Penetratietest voor webapplicaties en API’s
Een grey-box test met testaccounts, uitgevoerd zoals een ingelogde gebruiker met kwade bedoelingen het zou doen. Met een rapport dat je ontwikkelaars direct kunnen gebruiken.
- Type
- Grey-box, geauthenticeerd
- Doorlooptijd
- 1–2 weken
- Kader
- OWASP WSTG · Top 10:2025
- Prijs
- Vast, na intake
Wat we testen
Waar de fouten met de meeste impact zitten.
De scope stemmen we af in de intake. Dit zijn de onderdelen die in vrijwel elke test terugkomen.
-
A01
Autorisatie
Kan gebruiker A bij gegevens van organisatie B? Objecten, rollen en rechten.
-
A07
Authenticatie en sessies
Inloggen, wachtwoordherstel, MFA, sessiebeheer en accountovername.
-
A05
Invoervalidatie
Injectie, XSS en andere manieren om de applicatie iets te laten doen wat niet bedoeld is.
-
A06
Bestandsuploads
Bestandstype, opslaglocatie en of geüploade bestanden als code kunnen draaien.
-
A03
Externe componenten
Verouderde bibliotheken en bekende CVE’s in de software-supply-chain.
-
BL
Bedrijfslogica
Stappen overslaan, limieten omzeilen, processen anders gebruiken dan bedoeld.
Zo verloopt het
Van intake tot nabespreking.
-
Week 0
Intake en scope
30 minuten. Daarna een voorstel met vaste prijs en opdrachtbevestiging.
-
Week 1
Verkenning en scans
Functionaliteit en rollen in kaart, geautomatiseerde analyse van componenten.
-
Week 1–2
Handmatig testen
Gericht op autorisatie, sessies en logica. Kritieke vondsten melden we direct.
-
Week 2
Rapport en nabespreking
Rapport met herstelplan, toegelicht met je team. Hertest op afroep.
Wat je ontvangt
Geen scanexport, maar een plan.
- Managementsamenvatting Totaalrisico en belangrijkste risico’s in gewone taal.
- Bevindingen met bewijs Reproductiestappen, verwacht gedrag en concrete oplossing.
- Herstelplan Prioriteit, streefdatum en eigenaar per maatregel.
- Publiceerbare verklaring Voor klanten, auditors en aanbestedingen.
Weet binnen twee weken waar je staat.
Intake van 30 minuten, daarna een voorstel met vaste prijs.