostupný bez předplatného Ogma. Také Caido zdůrazňuje úspornou architekturu v Rustu; užitečnější je rozlišovat, které nástroje jsou vestavěné, které vyžadují pluginy a které placený tarif.

Stručný přehled

Možnost	Ogma	Caido
Základní zachytávání a opakované odesílání	Součást aplikace	Součást Basic
Vestavěný asistent AI	Součást aplikace; nastavíte vlastního poskytovatele	Není součástí Basic; placený Assistant
Přístup k projektům a pracovním postupům	Bez kvót vázaných na placený tarif	Basic: 2 projekty, 7 pracovních postupů
Filtrování HTTP	HTTPQL, předvolby a Search	HTTPQL, předvolby a Search
Testování pomocí útočných vstupů	Vestavěný Automate	Vestavěný Automate
Testování WebSocket	Historie, zachytávání, samostatný WS Replay	Vestavěná historie a zachytávání WebSocket
Automatizace pracovních postupů	Pasivní, aktivní a převodní grafy	Vestavěné grafy pracovních postupů
Skenování zranitelností	Vestavěné pasivní a aktivní skenovací moduly	Komunitní plugin Scanner
Hledání skrytých cest	Samostatný nástroj pro průzkum	Seznamy slov v Automate a komunitní crawler
Testování mimo hlavní komunikační kanál	Vestavěné naslouchací služby HTTP, HTTPS, DNS a SMTP	Komunitní integrace
Externí agenti AI	Vestavěný server MCP	Komunitní server MCP
Testy citlivé na časování	Samostatný nástroj Race včetně režimu HTTP/2	Replay Pipelines

Informace o tarifech Caido pocházejí ze srovnání tarifů. Přehled nástrojů rozlišuje vestavěné funkce a komunitní rozšíření a dokumentace skenování popisuje plugin Scanner. Rozdíl je v integraci a dostupnosti, nikoli v tom, že by Caido tyto úlohy nedokázalo provést.

Bezplatný přístup a asistent AI

Caido Basic neobsahuje vestavěný Assistant. Ogma poskytuje rozhraní svého asistenta bez placeného tarifu Ogma. Caido uvádí, že Assistant je dostupný v rámci předplatných Individual a Team; asistent dokáže vysvětlovat provoz a pomáhat s nápady na útoky i tvorbou ukázek zneužití (proof of concept). Caido Assistant.

Asistent Ask Bob v Ogma pomáhá při prohlížení a úpravách požadavků. Mezi nastavitelné poskytovatele patří Anthropic, OpenAI, Google, OpenRouter a vlastní koncový bod kompatibilní s OpenAI. Místo nákupu doplňku AI od Ogma si zvolíte poskytovatele a přístupové údaje.

Zahrnutá integrace neznamená neomezené bezplatné zpracování modelem: hostovaný poskytovatel může účtovat používání API. Také připojení externího klienta AI přes MCP má vlastní požadavky na model a účet. Běžné zachytávání, opakované odesílání a pracovní postupy poskytovatele AI nevyžadují.

Pro člověka, který se učí bezpečnostnímu testování nebo pracuje samostatně, to znamená, že asistent může být od začátku ve stejném pracovním prostoru jako skener a automatizační nástroje. Týmu, který již používá Caido, může jeho placená nabídka lépe vyhovovat stávajícím podmínkám nákupu a podpory.

Když původně malá sestava roste

Caido Basic omezuje projekty, pracovní postupy, pluginy, uložené filtry a souběžné relace pipeline; vytvoření záloh projektů rovněž vyžaduje placený tarif. Tyto hranice mohou začít být důležité, když si uchováváte více cílů a opakovaně použitelných testovacích rutin. Desktopové projekty, knihovna pracovních postupů a archivy projektů v Ogma nevyžadují placený tarif. Limity tarifů Caido.

Je také rozdíl mezi rozšiřováním sady nástrojů a skládáním potřebného vybavení ještě před zahájením testování. Caido nabízí komunitní Scanner, crawler a integrace OAST. Ogma má cílené skenování, průzkum obsahu a naslouchací služby pro zpětná spojení přímo v aplikaci. Pokud je běžně používáte při posuzování bezpečnosti, jsou dostupné bez předchozího výběru a konfigurace samostatných balíčků pluginů. Pluginy jsou v obou produktech nadále užitečné pro specializované úlohy. Možnosti skenování v Caido, přehled nástrojů Caido.

Představte si běžný postup: najít koncový bod API, znovu odeslat požadavek, spustit cílenou kontrolu, uložit podpůrné důkazy a připravit zprávu. V Ogma můžete všechny tyto kroky provést v jednom pracovním prostoru. Je to výhoda pro testera, který chce sadu připravenou k použití, nikoli tvrzení, že rozšíření jsou z podstaty horší nebo že každá vestavěná kontrola je stejně důkladná jako skener Burp.

Každodenní testování: historie, opakované odesílání a živý provoz

Ogma kombinuje filtrování HTTPQL, uložené filtry, Search a virtualizovanou tabulku HTTP History. Prohlížejte data požadavků a odpovědí, vybírejte zajímavé záznamy a posílejte je přímo do Replay, Automate nebo aktivního pracovního postupu. Pracovní postup může zpracovat vybrané prostředky, aniž byste pro každý cíl museli přepisovat jeho filtry.

Replay uchovává kolekce a jednotlivé pokusy včetně požadavku odeslaného při každém pokusu. Strukturované úpravy usnadňují prohlížení obsahu zpráv; režimy Raw a Hex zachovávají bajty HTTP/1.x pro testování chybných požadavků, místo aby potichu opravovaly vymezení zprávy. Tyto režimy přesného odesílání bajtů záměrně obcházejí běžné transformace požadavků. Ogma Replay.

Také Caido zaznamenává pokusy o opakované odeslání a do úprav požadavků integruje proměnné prostředí a zástupné hodnoty pracovních postupů. Jde o užitečné možnosti, ne o náhražky placeného skeneru. Caido Replay, pracovní postupy v Replay.

Ogma přidává samostatné historie WebSocket a SSE, filtrování StreamQL a vyhrazené zobrazení konverzace ve WebSocket Replay. Můžete se znovu připojit, upravit zprávu, odeslat ji a prohlédnout následné odpovědi. Řízený režim Socket.IO zajišťuje podporované výměny řídicích zpráv Engine.IO 4 / Socket.IO 3-4; pro jiné protokoly zůstává dostupný surový režim. Ani jeden režim neumí znovu vytvořit podepsané tokeny aplikace ani obejít její pravidla autentizace. Ogma WebSocket Replay.

Pracovní postupy jako opakovaně použitelné nástroje

Oba produkty nabízejí vizuální automatizaci pracovních postupů. Caido dokumentuje vícekrokové převody a akce, uzly JavaScript a Shell a příklady obnovování autentizace. Caido Workflows.

Pasivní pracovní postupy Ogma prohlížejí zachycený provoz, aktivní provádějí výslovně zadané akce a převodní transformují hodnoty. Definice jsou standardně sdílené v pracovním prostoru, s možností omezit je na konkrétní projekt. Testovací data HTTP umožňují testovat aktivní i pasivní postupy; převodní postupy mají vlastní testovací vstup. Záznamy běhů a protokoly lze zapnout při diagnostice problému a vypnout při zpracování velkých objemů.

Praktickým příkladem je export zajímavých prostředků JavaScript. Match & Replace může filtrovat provoz pomocí HTTPQL a předávat celé tělo odpovědi převodnímu pracovnímu postupu. Aktivní postup může ukládat prostředky přes sdk.fs.writeFile, používat sdk.fs.exists, aby zabránil přepsání, a sestavovat cesty pomocí sdk.path.join. Jsou to podporované metody SDK, nikoli příslib, že každý modul Node.js bude fungovat beze změn. Pracovní postupy Ogma, Match & Replace, SDK backendu.

Skenování, průzkum a pokrytí API

Ogma obsahuje pasivní analýzu a cílené aktivní kontroly. Současný aktivní skenovací modul pokrývá injekce SQL, reflektované XSS, průchod adresáři, vkládání příkazů, SSTI, SSRF, otevřená přesměrování, XXE a nezabezpečené nahrávání souborů. Nálezy odkazují na provoz, který je dokládá. Výsledky detekce je stále třeba ověřovat, zvláště pokud jsou založené na časování nebo vrácení vstupu v odpovědi; název kategorie nezaručuje úplné pokrytí. Ogma Scanner.

Komunitní Scanner pro Caido podporuje aktivní i pasivní testování a vlastní kontroly. Není přesné říkat, že Caido nemá možnost skenování; rozdíl spočívá v tom, že Ogma obsahuje skenovací modul přímo v aplikaci a nevyžaduje tento plugin. Skenování v Caido.

Importér API v Ogma generuje požadavky do Replay ze samostatných dokumentů OpenAPI 3.x, kolekcí Postman, výsledků introspekce GraphQL a WSDL. Zpracovává příklady těl požadavků nebo hodnoty odvozené ze schématu, podporované parametry a šablony autentizace i typová metadata bodů vložení. Podporuje serverové proměnné OpenAPI a interní odkazy; externí odkazy nestahuje. Vygenerované požadavky stále potřebují platné přístupové údaje a smysluplné hodnoty pro konkrétní aplikaci. Import API v Ogma.

Samostatný průzkum obsahu a přehledy získaných koncových bodů doplňují mapu webu. To se hodí, když zachycený provoz prohlížeče ukazuje jen část útočné plochy: prohlédněte pozorované trasy, vygenerujte požadavky z definice a potom zkoušejte cesty pomocí seznamu slov. Nejde o tvrzení, že průzkum dokáže odvodit každou cestu aplikační logiky.

Relace prohlížeče a externí agenti

Ogma začleňuje prohlížeč do desktopového pracovního prostoru. Jeho nástroje MCP mohou prohlížet dostupné prvky stránky, vyplňovat více polí, klikat, čekat na očekávaný výsledek a získávat snímky s omezeným rozsahem nebo aktualizace obsahující pouze změny. Přihlašovací scénáře poskytují opakovaně použitelné kroky, ověření pomocí URL, DOM, cookies nebo požadavku a ruční kontrolní body MFA. Více scénářů označených rolemi pomáhá organizovat testování podle identity; rozhodování o oprávněních je stále třeba výslovně testovat. Prohlížeč Ogma.

Integrace MCP zahrnuje také zachycený provoz, nálezy, Replay, pracovní postupy a přepisy konverzací WebSocket Replay. Kontrolní body, historie aktivit a nástroje pro obnovení pomáhají agentovi znovu získat kontext projektu po dlouhé relaci nebo předání práce. Agenti mohou zjišťovat relevantní specifikace rozhraní namísto spoléhání na statický seznam názvů nástrojů.

Caido na svém webu dokumentuje komunitní server MCP, který poskytuje přístup k provozu, opakovanému odesílání, nálezům, projektům a dalším operacím. Caido výslovně uvádí, že nejde o server oficiálně spojený s Caido. U Ogma je rozdíl v tom, že MCP je součástí vlastního backendu. Návod MCP pro Caido.

Specializované testování a tvorba zpráv

Ogma zahrnuje Race, recepty Decoder, Comparer, nástroje JWT, analýzu tokenů a OAST. Naslouchací služby pro zpětná spojení potřebují při vzdáleném cíli dosažitelnou doménu a vhodné síťové směrování; pouhé spuštění místní služby ji nezpřístupní z internetu. Ogma OAST.

Replay Pipelines v Caido podporují sekvenční provádění, synchronizaci posledního bajtu a útoky HTTP/2 v jediném paketu. Jde o skutečnou vestavěnou možnost testování souběhových chyb, nikoli o funkci dostupnou pouze přes pluginy. Caido Replay Pipelines.

Ogma uchovává nálezy, poznámky, relace opakovaného odesílání a zachycený provoz ve vazbě na projekty. Provoz můžete podle příslušného zobrazení exportovat jako HAR, JSON, CSV nebo surové HTTP. Nálezy podporují zprávy HTML a Markdown s možností tisku do PDF, takže tester může připravit čitelný výstup pro předání bez předchozího budování externího systému pro tvorbu zpráv. Archivy projektů umožňují přenášet projektová data mezi instalacemi; pracovní postupy sdílené v pracovním prostoru se exportují zvlášť. Exporty Ogma.

Caido poskytuje vestavěné Findings a exporty provozu, ale jeho dokumentace odkazuje uživatele na externí nástroje či integrace pro tvorbu zpráv místo vestavěného generování formátovaných zpráv HTML/XML. Tento rozdíl je důležitý, pokud má být výstupem čitelná zpráva z bezpečnostního posouzení, nikoli jen archiv provozu. Zprávy Ogma nelze zaměňovat s formátem XML pro zprávy ze skenování Burp. Zprávy v Caido.

Výkon a správná volba

Ogma používá asynchronní backend v Rustu, úložiště projektů SQLite, Vue a desktopové prostředí Electron. Virtualizované vykreslování provozu a načítání podrobností na vyžádání mají udržet běžné prohlížení svižné i při rostoucí historii. Při práci na notebooku nebo ve VM je omezení zbytečného vykreslování a načítání těl zpráv smysluplnou prioritou návrhu.

Také Caido se prezentuje jako úsporná alternativa k Burp napsaná v Rustu. Výkon je tedy společný cíl návrhu, nikoli obhajitelný důvod označovat Caido za náročné. Ogma se zde výrazněji odlišuje rozsahem nástrojů dodávaných s aplikací a menším počtem omezení vázaných na placené tarify. Electron a vestavěný prohlížeč stále spotřebovávají prostředky a srovnání rychlosti či spotřeby paměti by vyžadovalo testování stejného provozu, nastavení, pluginů a hardwaru. Jak Caido představuje svou architekturu.

Zvolte Ogma, pokud chcete širokou sadu nástrojů přímo v aplikaci, přístup k asistentovi bez předplatného Ogma, opakovaně použitelné pracovní postupy, vestavěné skenování a integraci MCP a prohlížeče přímo od výrobce.

Zvolte Caido, pokud vám vyhovuje jeho rozhraní a ekosystém pluginů nebo potřebujete placené možnosti sdílených instancí a licencování. Bezplatná verze nadále dobře poslouží při ručním testování; rozdíly, které je třeba zvážit, jsou Assistant a limity tarifů. Tarify Caido.

Poslední kontrola: 3. října 2026. Možnosti Ogma byly ověřeny podle aktuálního kódu aplikace; možnosti konkurentů podle oficiálních zdrojů odkazovaných výše.