API Pentest

Wat is een API pentest?

Een API pentest is een gericht beveiligingsonderzoek van uw API's. Wij onderzoeken uw REST-, GraphQL- en SOAP-endpoints zoals een echte aanvaller dat doet en tonen aan wat er werkelijk mis kan gaan: kan een gebruiker data van een ander account opvragen, autorisatie omzeilen of via de API uw backend compromitteren?

API's zijn vandaag de dag het hart van vrijwel elke applicatie: mobiele apps, single-page applicaties, microservices en B2B-integraties draaien allemaal op API's. Daarmee verschuift het aanvalsoppervlak. De kwetsbaarheden die wij het vaakst rapporteren, BOLA/IDOR in object-referenties, broken authentication, mass assignment en business-logica fouten, zitten juist in de API-laag en worden door geautomatiseerde scanners structureel gemist.

Wij testen op de OWASP API Security Top 10 en gaan verder. Zolder is een CCV Keurmerk Pentesten gecertificeerd pentestbedrijf, dus u krijgt een onafhankelijk, kwalitatief rapport dat ook voor NIS2 of ISO 27001 bruikbaar is.

Wat testen wij in uw API?

• BOLA / IDOR - kan gebruiker A via een object-ID bij de data van gebruiker B? De meest voorkomende en impactvolle API-kwetsbaarheid.
• Broken authentication & JWT-misbruik - zwakke token-validatie, key confusion, oneindig geldige tokens.
• Broken function level authorization - kan een gewone gebruiker admin-endpoints aanroepen?
• Mass assignment - extra velden meesturen om rechten of prijzen te manipuleren.
• Excessive data exposure - geeft de API meer data terug dan de frontend toont?
• Resource consumption / rate limiting - DoS via ontbrekende limieten of excessief gebruik.
• Injection & SSRF - SQL/NoSQL-injectie, command injection en server-side request forgery via API-parameters.

Waarom een API pentest laten uitvoeren?

Uw API is direct bereikbaar via het internet en verwerkt vaak uw meest gevoelige data:

• Datalekken voorkomen: één BOLA-kwetsbaarheid kan toegang geven tot de volledige klantendatabase.
• Mobiele en SPA-backends: de echte beveiliging zit niet in de app, maar in de API erachter.
• B2B-koppelingen: partners en klanten eisen steeds vaker een pentestrapport voordat zij met uw API koppelen.

Onze aanpak

Onze API pentests combineren methodisch handwerk met gerichte automatisering:

1. Scoping - u spreekt direct met de pentester. Wij nemen uw OpenAPI/Swagger-spec, Postman-collectie of GraphQL-schema door en bepalen welke endpoints, rollen en objecten in scope zijn.
2. Mapping & discovery - alle endpoints, methods, parameters en object-ID's in kaart, inclusief ongedocumenteerde en verborgen endpoints.
3. Authenticatie & autorisatie - het zwaartepunt. BOLA/IDOR tussen accounts en rollen, JWT-analyse, function-level authorization, sessie- en token-handling. Bij voorkeur voeren wij een authenticated API pentest uit: met geldige accounts op verschillende rechtenniveaus vinden wij autorisatiefouten zoals BOLA die bij een unauthenticated test verborgen blijven.
4. Input & data handling - injection (SQL, NoSQL, command), mass assignment, excessive data exposure, SSRF en parameter pollution.
5. Business logic - kan een gebruiker stappen overslaan, prijzen manipuleren of eenmalige acties herhalen? Dit testen wij handmatig.
6. Rapportage - managementsamenvatting en technische write-ups met reproduceerstappen per endpoint. Wij hanteren normaliter een kwalitatieve risicoanalyse (severity); CVSS-scores leveren wij op aanvraag. Kritieke bevindingen bellen wij direct door.
7. Hertest - na uw fixes verifiëren wij of de kwetsbaarheden daadwerkelijk zijn verholpen.

Wat kost een API pentest?

Ons uurtarief is €175 per uur (excl. BTW). De totale investering hangt af van het aantal endpoints en de complexiteit van de autorisatiestructuur. Na een gratis scopingsgesprek ontvangt u een vaste offerte.