Penetratietesten · Webapplicaties · API’s
Zie je applicatie zoals een aanvaller. Voordat hij het doet.
Handmatige penetratietests en periodieke scans voor webapplicaties. Uitgevoerd door een ervaren pentester, opgeleverd als rapport waar je management én ontwikkelaars direct mee verder kunnen.
- OWASP WSTG
- OWASP Top 10:2025
- CWE
- CVSS
Voorbeeld · Managementsamenvatting
Webapplicatie, grey-box
- 0 Kritiek
- 3 Hoog
- 1 Middel
- 0 Laag
- 0 Info
- F-001 Inzage in gegevens van andere organisaties via object-ID A01:2025 Broken Access Control Hoog
- F-002 Wachtwoord wijzigen zonder herauthenticatie A07:2025 Authentication Failures Hoog
- F-003 Kwetsbare PDF-component (CVE-2024-4367) A03:2025 Supply Chain Failures Hoog
- F-004 Onvoldoende validatie van bestandsuploads A06:2025 Insecure Design Middel
Geanonimiseerd uit een recente test. Klantnaam en details zijn weggelaten.
Scanner of pentester
Een scanner vindt bekende fouten. Een aanvaller zoekt de logica.
Platforms voor continue scanning zijn sterk in verouderde componenten, bekende CVE’s en configuratiefouten. Gebruik ze vooral. Maar ze weten niet dat gebruiker A nooit de kandidaten van organisatie B mag zien.
Autorisatie, sessies en bedrijfslogica vragen om een mens die de applicatie begrijpt. Daar zitten de bevindingen met de grootste impact — en daar richt een pentest zich op.
| Bevinding | Scanner | Pentester |
|---|---|---|
| Verouderde PDF-component Bekende CVE in een externe bibliotheek | ja | ja |
| Gegevens van andere organisaties inzien Object-ID in de URL aanpassen | nee | ja |
| Accountovername via actieve sessie Wachtwoord wijzigen zonder huidig wachtwoord | nee | ja |
| Zwakke uploadvalidatie Bestandstype niet op inhoud gecontroleerd | deels | ja |
Diensten
Drie manieren om je beveiliging aantoonbaar te maken.
Begin met een penetratietest, controleer het herstel met een hertest en houd het niveau vast met periodieke scans. Elke opdracht start met een korte intake en een vaste prijs.
-
01 Meest gekozen
Penetratietest
Grey-box test van je webapplicatie of API met testaccounts, zoals een ingelogde gebruiker het zou doen.
- Authenticatie, autorisatie en sessies
- Invoervalidatie, uploads en bedrijfslogica
- Rapport + nabespreking + publiceerbare verklaring
Vaste prijs na intake -
02 Na herstel
Hertest
Verificatie van elke bevinding na herstel, plus regressiecontrole op direct verwante functionaliteit.
- Status per bevinding bijgewerkt
- Addendum op het oorspronkelijke rapport
- Geactualiseerde verklaring bij succesvol herstel
Vaste prijs na intake -
03 Doorlopend
Periodieke scan
Maandelijkse of driemaandelijkse scan op nieuwe kwetsbaarheden en verouderde componenten, beoordeeld door een mens.
- Geen ruis: alleen gevalideerde bevindingen
- Korte rapportage per scanronde
- Signaal bij kritieke nieuwe CVE’s
Vaste prijs na intake
Aanpak
Gestructureerd, zorgvuldig en zonder verrassingen.
Elke test volgt de OWASP Web Security Testing Guide. Er worden geen destructieve tests uitgevoerd en je weet vooraf precies wat er getest wordt en wanneer.
-
Voorbereiding
Scope, testperiode en contactpersonen vastleggen. Schriftelijke toestemming en testaccounts.
-
Verkenning
Functionaliteit, rollen, technologie en externe componenten in kaart.
-
Geautomatiseerde analyse
Passieve en actieve scans, inclusief detectie van kwetsbare bibliotheken.
-
Handmatige toetsing
Gericht testen van autorisatie, sessies, invoer, uploads en bedrijfslogica.
-
Validatie
Elke bevinding bevestigd, false positives eruit, ernst onderbouwd.
-
Rapportage
Rapport met bewijs en herstelplan, gevolgd door een nabespreking.
Het rapport
Eén document voor de directie, het ontwikkelteam en je klanten.
Geen export van een scantool, maar een Nederlandstalig rapport met per bevinding de impact, het bewijs, reproductiestappen en een concrete oplossing.
- Managementsamenvatting Totaalrisico en belangrijkste risico’s in gewone taal.
- Bevindingen Bewijs, reproductie, verwacht gedrag en aanbeveling.
- Classificatie OWASP Top 10:2025, CWE en CVE per bevinding.
- Herstelplan Prioriteit, streefdatum en eigenaar per maatregel.
- AVG-check Signalering wanneer persoonsgegevens geraakt worden.
- Verklaring Publiceerbare verklaring voor klanten en aanbestedingen.
Vertrouwelijk
GET /vacatures/1043/sollicitaties/88217 HTTP/1.1Cookie: session=•••••••• (org A)HTTP/1.1 403 Forbidden<li>J•••• d• V•••</li> ← naam lekt in breadcrumb
- Autorisatie op objectniveau vóór het ophalen van gegevens.
- Uniforme 404-response voor niet-toegankelijke objecten.
| Ernst | Wanneer | Hersteltermijn |
|---|---|---|
| Kritiek | Direct te misbruiken, ernstige gevolgen. | Uiterlijk 7 dagen |
| Hoog | Aanzienlijke impact, misbruik realistisch. | Binnen 30 dagen |
| Middel | Beperkte impact of specifieke voorwaarden. | Binnen 90 dagen |
| Laag | Verdediging in de diepte. | Volgende release |
| Info | Observatie of best practice. | Naar eigen inzicht |
Ernst op basis van waarschijnlijkheid en impact op vertrouwelijkheid, integriteit en beschikbaarheid; onderbouwd met CVSS waar beschikbaar.
-
AVG
Je verwerkt persoonsgegevens
Aantonen dat je passende technische maatregelen neemt begint bij weten waar de gaten zitten.
-
NIS2 · ISO 27001
Je moet het kunnen aantonen
Een onafhankelijk rapport en herstelplan als bewijs richting auditor of toezichthouder.
-
Klanteisen
Een klant vraagt erom
Steeds meer opdrachtgevers en aanbestedingen vragen een recente pentestverklaring.
-
Release
Er verandert veel
Nieuwe login, rollen of uploadfuncties? Test vóór livegang, niet erna.
Wat is het verschil met een vulnerability scan?
Een scan zoekt automatisch naar bekende kwetsbaarheden. Een penetratietest combineert dat met handmatig testen door een specialist die de logica van je applicatie begrijpt — en vindt zo fouten in autorisatie en bedrijfslogica die tools missen.
Wij gebruiken al een tool voor continue scanning. Heeft een pentest dan nog zin?
Ja. Die tools zijn een goede basis voor componenten en configuratie. Een pentest vult aan wat ze structureel niet zien. Veel klanten combineren beide: doorlopend scannen en jaarlijks of bij grote releases een pentest.
Is het veilig voor onze productieomgeving?
We testen bij voorkeur op een test- of acceptatieomgeving. Er worden geen destructieve tests of denial-of-service-aanvallen uitgevoerd, en alles gebeurt binnen de afgesproken scope en testperiode.
Hoe lang duurt een test?
Een gemiddelde webapplicatie testen we in één tot twee weken. Na de intake ontvang je een voorstel met vaste prijs, planning en scope.
Wat hebben jullie van ons nodig?
Een contactpersoon, toegang tot de omgeving, testaccounts per relevante rol en schriftelijke toestemming. Wij leveren een opdrachtbevestiging waarin de scope is vastgelegd.
Wat gebeurt er met onze gegevens?
Alle informatie wordt vertrouwelijk behandeld, versleuteld opgeslagen en na afronding van de opdracht inclusief hertest veilig verwijderd.
Intake
Weet binnen twee weken waar je staat.
Vertel kort wat je wilt laten testen. We plannen een intake van 30 minuten en sturen daarna een voorstel met vaste prijs.
- Intake van 30 minuten
- Voorstel met vaste prijs en scope
- Test en rapport binnen 1–2 weken
Mail je aanvraag naar info@pentestscan.nl. We nemen binnen één werkdag contact op.
info@pentestscan.nl