Een security audit voor je webapp of website

Veel lekken in webapps zitten op dezelfde plekken. De OWASP Top 10:2025, de bekendste lijst van risico's voor webapplicaties, zet Broken Access Control bovenaan: een gebruiker ziet of wijzigt gegevens waar hij niet aan mag komen. Daarna volgen verkeerde instellingen, problemen met bibliotheken en pakketten van derden, zwakke versleuteling en injectie.

We lopen die risico's na voor jouw webapp. Hoe gebruikers inloggen en wat ze daarna mogen zien. Welke instellingen open staan. Welke bibliotheken verouderd zijn of bekende lekken hebben. En hoe de app gegevens uitwisselt met andere systemen, bijvoorbeeld via een API. Wat precies binnen de audit valt, leggen we vooraf samen vast.

Wie een AI-model zijn code laat controleren, stuurt die code vaak naar een AI-dienst in de cloud. Voor een webapp met klantgegevens, betaalgegevens of bedrijfsgeheimen is dat een risico op zich. Je weet niet altijd waar de code terechtkomt en wie erbij kan.

Daarom draait onze analyse met een AI-model op onze eigen hardware. Je code en je gegevens verlaten ons kantoor niet en gaan niet naar een externe AI-dienst. Zo hoef je niet te kiezen tussen een grondige controle en de vertrouwelijkheid van je software. Toegang die we voor de audit krijgen, spreken we vooraf af. Na de audit kun je die weer intrekken.

Een AI-model vindt veel, maar begrijpt de context van jouw webapp niet. Een open beheerpagina is kritiek op een live webshop en onschuldig op een testserver zonder echte gegevens. Tien meldingen van gemiddelde ernst zijn minder dringend dan één lek waarmee een klant de facturen van een andere klant ziet.

Daarom controleert een expert elke melding: klopt ze, is ze in jouw webapp echt te misbruiken en hoe ernstig is ze. Meldingen die niet kloppen, vallen weg. Wat overblijft, krijgt een plaats in de volgorde van wat eerst moet. Zo krijg je een lijst die je kunt afwerken, geen lijst die je eerst zelf moet uitzoeken.

Een security audit is geen hack, en dat verschil zit in de toestemming. In Nederland is binnendringen in een systeem zonder toestemming computervredebreuk. Ook in België is het strafbaar. Het Belgische wettelijk kader voor ethische hackers beschermt alleen wie zich strikt aan de voorwaarden houdt.

We werken daarom alleen voor de eigenaar van de webapp, of voor wie schriftelijk namens die eigenaar mag beslissen. Bouwde een bureau je webapp en draait ze bij een andere partij, dan regelen we vooraf wie toestemming geeft voor welk deel. Een audit op een app waarvan je niet de eigenaar bent, doen we niet.

Een audit is geen jaarlijkse formaliteit. Er zijn momenten waarop hij echt telt:

• vóór de lancering van een nieuwe webapp, zeker met een login, betalingen of persoonsgegevens;
• na een grote wijziging, zoals een nieuwe koppeling, een klantenzone of een andere manier van inloggen;
• als je webapp snel gebouwd is met AI-tools: de app werkt, maar of de toegangsregels kloppen, zie je niet aan de buitenkant;
• als je app draait op oudere software of plugins die niet meer worden bijgewerkt;
• na een groot lek in software die je gebruikt, zoals het PHP-lek van oktober 2026.

Twijfel je of jouw webapp in aanmerking komt? Vertel ons welke app het is, dan bekijken we het samen.

Het rapport is het begin, niet het einde. Per bevinding staat wat er mis is, waar het zit en hoe je het oplost. Je kunt de aanbevelingen zelf of door je eigen ontwikkelaar laten uitvoeren. Je kunt de oplossingen ook aan ons toevertrouwen via webdevelopment. Een snelle reparatie die een lek dicht en ondertussen de login breekt, helpt niemand. Daarom testen we een oplossing in de context van de hele webapp.

Een audit vervangt geen goed onderhoud. Bibliotheken krijgen nieuwe lekken, en elke wijziging aan je app kan een nieuw risico openen. Met websiteonderhoud blijven updates en controles op peil. Draait je app bij ons, dan horen back-ups en monitoring bij onze webhosting.