Wat is een API Pentest?

Een API pentest kijkt of aanvallers via je API's bij gegevens of functies kunnen die niet voor hen bedoeld zijn.

We testen REST-, GraphQL- en oudere API's op fouten in inloggen, rechten en bedrijfslogica. Een ethische hacker valideert elke bevinding.

Offerte aanvragen Neem contact op

Voorbeeld van een bevinding uit een pentestrapportSEC-012

Hoog risico

Met één extra veld in een API-aanvraag maakt een gewone gebruiker zichzelf beheerder

Impact: Die gebruiker kan daarna alle accounts en gegevens in de applicatie beheren.
Eerst doen: Laat de API alleen velden aanpassen die een gebruiker zelf mag wijzigen.

Gevalideerd door een ethische hackerHertest inbegrepen

Wat valt er binnen de API pentest scope?

Authenticatie en sessiebeheer

Broken Object Level Authorization (BOLA/IDOR)

Broken Function Level Authorization

Mass assignment en parametermanipulatie

Injectiefouten (SQL, NoSQL, commandinjectie)

GraphQL introspection en batching misbruik

Rate limiting en resource exhaustion

Gevoelige gegevensonthulling en foutafhandeling

CRA voor software en digitale producten: wat laat je technisch testen?

De Cyber Resilience Act (CRA) is Europese regelgeving voor producten met digitale elementen, zoals software, apps en slimme apparaten. Sinds 11 september 2026 moeten fabrikanten actief uitgebuite kwetsbaarheden en ernstige incidenten melden via het ENISA-platform. De overige verplichtingen gelden vanaf 11 december 2027.

Een pentest toont of een kwetsbaarheid echt misbruikt kan worden en welke impact dat heeft. Zo beoordeel je sneller wat je moet melden en herstellen.

Hoe testen we je APIs?

Authenticatietesting

We testen loginstromen, tokenverwerking, sessiebeheer en OAuth-implementatie op fouten die accountovername, tokenvervalsing of ongeautoriseerde toegang mogelijk maken.

Autorisatie en toegangscontrole

We testen systematisch of gebruikers toegang kunnen krijgen tot resources, functies of data die niet voor hen bedoeld zijn. BOLA, BFLA en privilege escalation via parametermanipulatie worden gevalideerd over alle geidentificeerde endpoints.

Bedrijfslogica en injectie

We gaan verder dan de OWASP-lijst en testen op bedrijfslogicafouten specifiek voor jouw API. Dit omvat injectie in alle invoervelden, GraphQL-specifieke aanvalsvectoren en gecombineerde kwetsbaarheden die geautomatiseerde scanners missen.

Veelgestelde vragen

We testen REST-APIs, GraphQL-APIs en legacy SOAP- of XML-interfaces. We dekken ook mobiele app backends, interne microservice-APIs en integraties met derde partijen waar de scope dat toelaat.

Ja, we gebruiken de OWASP API Security Top 10 als basis maar gaan verder. Echte aanvallers stoppen niet bij een checklist. We testen bedrijfslogica, gecombineerde kwetsbaarheden en omgevingsspecifieke zwaktes die geautomatiseerde tools en checklistbenaderingen missen.

Doorgaans twee tot vijf dagen, afhankelijk van het aantal endpoints, de complexiteit van authenticatie en de scope. Na het bekijken van je API-documentatie of een voorbeeldcollectie geven we een tijdsinschatting.

Een managementsamenvatting, een technisch rapport met bewijs per bevinding, prioriteitsscores op basis van CVSS en duidelijke remediatiestappen. Na het oplossen van de bevindingen testen we opnieuw. De hertest is inbegrepen.

Hoe werkt een API pentest?

Scope en endpoint-mapping

We bekijken je API-documentatie of OpenAPI-spec en brengen alle toegankelijke endpoints in kaart, ook ongedocumenteerde of legacy routes.

Authenticatie- en autorisatietesting

We testen alle authenticatiestromen en controleren systematisch toegangscontrole over rollen, gebruikers en data-objecten.

Actieve exploitatie en chaining

We proberen bevindingen te combineren en exploiteerbaarheid te valideren onder realistische aanvalscondities.

Rapporteren en verbeteren

Technisch rapport met bewijs, prioriteitsscores en duidelijke oplossingen. De hertest na remediatie is inbegrepen.

Verder lezen

API Security Testing Cloudveiligheidsbeoordeling Web Applicatie Penetratietesten CRA voor software en digitale producten

Test je APIs voordat een aanvaller dat doet

Identificeer authenticatiefouten, autorisatieomzeilingen en injectiekwetsbaarheden in je REST- of GraphQL-API-oppervlak.