2 november 2026 · 10 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Gratis pentest: kosteloze penetratietesten uitsluitend voor Amerikaanse bedrijven, en hoe u zo'n aanbod beoordeelt
Een gratis pentest is in de praktijk meestal een geautomatiseerde scan met een verkoopgesprek erachter. In aanloop naar onze volledige toetreding tot de Amerikaanse markt in het eerste kwartaal van 2027 voert HackersHub 20 kosteloze, handmatige penetratietesten uit voor Amerikaanse bedrijven die in aanmerking komen, afhankelijk van geschiktheid, overeengekomen scope en beschikbaarheid. Dit artikel legt uit hoe u zulke aanbiedingen beoordeelt en wat onze kosteloze pilot precies inhoudt.
Gratis pentest of kwetsbaarheidsscan?
Wat als gratis pentest wordt aangeboden, is in de meeste gevallen een geautomatiseerde kwetsbaarheidsscan: een tool vergelijkt uw bereikbare diensten met bekende signaturen en somt mogelijke problemen op. Een penetratietest is een afgebakende handmatige opdracht waarin een gekwalificeerde tester zwakke plekken misbruikt en combineert om de werkelijke impact aan te tonen. NIST SP 800-115 maakt precies dat onderscheid tussen het vinden en het bevestigen van zwakheden. Ons artikel over pentest versus vulnerability scanning zet de volledige vergelijking op een rij.
Opensourcetools als OWASP ZAP en Nmap ondersteunen een nuttige interne zelfbeoordeling; ons overzicht van pentesttools legt uit wat ze wel en niet laten zien.
De vier soorten aanbod die u tegenkomt
Aanbiedingen onder dat etiket vallen in een klein aantal patronen uiteen. Wie weet welk patroon voor hem ligt, weet ook wat de uitkomst wel en niet bewijst.
Geautomatiseerde scan, verkocht als pentest
Een scanner die over uw publieke domein loopt, opgeleverd als pdf met een grafiek van ernstniveaus. Bruikbaar voor basishygiëne, maar blind voor bedrijfslogica, toegangscontrole en gecombineerde aanvallen. Veruit het meest voorkomende patroon.
Lokkertje
Een korte handmatige blik op één pagina of één endpoint, bedoeld om één of twee bevindingen op te leveren die een betaalde opdracht rechtvaardigen. Er kan echte expertise achter zitten, maar de scope is te smal om iets te zeggen over uw totale blootstelling.
Crowdsourced of open programma
Een publieke of besloten bug-bountypilot waarbij onafhankelijke onderzoekers uw systemen testen en per geldige bevinding worden betaald. Effectief voor dekking over langere tijd, maar zonder vaste scope, zonder één verantwoordelijke tester en zonder gestructureerd rapport dat uw auditor kan archiveren.
Afgebakende kosteloze opdracht
Een volledige handmatige penetratietest op een gedefinieerd systeem, onder ondertekende rules of engagement, opgeleverd met het standaardrapport van de aanbieder. Zeldzaam, meestal beperkt in aantal en gekoppeld aan een concrete aanleiding, zoals een markttoetreding of een vergelijking van methodiek.
Waarschuwingssignalen: zo beoordeelt u een gratis pentest
Voordat u iemand uw systemen laat testen, onder welke commerciële voorwaarden ook, toetst u het aanbod aan deze punten. Eén signaal is reden om door te vragen; meerdere signalen samen betekenen dat u naar een scan of een leadgeneratieactie kijkt.
- Geen schriftelijke rules of engagement en geen autorisatiebrief. Testen zonder vastgelegde toestemming kan beide partijen in de VS blootstellen aan de Computer Fraud and Abuse Act (18 U.S.C. § 1030) en schendt de voorwaarden van de meeste cloud- en hostingproviders.
- Geen tester bij naam en geen vermelde certificeringen. U hoort te weten wie uw systemen test en of die persoon certificeringen als OSCP, OSWE of CREST heeft.
- Geen afgebakende scope. 'We testen alles' in een of twee dagen betekent dat een scanner het werk doet.
- Het voorbeeldrapport is een scannerexport: generieke beschrijvingen, geen proof-of-concept, geen aanvalsverhaal en ernstniveaus die uit een plug-in zijn overgenomen in plaats van met CVSS voor uw situatie berekend.
- Bevindingen worden achtergehouden of onleesbaar gemaakt totdat u een betaald contract tekent.
- Geen hertest. Een test die uw herstelwerk nooit controleert, kan niet zeggen of het risico weg is.
- Onduidelijke omgang met gegevens: niets over waar bewijsmateriaal wordt opgeslagen, wie erbij kan, hoe lang het wordt bewaard en hoe het wordt vernietigd.
- Verzoeken om productiewachtwoorden of VPN-toegang voordat er een contract, geheimhoudingsverklaring of rules of engagement liggen.
De HackersHub VS-pilot: 20 kosteloze penetratietesten
HackersHub is in 2015 in Nederland opgericht en heeft meer dan 2.500 securityopdrachten afgerond. Wij bedienen nu al Amerikaanse klanten vanuit onze Nederlandse organisatie, samen met Amerikaanse uitvoeringspartners, en wij plannen een volledige toetreding tot de Amerikaanse markt in het eerste kwartaal van 2027. In aanloop daarnaar bieden wij 20 kosteloze penetratietesten aan Amerikaanse bedrijven die in aanmerking komen, afhankelijk van geschiktheid, overeengekomen scope en beschikbaarheid.
Deze pilot is uitsluitend bedoeld voor bedrijven met een hoofdkantoor of activiteiten in de Verenigde Staten. Heeft uw Nederlandse organisatie een Amerikaanse vestiging of Amerikaanse activiteiten, dan kan die vestiging zich aanmelden voor een systeem dat de Amerikaanse bedrijfsvoering ondersteunt. Voor systemen in Nederland of elders in Europa scopen wij een reguliere opdracht.
De reden is eenvoudig. Amerikaanse inkopers beoordelen een pentestpartij op de kwaliteit van het werk, en dat werk laat u het best zien op een echt systeem onder echte rules of engagement. De pilot is geen scan, geen lokkertje en geen uitgeklede versie van onze dienstverlening. Het is een afgebakende handmatige opdracht, uitgevoerd door dezelfde testers, met dezelfde methodiek en dezelfde oplevering als elke betaalde penetratietest van HackersHub. Onze eerste focus in de VS ligt op SaaS, fintech, healthtech en ondernemingen met een complexe digitale infrastructuur; bedrijven buiten die sectoren kunnen zich ook aanmelden.
Wie in aanmerking komt
Geschiktheid wordt per aanmelding beoordeeld. Elk van de 20 plekken is afhankelijk van een overeengekomen scope en van de beschikbaarheid van testers.
1. Hoofdkantoor of activiteiten in de VS
Uw bedrijf heeft zijn hoofdkantoor in de Verenigde Staten of voert daar wezenlijke activiteiten uit, en het te testen systeem ondersteunt die bedrijfsvoering.
2. Eén afgebakend systeem in scope
Eén duidelijk begrensd doelwit: één webapplicatie, één API of uw externe netwerkperimeter. Een afgebakende scope maakt een handmatige test zinvol; wij leggen die samen met u schriftelijk vast voordat er wordt getest.
3. Een technisch contactpersoon bij naam
Iemand aan uw kant die scopingvragen beantwoordt, testaccounts aanmaakt, waar nodig IP-adressen whitelist en kritieke bevindingen tijdens de opdracht direct in ontvangst neemt.
4. Rules of engagement en een autorisatiebrief
U gaat akkoord met onze rules of engagement (testvensters, systemen buiten scope, escalatiecontacten, omgang met gegevens) en ondertekent een autorisatiebrief waarin u bevestigt dat u bevoegd bent toestemming te geven voor het testen van het systeem. Draait het systeem bij een hosting- of cloudprovider, dan bevestigt u dat het testbeleid van die provider dit toestaat.
De vergelijkende benchmark
Veel Amerikaanse bedrijven die zich aanmelden, werken al met een pentestpartij en willen weten hoe dat werk standhoudt. Voor hen bevat de pilot een vergelijkende benchmark. Wij testen hetzelfde systeem, met een vergelijkbare scope, dat uw huidige partij het laatst heeft getest, en u legt de twee rapporten naast elkaar.
Het oordeel is aan u, en wij raden aan het op inhoud te vellen: welke bevindingen elk rapport bevat, of elke bevinding reproduceerbaar bewijs heeft, of de ernst voor uw omgeving is berekend, of het aanvalsverhaal uitlegt hoe een aanvaller van de eerste zwakte naar de gegevens komt die ertoe doen, en of het herstelladvies concreet genoeg is voor uw engineers. Komen de rapporten overeen, dan hebt u een onafhankelijke bevestiging van het werk van uw huidige partij, en dat is op zichzelf een nuttige uitkomst.
Standaardpilot en vergelijkende benchmark naast elkaar
Beide varianten van de pilot zijn volledige handmatige opdrachten. Het verschil zit in hoe de scope wordt bepaald en wat u met de uitkomst doet.
| Aspect | Standaardpilot | Vergelijkende benchmark |
|---|---|---|
| Bedoeld voor | Bedrijven zonder vaste pentestpartij, of voor een nieuw systeem | Bedrijven die al met een pentestpartij werken |
| Scope | Eén webapplicatie, API of externe perimeter, schriftelijk vastgelegd | Het systeem dat uw huidige partij het laatst heeft getest, met een vergelijkbare scope |
| Wat u aanlevert | Gegevens van het systeem, testaccounts, testvenster | Hetzelfde, plus de eerder geteste versie en wat er sindsdien is veranderd |
| Testers | OSCP-gecertificeerde testers, bij naam in het rapport | OSCP-gecertificeerde testers, bij naam in het rapport |
| Rapport | Managementsamenvatting, CVSS-gescoorde bevindingen met bewijs, aanvalsverhaal, geprioriteerd herstel | Hetzelfde rapport, klaar om naast dat van uw huidige partij te leggen |
| Hertest | Verificatiehertest van bevindingen vanaf medium binnen 90 dagen | Verificatiehertest van bevindingen vanaf medium binnen 90 dagen |
Wat u ontvangt
Een pilotopdracht levert precies op wat een betaalde penetratietest van HackersHub oplevert. Er wordt niets achtergehouden voor een latere upgrade.
- Een scopingsessie en een schriftelijke scopeverklaring met het systeem, het testtype, het testvenster en de uitsluitingen
- Handmatig testen door OSCP-gecertificeerde testers, met OSWE- en CREST-gecertificeerde specialisten in het team, volgens PTES, de OWASP Web Security Testing Guide en NIST SP 800-115
- Directe melding van elke kritieke bevinding tijdens de opdracht, via uw technisch contactpersoon
- Een managementsamenvatting voor directie en bestuur, in heldere zakelijke taal
- CVSS-gescoorde bevindingen, elk met reproductiestappen en bewijs zoals verzoeken, antwoorden en schermafbeeldingen
- Een aanvalsverhaal dat beschrijft hoe bevindingen samen realistische aanvalspaden vormen
- Geprioriteerd herstelladvies waar uw engineeringteam direct mee aan de slag kan
- Een verificatiehertest van bevindingen vanaf medium binnen 90 dagen, met een bijgewerkt rapport dat laat zien wat is opgelost
Aanmelden, en wat er daarna gebeurt
U meldt zich aan via onze contactpagina en vermeldt drie dingen: waar uw bedrijf in de VS gevestigd of actief is, welk systeem u getest wilt hebben en of u de vergelijkende benchmark wilt. Wij sturen een korte scopingvragenlijst en, als de aanmelding past, volgt een scopinggesprek met een van onze lead testers.
Na de scoping ontvangt u de rules of engagement en de autorisatiebrief ter ondertekening. Het testen begint in een afgesproken venster zodra beide zijn getekend en de toegang is geregeld. Omdat de opdracht op afstand vanuit Nederland wordt uitgevoerd, stemmen wij testvensters af op uw Amerikaanse tijdzone en uw wijzigingskalender, en regelen wij eventuele whitelisting van IP-adressen vooraf.
Komt uw aanmelding niet in aanmerking, of zijn de 20 plekken vergeven, dan zeggen wij dat eerlijk. U kunt dan alsnog een reguliere opdracht laten scopen via onze pagina over penetratietesten, en onze artikelen over het kiezen van een pentestbedrijf en over het lezen van een pentestrapport helpen u elk aanbod te beoordelen.
Veelgestelde vragen
Verder lezen
Meld u aan voor een van de 20 kosteloze penetratietesten in de VS
Vertel ons waar u in de VS actief bent en welk systeem u getest wilt hebben. Wij bevestigen de geschiktheid, scopen de opdracht met een lead tester en leggen de rules of engagement vast voordat er wordt getest. Plekken zijn afhankelijk van geschiktheid, overeengekomen scope en beschikbaarheid.