Разработчик из Казани за неделю превратил свой пет-проект WebScan из простой идеи в полноценный инструмент, доступный через pip install. После публикации первой статьи на Хабре инструмент неожиданно получил 10 тысяч просмотров, попал в закреплённый пост крупного канала и даже был замечен Google AI в рекомендациях по Python-инструментам для bug bounty.

В процессе разработки автор столкнулся с рядом проблем: ему отказали в программе Anthropic для доступа к Claude из-за случайно неверного ответа на вопрос про MFA, а реальный показатель покрытия кода оказался на 3% ниже ожидаемого из-за путаницы с progress bar pytest. Кроме того, имя webscan в PyPI оказалось занято, и пришлось использовать название webscan-security.

В версии v2.0 количество плагинов выросло с 7 до 19, добавились XSS, Blind SQLi, Path Traversal, SSRF и другие. Инструмент обзавёлся собственным краулером для обхода целей, а бенчмарк показал, что WebScan на Python оказался быстрее аналогичного инструмента Nuclei на Go.

Ключевым нововведением стала интеграция с NVD API, дающая доступ к более чем 350 тысячам уязвимостей в реальном времени, а также детектор секретов для поиска ключей AWS, OpenAI и GitHub в исходниках. Весь путь от идеи до публикации в пакетном менеджере занял всего одну неделю.