Ogma versus Caido
Ogma en Caido stellen beide het netwerkverkeer centraal bij webbeveiligingstests: leg een verzoek vast, begrijp wat het doet, pas het aan en bekijk het resultaat. Beide gebruiken Rust in hun backend en bieden HTTP-geschiedenis, onderschepping, opnieuw versturen en automatisering. De zinvolle vergelijking draait niet om het aantal tabbladen, maar om wat je kunt doen zonder extra abonnementen, plugins of configuratie.
Ogma combineert een lichtgewicht ontwerp met een uitgebreid standaardpakket aan tools. De desktopapplicatie brengt handmatig testen, workflows, scannen, verkenning, browserbediening en een ingebouwde MCP-server samen. De AI-assistent is beschikbaar zonder Ogma-abonnement. Ook Caido legt de nadruk op een lichtgewicht Rust-architectuur; het relevantere onderscheid is welke tools ingebouwd zijn, welke plugins vereisen en waarvoor een betaald abonnement nodig is.
In één oogopslag
| Mogelijkheid | Ogma | Caido |
|---|---|---|
| Verkeer onderscheppen en opnieuw versturen | Inbegrepen | Inbegrepen in Basic |
| Ingebouwde AI-assistent | Inbegrepen; configureer je eigen aanbieder | Niet inbegrepen in Basic; betaalde Assistant |
| Toegang tot projecten en workflows | Geen limiet op basis van een betaald abonnement | Basic: 2 projecten, 7 workflows |
| HTTP-filtering | HTTPQL, voorinstellingen en Search | HTTPQL, voorinstellingen en Search |
| Testen met payloads | Ingebouwde Automate | Ingebouwde Automate |
| WebSocket-tests | Geschiedenis, onderschepping, afzonderlijke WS Replay | Ingebouwde WebSocket-geschiedenis en onderschepping |
| Workflowautomatisering | Passieve, actieve en conversiegrafen | Ingebouwde workflowgrafen |
| Kwetsbaarheidsscans | Ingebouwde passieve en actieve scanengines | Scanner-plugin van de community |
| Verborgen paden ontdekken | Afzonderlijke verkenningstool | Woordenlijsten in Automate en crawler van de community |
| Out-of-band-tests | Ingebouwde HTTP-, HTTPS-, DNS- en SMTP-listeners | Integraties van de community |
| Externe AI-agenten | Ingebouwde MCP-server | MCP-server van de community |
| Timinggevoelige tests | Afzonderlijke Race-tool, met HTTP/2-modus | Replay Pipelines |
De informatie over Caido-abonnementen komt uit de abonnementsvergelijking. Het tooloverzicht maakt onderscheid tussen ingebouwde functies en community-uitbreidingen; de documentatie over scannen beschrijft de Scanner-plugin. Het verschil zit in integratie en toegang, niet in de vraag of Caido deze taken kan uitvoeren.
Gratis toegang en de AI-assistent
Caido Basic bevat de ingebouwde Assistant niet. Ogma biedt de interface van zijn assistent zonder betaald Ogma-abonnement. Caido documenteert toegang tot Assistant voor Individual- en Team-abonnementen; deze kan verkeer uitleggen en helpen met aanvalsideeën en het genereren van proofs of concept. Caido Assistant.
Ogma's Ask Bob-assistent ondersteunt het inspecteren en bewerken van verzoeken. Je kunt Anthropic, OpenAI, Google, OpenRouter en een eigen OpenAI-compatibel endpoint configureren. Je kiest zelf de aanbieder en toegangsgegevens, in plaats van een AI-uitbreiding van Ogma aan te schaffen.
Een inbegrepen integratie betekent niet dat modelgebruik onbeperkt gratis is: een gehoste aanbieder kan kosten voor API-gebruik rekenen. Ook een externe AI-client via MCP heeft eigen vereisten voor modellen en accounts. Gewoon onderscheppen, opnieuw versturen en werken met workflows vereist geen AI-aanbieder.
Voor wie beveiligingstests leert uitvoeren of zelfstandig werkt, betekent dit dat de assistent vanaf het begin in dezelfde werkomgeving kan staan als de scanner en automatiseringstools. Voor een team dat Caido al gebruikt, kan het betaalde aanbod beter aansluiten op bestaande afspraken rond inkoop en ondersteuning.
Wanneer je testomgeving groeit
Caido Basic beperkt het aantal projecten, workflows, plugins, opgeslagen filters en gelijktijdige pipelinesessies; ook voor projectback-ups is een betaald abonnement nodig. Die grenzen kunnen relevant worden als je meer doelwitten en herbruikbare testroutines bewaart. Ogma's desktopprojecten, workflowbibliotheek en projectarchieven zijn niet afhankelijk van een betaald functiepakket. Limieten van Caido-abonnementen.
Er is ook een verschil tussen een toolset uitbreiden en eerst de benodigde tools verzamelen voordat je kunt testen. Caido biedt een Scanner, crawler en OAST-integraties vanuit de community. Ogma bevat gerichte scans, contentverkenning en listeners voor terugmeldingen in de applicatie zelf. Als die een vast onderdeel van je onderzoek zijn, kun je ze gebruiken zonder eerst losse pluginpakketten te kiezen en te configureren. Plugins blijven in beide producten nuttig voor specialistische taken. Scanmogelijkheden van Caido, tooloverzicht van Caido.
Neem een gebruikelijke reeks stappen: vind een API-endpoint, verstuur het verzoek opnieuw, voer een gerichte controle uit, bewaar bewijsmateriaal en maak een rapport. Ogma houdt deze stappen in één werkomgeving. Dat is praktisch voor een tester die een gebruiksklare toolset wil; het is geen bewering dat uitbreidingen per definitie minder goed zijn of dat elke ingebouwde controle even grondig is als de scanner van Burp.
Dagelijks testen: geschiedenis, opnieuw versturen en liveverkeer
Ogma combineert HTTPQL-filtering, opgeslagen filters, Search en een gevirtualiseerde HTTP History-tabel. Inspecteer verzoek- en antwoordgegevens, selecteer interessante vermeldingen en stuur ze rechtstreeks naar Replay, Automate of een actieve workflow. Een workflow kan geselecteerde resources verwerken zonder dat je voor elk doelwit de eigen filters hoeft te herschrijven.
Replay bewaart verzamelingen en afzonderlijke pogingen, inclusief het verzoek dat bij elke poging is verstuurd. Gestructureerde bewerking maakt payloads eenvoudig te inspecteren; de modi Raw en Hex behouden de HTTP/1.x-bytes voor tests met ongeldige verzoeken, in plaats van de berichtafbakening stilzwijgend te herstellen. Deze modi versturen de bytes ongewijzigd en omzeilen bewust de normale verzoektransformaties. Ogma Replay.
Ook Caido legt replaypogingen vast en verwerkt omgevingsvariabelen en workflowplaatsaanduidingen in de verzoekeditor. Dat zijn waardevolle mogelijkheden, geen vervangers voor een betaalde scanner. Caido Replay, workflows in Replay.
Ogma voegt afzonderlijke WebSocket- en SSE-geschiedenissen, StreamQL-filtering en een speciale gespreksweergave in WebSocket Replay toe. Je kunt opnieuw verbinden, een bericht bewerken en versturen, en de daaropvolgende antwoorden inspecteren. De beheerde Socket.IO-modus verzorgt de ondersteunde uitwisselingen van besturingsberichten voor Engine.IO 4 / Socket.IO 3-4; de ruwe modus blijft beschikbaar voor andere protocollen. Geen van beide modi kan de ondertekende tokens van een applicatie opnieuw genereren of de authenticatieregels omzeilen. Ogma WebSocket Replay.
Workflows die herbruikbare tools kunnen worden
Beide producten bieden visuele workflowautomatisering. Caido documenteert conversies en acties in meerdere stappen, JavaScript- en Shell-nodes en voorbeelden voor het vernieuwen van authenticatie. Caido Workflows.
Ogma's passieve workflows inspecteren vastgelegd verkeer, actieve workflows voeren expliciete acties uit en conversieworkflows transformeren waarden. Definities worden standaard gedeeld binnen de werkomgeving, met een optie om ze aan één project te koppelen. Met HTTP-testgegevens kun je actieve en passieve workflows testen; conversieworkflows hebben hun eigen testinvoer. Uitvoeringsregistratie en logboeken kunnen worden ingeschakeld bij probleemonderzoek en uitgeschakeld bij verwerking van grote volumes.
Een praktisch voorbeeld is het exporteren van interessante JavaScript-resources. Match & Replace kan verkeer filteren met HTTPQL en de volledige body van het antwoord aan een conversieworkflow doorgeven. Een actieve workflow kan resources opslaan via sdk.fs.writeFile, overschrijven voorkomen met sdk.fs.exists en paden samenstellen via sdk.path.join. Dit zijn ondersteunde SDK-methoden, geen belofte dat elke Node.js-module ongewijzigd werkt. Ogma Workflows, Match & Replace, backend-SDK.
Scannen, verkenning en API-ondersteuning
Ogma bevat passieve analyse en gerichte actieve controles. De huidige actieve engine controleert op SQL-injectie, gereflecteerde XSS, path traversal, commando-injectie, SSTI, SSRF, open redirects, XXE en onveilige uploads. Bevindingen verwijzen terug naar het ondersteunende verkeer. Detecties moeten nog steeds worden gevalideerd, vooral bij resultaten op basis van timing of reflectie; een categorienaam garandeert geen volledige dekking. Ogma Scanner.
Caido's Scanner van de community ondersteunt actieve en passieve tests en eigen controles. Stellen dat Caido geen scanmogelijkheden heeft, is onjuist; het verschil is dat Ogma de engine in de applicatie opneemt en die plugin niet vereist. Scans in Caido.
Ogma's API-importfunctie genereert Replay-verzoeken uit zelfstandige OpenAPI 3.x-documenten, Postman-verzamelingen, GraphQL-introspectieresultaten en WSDL. Ze verwerkt voorbeelden van verzoekinhoud of waarden die uit een schema zijn afgeleid, ondersteunde parameters en authenticatiesjablonen, en getypeerde metadata voor invoegpunten. OpenAPI-servervariabelen en interne verwijzingen worden ondersteund; externe verwijzingen worden niet opgehaald. Gegenereerde verzoeken hebben nog steeds geldige toegangsgegevens en zinvolle applicatiespecifieke waarden nodig. API-import in Ogma.
Afzonderlijke contentverkenning en overzichten van geëxtraheerde endpoints vullen de sitemap aan. Dat is nuttig wanneer het vastgelegde browserverkeer maar een deel van het aanvalsoppervlak laat zien: inspecteer waargenomen routes, genereer verzoeken vanuit een definitie en onderzoek vervolgens paden met een woordenlijst. Dit betekent niet dat verkenning elk pad in de bedrijfslogica kan afleiden.
Browsersessies en externe agenten
Ogma integreert zijn browser in de desktopwerkomgeving. De MCP-tools kunnen toegankelijke pagina-elementen inspecteren, meerdere velden invullen, klikken, op een verwacht resultaat wachten en begrensde momentopnamen of updates met alleen wijzigingen ophalen. Inlogtrajecten bieden herbruikbare stappen, verificatie via URL, DOM, cookies of een verzoek, en handmatige MFA-controlepunten. Meerdere trajecten met rollabels helpen tests op basis van identiteit te organiseren; autorisatiebeslissingen moeten nog steeds expliciet worden getest. Ogma Browser.
De MCP-integratie omvat ook vastgelegd verkeer, bevindingen, Replay, workflows en gesprekslogboeken van WebSocket Replay. Controlepunten, activiteitengeschiedenis en hervattingstools helpen een agent om projectcontext terug te halen na een lange sessie of overdracht. Agenten kunnen relevante interfacespecificaties ontdekken in plaats van op een statische lijst met toolnamen te vertrouwen.
Caido documenteert op zijn eigen site een MCP-server van de community die toegang biedt tot verkeer, replay, bevindingen, projecten en andere handelingen. Caido maakt expliciet duidelijk dat deze server niet officieel aan Caido verbonden is. Het verschil bij Ogma is dat MCP onderdeel is van de eigen backend. MCP-handleiding van Caido.
Specialistische tests en rapportage
Ogma bevat Race, Decoder-recepten, Comparer, JWT-tools, tokenanalyse en OAST. Bij een extern doelwit hebben de listeners voor terugmeldingen een bereikbaar domein en geschikte netwerkroutering nodig; alleen een lokale listener starten maakt deze niet bereikbaar vanaf het internet. Ogma OAST.
Caido's Replay Pipelines ondersteunen sequentiële uitvoering, synchronisatie op de laatste byte en HTTP/2-aanvallen met één pakket. Dit is een volwaardige ingebouwde optie voor het testen van race conditions, niet iets dat alleen via plugins beschikbaar is. Caido Replay Pipelines.
Ogma koppelt bevindingen, notities, replaysessies en vastgelegd verkeer aan projecten. Exporteer verkeer als HAR, JSON, CSV of ruwe HTTP, afhankelijk van de betreffende weergave. Bevindingen ondersteunen HTML- en Markdown-rapporten, met de mogelijkheid om naar PDF af te drukken, zodat een tester leesbare rapporten voor de overdracht kan voorbereiden zonder eerst een externe rapportageketen te bouwen. Met projectarchieven kun je projectgegevens tussen installaties verplaatsen; workflows die binnen de werkomgeving worden gedeeld, worden apart geëxporteerd. Exporteren in Ogma.
Caido biedt ingebouwde Findings en verkeerexport, maar de documentatie verwijst naar externe rapportagetools of integraties in plaats van ingebouwde generatie van opgemaakte HTML/XML-rapporten. Dit onderscheid telt wanneer het eindproduct een leesbaar onderzoeksrapport is en niet alleen een verkeersarchief. Ogma's rapportage moet niet worden verward met het XML-formaat van Burp voor scanrapporten. Rapportage in Caido.
Prestaties en de juiste keuze
Ogma gebruikt een asynchrone Rust-backend, SQLite-opslag voor projecten, Vue en een Electron-desktopomgeving. Gevirtualiseerde verkeersweergave en het laden van details op aanvraag zijn bedoeld om het inspecteren van verkeer vlot te houden naarmate de geschiedenis groeit. Voor werken op een laptop of in een VM is het vermijden van onnodig renderen en laden van berichtinhoud een zinvolle ontwerpprioriteit.
Ook Caido positioneert zich als een lichtgewicht Rust-alternatief voor Burp. Prestaties zijn dus een gedeeld ontwerpdoel, geen onderbouwde reden om Caido zwaar te noemen. Ogma onderscheidt zich hier sterker door het uitgebreide standaardpakket aan tools en minder beperkingen die aan een betaald abonnement zijn gekoppeld. Electron en de ingebouwde browser verbruiken nog steeds resources, en een rangschikking op snelheid of geheugengebruik vereist tests met hetzelfde verkeer, dezelfde instellingen, plugins en hardware. Caido's positionering van zijn architectuur.
Kies Ogma als je een uitgebreide inbegrepen toolset, toegang tot een assistent zonder Ogma-abonnement, herbruikbare workflows, ingebouwde scans en MCP-/browserintegratie van de maker zelf wilt.
Kies Caido als de interface en het pluginecosysteem bij je werkwijze passen, of als je de betaalde opties voor gedeelde instanties en licenties nodig hebt. De gratis basis blijft een capabele werkomgeving voor handmatige tests; Assistant en de abonnementsgrenzen zijn de verschillen om af te wegen. Caido-abonnementen.
Laatst gecontroleerd: 3 oktober 2026. De mogelijkheden van Ogma zijn gecontroleerd aan de hand van de huidige applicatiecode; die van concurrenten aan de hand van de hierboven gekoppelde officiële bronnen.