Web Applicatie & API Pentest
OWASP, businesslogica, auth-bypass - van login tot back-end
Wij testen uw webapplicaties en API's op alle bekende en onbekende kwetsbaarheden. Van OWASP Top 10 tot complexe businesslogica-fouten. Onze aanpak combineert geautomatiseerde scanning met diepgaand handmatig onderzoek door ervaren pentesters.
Wat is een webapplicatie pentest?
Een webapplicatie pentest is een beveiligingsonderzoek waarbij wij uw webapplicatie aanvallen zoals een echte hacker dat zou doen. SQL-injectie, cross-site scripting, gebroken autorisatie, business-logicafouten - wij testen het allemaal. Niet om een lijstje te vullen, maar om aan te tonen wat er werkelijk mis kan gaan: kan een aanvaller data stelen, accounts overnemen of betalingen manipuleren?
Het verschil met een geautomatiseerde OWASP-scan? Tools als Burp Suite, Nuclei en ZAP vinden bekende patronen. Maar de kwetsbaarheden die wij het vaakst rapporteren - IDOR's in API-endpoints, race conditions in betaalflows, JWT-misbruik, OAuth-fouten - worden door scanners niet gevonden. Die vind je alleen met handmatig werk door iemand die begrijpt hoe webapplicaties in elkaar zitten. Van React-frontends en GraphQL-API's tot microservice-architecturen: onze pentesters kennen de stack.
OWASP Top 10 en verder
De OWASP Top 10 is ons startpunt, niet ons eindpunt. Wij testen op injection, broken access control, security misconfiguration, SSRF en alle andere categorieën. Maar de meest impactvolle kwetsbaarheden vallen vaak buiten deze lijst. Het zijn de fouten in uw specifieke businesslogica die het verschil maken - en die vindt geen enkel framework automatisch.
Waarom een webapplicatie pentest laten uitvoeren?
Uw webapplicatie staat direct bloot aan het internet. Het is het eerste wat een aanvaller ziet:
- Datalekken voorkomen: gebroken autorisatie leidt tot toegang tot klantgegevens, financiële data of medische dossiers.
- Reputatie beschermen: een gehackte webapplicatie schaadt het vertrouwen van klanten direct.
- Compliance: ISO 27001, NIS2, PCI-DSS en AVG/GDPR vereisen aantoonbaar veilige applicaties.
- Vroeg ontdekken is goedkoper: een kwetsbaarheid fixen in productie kost 10-100x meer dan tijdens ontwikkeling.
Onze aanpak
Onze webapplicatie pentests combineren methodisch handwerk met gerichte automatisering:
- Scoping - u spreekt direct met de pentester die de test uitvoert. Samen bepalen we welke onderdelen, rollen en functionaliteiten in scope zijn.
- Mapping & discovery - alle endpoints, parameters, API-calls en authenticatieflows in kaart brengen. Burp Suite Professional, maar ook veel handmatige verkenning.
- Authenticatie & autorisatie - inlogmechanismen (brute force, credential stuffing, MFA-bypass), sessiemanagement en RBAC. Kan een gewone gebruiker admin-acties uitvoeren? Kan klant A data van klant B inzien?
- Input handling - SQL, NoSQL, LDAP, OS command injection, XSS (reflected, stored, DOM-based), SSRF, XXE, template injection.
- Business logic - handmatig testen van workflows: kan een gebruiker stappen overslaan, prijzen manipuleren, acties herhalen die eenmalig zouden moeten zijn?
- Rapportage - managementsamenvatting, technische write-ups met reproduceerstappen, CVSS-scores en prioriteitsadvies. Wij bellen u bij kritieke bevindingen - die gaan niet eerst drie weken in een rapport liggen.
- Hertest - na uw fixes kunnen wij verifiëren of de kwetsbaarheden zijn opgelost.
Wat kost een webapplicatie pentest?
Ons uurtarief is €175 per uur. De totale investering hangt af van uw applicatie:
- Kleine applicatie (5-10 endpoints, 1-2 rollen): circa €3.500 - €7.000
- Middelgrote applicatie (20-50 endpoints, meerdere rollen, API): circa €7.000 - €15.000
- Grote/complexe applicatie (100+ endpoints, microservices, complexe business logic): €15.000+
Methodologie
Scoping
Inventarisatie van applicatie-omvang, authenticatie en kritieke functionaliteit.
Recon & Mapping
In kaart brengen van alle endpoints, parameters en API-calls.
Vulnerability Assessment
Systematisch testen op OWASP Top 10 en applicatiespecifieke kwetsbaarheden.
Exploitatie
Aantonen van impact via gecontroleerde exploitatie.
Rapportage & Hertest
Prioritair rapport met proof-of-concept en hertest na fixes.
Veelgestelde vragen
Wat is het verschil tussen een webapplicatie pentest en een vulnerability scan?
Een vulnerability scan draait geautomatiseerde checks op bekende patronen. Wij gaan handmatig op zoek naar de dingen die scanners missen: businesslogica-fouten, autorisatieproblemen, chained exploits. Het verschil is als een beveiligingscamera versus een inbreker die uw huis test.
Testen jullie ook Single Page Applications en API-only backends?
Ja. React, Vue, Angular frontends, REST en GraphQL API's, microservices, serverless - wij kennen deze architecturen en hun specifieke risico's. CORS-misconfiguraties, JWT-kwetsbaarheden, GraphQL introspection abuse - wij weten waar we moeten zoeken.
Hebben jullie toegang tot de broncode nodig?
Bij een blackbox-test niet. Bij een whitebox-test wel, en dat levert in minder tijd meer resultaten op. Ons advies: whitebox, tenzij u specifiek het blackbox-scenario wilt testen. Dat bespreken we tijdens het scopingsgesprek - met de pentester zelf, niet met een verkoper.
Kan ik de pentest laten uitvoeren op mijn staging-omgeving?
Ja, dat raden wij zelfs aan. Staging voorkomt risico voor productiedata. Wel moet de staging-omgeving representatief zijn qua configuratie. Wij helpen u inschatten of dat het geval is.
Klaar om uw security te testen?
Neem contact op met ons team voor een vrijblijvend gesprek over uw security uitdagingen.