Webapplicatie Pentest

Een webapplicatie pentest is een handmatig beveiligingsonderzoek van een webapplicatie en de API's erachter, uitgevoerd vanuit het perspectief van een aanvaller. Onze testers loggen in met de rollen die u ons geeft, brengen elke functie en elk endpoint in kaart en proberen vervolgens authenticatie, autorisatie, invoerverwerking, sessiebeheer en bedrijfslogica te breken. Het verschil met een scanner: wij vinden de fouten die alleen een mens ziet, zoals een gebruiker die via een aangepast ID de factuur van een andere klant opent, of een bestelproces dat met een negatieve hoeveelheid korting geeft.

De OWASP Web Security Testing Guide (WSTG) en de OWASP Application Security Verification Standard (ASVS) voor de dekking, de OWASP Top 10 als minimale lat, en de Penetration Testing Execution Standard (PTES) en NIST SP 800-115 voor het proces. Het rapport benoemt de methodiek, zodat uw auditor of klant de vraag naar een erkende aanpak niet hoeft te stellen.

Voor de meeste webapplicaties adviseren wij grey box: u levert testaccounts per rol en documentatie, wij testen alsof wij een geregistreerde gebruiker of klant zijn. Dat geeft de meeste bevindingen per testdag, omdat de tijd naar het testen gaat en niet naar het raden van URL's. Black box simuleert een anonieme aanvaller en is nuttig als aanvulling; white box (broncodetoegang) voegen wij toe voor kritieke applicaties of wanneer een kader zoals PCI DSS om broncodereview vraagt.

Ja. Moderne webapplicaties zijn een frontend plus een of meer API's (REST, GraphQL, gRPC), en de meeste kritieke fouten zitten in de API-laag: ontbrekende autorisatie per object, massa-toewijzing, rate limiting, onveilige tokenafhandeling. Wij testen de API rechtstreeks, los van de frontend, en nemen integraties met derden en webhooks mee als die in scope zijn.

Een applicatie van gemiddelde omvang met twee tot drie rollen vraagt doorgaans drie tot acht testdagen, met het rapport binnen een week na de laatste testdag. Grotere platforms met veel rollen, workflows en API's vragen meer. Tijdens de scoping stellen wij het aantal dagen vast en leggen wij het schriftelijk vast, inclusief de hertest.

Beide kan. Een representatieve acceptatieomgeving is ideaal voor testen die data kunnen wijzigen; productie geeft het eerlijkste beeld van configuratie, WAF en monitoring. Veel klanten kiezen voor acceptatie met een korte verificatie op productie. Wij spreken vooraf af welke tests waar draaien, welke uitgesloten zijn en hoe wij kritieke bevindingen dezelfde dag escaleren.

Elke test wordt op scope geoffreerd; er is geen vaste prijslijst. De factoren zijn het aantal applicaties en rollen, de omvang van de API, de gewenste diepte (grey of white box), de rapportage-eisen en of een hertest is inbegrepen. Na een scopinggesprek van 20 tot 30 minuten ontvangt u binnen enkele werkdagen een schriftelijk voorstel met het aantal dagen en de lead tester bij naam. Onze kostengids legt de rekensom uit.