API Pentest

Wat is een API Pentest?

API's behoren tot de meest aangevallen oppervlakken. Gebroken authenticatie, ontbrekende autorisatiecontroles en fouten in bedrijfslogica worden bij code review routinematig gemist.

We testen REST-, GraphQL- en legacy API's op de OWASP API Security Top 10 en verder. Elke bevinding wordt gevalideerd door een ethische hacker.

Offerte Aanvragen Neem Contact Op

Wat valt er binnen de API pentest scope?

Authenticatie en sessiebeheer

Broken Object Level Authorization (BOLA/IDOR)

Broken Function Level Authorization

Mass assignment en parametermanipulatie

Injectiefouten (SQL, NoSQL, commandinjectie)

GraphQL introspection en batching misbruik

Rate limiting en resource exhaustion

Gevoelige gegevensonthulling en foutafhandeling

CRA voor software en digitale producten: wat laat je technisch testen?

De Cyber Resilience Act (CRA) is Europese regelgeving voor producten met digitale elementen, zoals software, apps en slimme apparaten. Sinds 11 september 2026 moeten fabrikanten actief uitgebuite kwetsbaarheden en ernstige incidenten melden via het ENISA-platform. De overige verplichtingen gelden vanaf 11 december 2027.

Een pentest toont of een kwetsbaarheid echt misbruikt kan worden en welke impact dat heeft. Zo beoordeel je sneller wat je moet melden en herstellen.

Hoe testen we je APIs?

Authenticatietesting

We testen loginstromen, tokenverwerking, sessiebeheer en OAuth-implementatie op fouten die accountovername, tokenvervalsing of ongeautoriseerde toegang mogelijk maken.

Autorisatie en toegangscontrole

We testen systematisch of gebruikers toegang kunnen krijgen tot resources, functies of data die niet voor hen bedoeld zijn. BOLA, BFLA en privilege escalation via parametermanipulatie worden gevalideerd over alle geidentificeerde endpoints.

Bedrijfslogica en injectie

We gaan verder dan de OWASP-lijst en testen op bedrijfslogicafouten specifiek voor jouw API. Dit omvat injectie in alle invoervelden, GraphQL-specifieke aanvalsvectoren en gecombineerde kwetsbaarheden die geautomatiseerde scanners missen.

Veelgestelde vragen

We testen REST-APIs, GraphQL-APIs en legacy SOAP- of XML-interfaces. We dekken ook mobiele app backends, interne microservice-APIs en integraties met derde partijen waar de scope dat toelaat.

Ja, we gebruiken de OWASP API Security Top 10 als basis maar gaan verder. Echte aanvallers stoppen niet bij een checklist. We testen bedrijfslogica, gecombineerde kwetsbaarheden en omgevingsspecifieke zwaktes die geautomatiseerde tools en checklistbenaderingen missen.

Doorgaans twee tot vijf dagen, afhankelijk van het aantal endpoints, de complexiteit van authenticatie en de scope. Na het bekijken van je API-documentatie of een voorbeeldcollectie geven we een tijdsinschatting.

Een managementsamenvatting, een technisch rapport met bewijs per bevinding, prioriteitsscores op basis van CVSS en duidelijke remediatiestappen. Hertesten is beschikbaar na het oplossen van de bevindingen.

Hoe werkt een API pentest?

Scope en endpoint-mapping

We bekijken je API-documentatie of OpenAPI-spec en brengen alle toegankelijke endpoints in kaart, ook ongedocumenteerde of legacy routes.

Authenticatie- en autorisatietesting

We testen alle authenticatiestromen en controleren systematisch toegangscontrole over rollen, gebruikers en data-objecten.

Actieve exploitatie en chaining

We proberen bevindingen te combineren en exploiteerbaarheid te valideren onder realistische aanvalscondities.

Rapporteren en verbeteren

Technisch rapport met bewijs, prioriteitsscores en duidelijke oplossingen. Hertesten beschikbaar na remediatie.

Verder lezen

API Security Testing Cloudveiligheidsbeoordeling Web Applicatie Penetratietesten CRA voor software en digitale producten

Test je APIs voordat een aanvaller dat doet

Identificeer authenticatiefouten, autorisatieomzeilingen en injectiekwetsbaarheden in je REST- of GraphQL-API-oppervlak.