Naar de inhoud
HackIndex
Menu

Ontdek wat een aanvaller achter de login kan.

Een handmatige pentest van je webapplicatie en API. De nadruk ligt op rechten, rollen en bedrijfslogica, de fouten die een scanner mist. Elke bevinding komt met bewijs en een oplossing voor je developers.

Pentest aanvragen Wat kost het?
  • OSCP-gecertificeerd
  • Vaste prijs vooraf
  • Extra diepgang in Laravel en WordPress

Wanneer

Herken je dit?

  • Een klant vraagt om een pentestrapport.

    Je krijgt een rapport met bewijs en ernst per bevinding, dat je kunt delen met je klant.

  • Er gaat iets groots live.

    Een nieuwe module, betaalflow of API test je voordat echte gebruikers erbij kunnen.

  • De audit voor ISO 27001 of NEN 7510 komt eraan.

    Een recente pentest is vaak onderdeel van het bewijs voor de auditor.

  • Klanten mogen elkaars gegevens nooit zien.

    Bij een platform met meerdere klanten krijgt die scheiding extra aandacht.

Scope

Wat er getest wordt

Kies een onderdeel van je applicatie om te zien welke vragen de test beantwoordt.

Buiten

Toegang

Applicatie

Achterkant

Wat de test beantwoordt

De publieke kant

Wat ziet iemand zonder account?

  • Informatie die per ongeluk openbaar staat
  • Foutmeldingen die te veel vertellen
  • Formulieren die te misbruiken zijn

Wat de test beantwoordt

Inloggen

Komt iemand binnen zonder het wachtwoord te kennen?

  • Wachtwoorden raden of gestolen wachtwoorden gebruiken
  • Tweestapsverificatie en wachtwoord vergeten
  • Inloggen via Google, Microsoft of single sign-on

Wat de test beantwoordt

Sessies

Kan iemand een ingelogde sessie overnemen?

  • Sessies die te lang geldig blijven
  • Toegang die blijft na uitloggen of een nieuw wachtwoord

Wat de test beantwoordt

Rollen en rechten

Kan een gebruiker zien of doen wat niet de bedoeling is?

  • Gegevens van andere gebruikers of klanten inzien
  • Beheeracties uitvoeren met een gewone rol
  • De scheiding tussen klanten op hetzelfde platform

Wat de test beantwoordt

Bedrijfslogica

Kan de app tegen haar eigen regels in werken?

  • Prijzen, kortingen of aantallen aanpassen
  • Stappen overslaan, zoals betalen
  • Limieten omzeilen

Wat de test beantwoordt

Uploads en beheer

Wat kan er via uploads en het beheer?

  • Bestanden die meer doen dan een document of afbeelding
  • Hoe goed de beheeromgeving is afgeschermd

Wat de test beantwoordt

De API

Wat doet de API als je de app overslaat?

  • Rechten die in de app wel en in de API niet gecontroleerd worden
  • Meer gegevens terugsturen dan nodig
  • Bescherming tegen massaal opvragen

Wat de test beantwoordt

Koppelingen en data

Wat kan er via gekoppelde systemen?

  • Betalingen en koppelingen die je kunt nadoen
  • Bestanden, exports en back-ups die bereikbaar zijn

Uit een rapport

Zo ziet een bevinding eruit

Per bevinding wat er mis is, het bewijs, wat het betekent en hoe je het oplost.

Referentie
HI-OP-2026-M4TX-03
Ernst
Hoog
CVSS
4.0 7.1 AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
3.1 7.7 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
Waar
Factuuroverzicht
Wie kan dit
Elke ingelogde medewerker
Hertest
Opgelost

Medewerkers van klant A kunnen facturen van klant B openen

De app controleert of iemand is ingelogd, maar niet of de factuur bij zijn organisatie hoort.

Bewijs

  1. Inloggen als medewerker van klant A.
  2. Een eigen factuur openen.
  3. Het factuurnummer in de adresbalk met één verhogen.
  4. De factuur van klant B verschijnt, met naam, adres en bedrag.

Impact

Iedere ingelogde gebruiker kan de financiële gegevens van alle klanten van het platform inzien. Dat is een datalek.

Oplossing

app/Http/Controllers/InvoiceController.php

public function show(Invoice $invoice)
{
Toegevoegd: $this->authorize('view', $invoice);
return view('invoices.show', compact('invoice'));
}

Fictief voorbeeld. Echte bevindingen blijven vertrouwelijk.

Bekijk het voorbeeldrapport

Duidelijk vooraf

Wat er wel en niet in zit

WEL Onderdeel van de opdracht

  • Je webapplicatie, inclusief alles achter de login
  • De API die de applicatie gebruikt, vanaf Standaard
  • Elke afgesproken gebruikersrol
  • Een rapport en een nabespreking

NIET Valt erbuiten

  • Productie, er wordt alleen op een testomgeving of kopie getest
  • Infrastructuur, zoals servers, netwerk en hosting. Kan op aanvraag, met een eigen prijs
  • Belastingtests, en aanvallen die de omgeving onbereikbaar maken
  • Phishing, en andere tests op je medewerkers
  • Systemen van anderen, zonder hun toestemming

Prijs

Welk pakket past bij je app?

Beantwoord drie vragen en het pakket dat past, licht op. Na de intake krijg je een vaste prijs.

Basis

€ 1.950 vanaf, excl. btw

Testdagen
2 tot 3
Geschikt voor
Website of webshop met 1 gebruikersrol
Inbegrepen
Rapport en nabespreking

Standaard

€ 3.750 vanaf, excl. btw

Testdagen
5
Geschikt voor
Webapplicatie met meerdere rollen en een API
Inbegrepen
Rapport, nabespreking en 1 hertest

Uitgebreid

€ 5.500 vanaf, excl. btw

Testdagen
7 of meer
Geschikt voor
SaaS-platform, multi-tenant applicatie of grote API
Inbegrepen
Rapport, nabespreking en 1 hertest

Voorbereiding

Wat je aanlevert

Hoe beter dit klaarstaat, hoe meer tijd er naar het testen zelf gaat.

  • Nodig Een testaccount per rol Bijvoorbeeld klant, medewerker en beheerder.
  • Nodig Een vast aanspreekpunt Bereikbaar voor vragen en bij een kritieke bevinding.
  • Optioneel Een testomgeving Een kopie van je app, los van echte gebruikers. Geen testomgeving? HackIndex zet een kopie op, voor gangbare sites zonder meerprijs. Beveiliging die testverkeer blokkeert, staat uit voor HackIndex.

Combineren

Meer dekking in één opdracht

Deze dienst

Web- en API-pentest

vanaf € 1.950

Test van buitenaf wat een aanvaller kan.

Erbij

Security code review

vanaf € 1.520

Bij white box wordt ook in de code gekeken. Zo komen ook fouten boven die van buitenaf niet zichtbaar zijn.

Meer over Security code review

Veelgestelde vragen

Wat is het verschil met een scan?

Een scanner zoekt naar bekende fouten. Fouten in rechten en logica, zoals een medewerker die de facturen van een andere klant opent, vind je alleen handmatig.

Hebben we een testomgeving nodig?

Nee. Heb je er een, dan wordt daarop getest. Heb je er geen, dan zet HackIndex een kopie van je app op, los van echte gebruikers. Voor gangbare sites zoals WordPress, WooCommerce en Laravel zonder meerprijs. Bij een complexere opzet staat het als vaste post in het voorstel. Op productie wordt niet getest.

Is Basis genoeg voor mijn webshop of WordPress-site?

Meestal wel, als er één soort gebruiker is, zoals klanten die bestellen. Heb je ook medewerkers met eigen rechten of een API voor een app, dan past Standaard beter. Na de intake hoor je welk pakket past.

Zit de API erbij?

Vanaf het pakket Standaard wel. In Basis wordt alleen de webapplicatie getest.

Wat als er iets kritieks wordt gevonden?

Dan hoor je het meteen, niet pas in het rapport.

Laat je webapp testen.

Beschrijf kort wat er getest moet worden. Je ontvangt een voorstel met een vaste prijs.

Pentest aanvragen

Andere diensten