BEPAAL DE PRIJS VAN DE OPDRACHTKies de tests die je applicatie nodig heeft.

Een websitebeveiligingsaudit bij COLONFILM kost € 420 voor een beoordeling van kwetsbaarheden met verificatie, € 850 voor een handmatige pentest van een webapplicatie of € 1.710 voor een pentest van een webapp en API.

Kort samengevat

• BASIS omvat externe en geauthenticeerde scans van één webapp, waarbij elke bevinding handmatig wordt geverifieerd.
• STANDAARD voegt handmatige applicatietests toe voor maximaal twee gebruikersrollen.
• PREMIUM omvat een API met maximaal 40 endpoints en één hertest binnen 30 dagen.
• Houd naast de testkosten rekening met budget voor interne voorbereiding en uitvoering door ontwikkelaars.

Kosten van een websitebeveiligingsaudit in 2026: gepubliceerde pakketten

Een prijs met een duidelijk afgebakende scope is het beste uitgangspunt. De pentestdiensten voor webapps en API's van COLONFILM maken onderscheid tussen een beoordeling van kwetsbaarheden, handmatige applicatietests en tests van een applicatie inclusief API. Zo zie je wat je voor elk bedrag krijgt en kun je bepalen of het pakket antwoord geeft op de vraag van jouw organisatie.

Deze prijzen horen bij de genoemde pakketten van COLONFILM. Zie ze als concrete aankoopopties, niet als marktgemiddelde. Vergelijk je een andere offerte, leg dan de geteste systemen, toegang, handmatige werkzaamheden, bewijslast en opvolging naast elkaar. Een prijs wordt pas betekenisvol als beide voorstellen hetzelfde probleem en een vergelijkbare oplevering beschrijven.

Welke factoren bepalen de prijs van een websitebeveiligingsaudit?

De diepgang van de test is de eerste factor. Een beoordeling combineert scans met verificatie en prioritering. Bij een handmatige penetratietest wordt het gedrag van de applicatie onderzocht aan de hand van afgesproken scenario's. Beide kunnen bruikbare bevindingen opleveren, maar de werkzaamheden worden anders verdeeld. Kies de diepgang die past bij je beslissing, bijvoorbeeld het prioriteren van bekende kwetsbaarheden of het onderzoeken van toegangsrechten vóór een lancering voor klanten.

De opzet van de applicatie is de volgende factor. Een openbare site, een portaal met vertrouwelijke gegevens en een applicatie met verschillende accounttypen vragen elk om een andere afbakening. Neem de belangrijke werkprocessen mee, zoals collega's uitnodigen, transacties goedkeuren, gegevens exporteren of documenten uploaden. Dat zegt vaak meer dan het aantal schermen.

API-dekking voegt een extra laag toe. De voorkant kan eenvoudig lijken, terwijl daarachter veel handelingen plaatsvinden. Een inventarisatie van endpoints helpt bepalen welke interfaces binnen het project vallen. Spreek bij GraphQL af hoe de relevante bewerkingen worden geteld, zodat duidelijk is hoeveel werk de pakketlimiet omvat.

Wat krijg je met de beoordeling van kwetsbaarheden in BASIS?

BASIS kost € 420 en wordt binnen drie dagen opgeleverd. Het pakket omvat externe en geauthenticeerde scans van één webapplicatie, handmatige verificatie van elke bevinding en een rapport dat risico's beoordeelt en oplossingen toelicht. Met geschikte accounts kunnen naast het openbare gedeelte ook de afgesproken onderdelen achter de inlog worden beoordeeld.

Dit pakket kan passen bij een eigenaar die eerst inzicht wil in de prioriteit van zwakke plekken voordat het ontwikkelwerk wordt ingepland. Bij een denkbeeldig klein klantenportaal kan het eerste doel bijvoorbeeld zijn om vast te stellen welke gemelde problemen van toepassing zijn en wat als eerste moet worden aangepakt. Het resultaat is een bruikbare set geverifieerde bevindingen en aanbevelingen.

Maak vóór de start een lijst van de applicatieonderdelen en regel de toegang. Controleer bij oplevering of bij elke bevinding staat welk onderdeel is getroffen, hoe ernstig het probleem is en wat de volgende stap is. Vraag je ontwikkelaar om op basis daarvan de uitvoering in te schatten. Zo verbind je de kosten van de beoordeling aan de middelen die daarna nodig zijn.

Wanneer is de extra scope van de pentest in STANDAARD de meerprijs waard?

STANDAARD kost € 850 en wordt binnen vijf dagen opgeleverd. Het omvat handmatige tests aan de hand van controles uit OWASP Top 10 en OWASP ASVS, maximaal twee gebruikersrollen, bewijs met een praktijkdemonstratie, een managementsamenvatting en een technisch rapport. Kies dit pakket als je vooral wilt weten hoe de applicatie en haar beveiligingsmaatregelen zich bij handmatig onderzoek gedragen.

Een denkbeeldig dienstenplatform kan bijvoorbeeld rollen voor klanten en medewerkers hebben. De eigenaar wil weten of elke rol alleen toegang heeft tot de bedoelde informatie en handelingen. Door dat rechtenmodel uit te leggen, help je de beoordeling af te bakenen. De scope van de handmatige tests en de bewijslast worden dan doorslaggevende redenen om dit pakket te kiezen.

De OWASP Web Security Testing Guide is een naslagwerk voor gestructureerde tests van webbeveiliging. Vraag de leverancier bij het beoordelen van een offerte welke concrete controles en applicatieonderdelen aan bod komen. Zo vertaal je de methode naar een scope die je kunt begroten en beoordelen.

Wat PREMIUM toevoegt aan de pentest van webapp en API

PREMIUM kost € 1.710, wordt binnen acht dagen opgeleverd en bevat alles uit STANDAARD. Het voegt een REST- of GraphQL-API met maximaal 40 endpoints toe, tests van bedrijfslogica en toegangscontrole, advies aan ontwikkelaars voor het verhelpen van problemen, één hertest binnen 30 dagen en een brief die de scope, datums en resultaten van de test bevestigt.

Dit pakket past vooral goed als je applicatie en API samen één klantproces vormen. Denk aan een denkbeeldig bestelsysteem waarbij de browser een aanvraag toont, de API de status wijzigt en een medewerker de aanvraag goedkeurt. Door het proces in kaart te brengen, bepaal je welke interfaces en toegangsrechten binnen de opdracht vallen.

De hertest heeft ook gevolgen voor de projectplanning. Reserveer tijd voor je ontwikkelaars om correcties door te voeren vóór de inbegrepen controle. Houd een wijzigingenlijst bij die verwijst naar de oorspronkelijke bevindingen en leg vast waar de wijzigingen zijn doorgevoerd. Het attest vormt naast de uitgebreide technische documentatie een beknopte bevestiging van de opdracht.

Stem het totale projectbudget af op de verantwoordelijkheden

Houd de testkosten gescheiden van de voorbereiding en uitvoering. Intern moet iemand het systeem beschrijven, toegang regelen, vragen beantwoorden, het rapport ontvangen en de ontwikkelaars coördineren. Door voor deze taken verantwoordelijken aan te wijzen, houd je voortgang in het project. Ook als de gekochte scope vastligt, heeft je team tijd nodig om met de resultaten aan de slag te gaan.

De herstelwerkzaamheden hangen af van de bevindingen en je applicatie. Een configuratie aanpassen is ander werk dan een rechtenstructuur opnieuw ontwerpen. Vraag ontwikkelaars om de benodigde wijzigingen in te schatten nadat ze het bewijs hebben bekeken. Leg vast welk werk essentieel is vóór je volgende release en welke verbeteringen in de reguliere ontwikkelplanning kunnen worden opgenomen.

Een eenvoudig budget bestaat uit drie posten: het gekozen testpakket, de tijd voor interne coördinatie en de uitvoering door ontwikkelaars. Voeg alleen apart overeengekomen werkzaamheden aan infrastructuur of door derden toe als die relevant zijn. Zo blijven beslissingen concreet en behandel je onbekende toekomstige herstelwerkzaamheden niet alsof ze al in de gepubliceerde testprijs zijn inbegrepen.

Zo vergelijk je offertes voor beveiligingsaudits eerlijk

Stuur elke leverancier dezelfde applicatiebeschrijving en vraag om een schriftelijke afbakening. Vergelijk de dekking van openbare en afgeschermde onderdelen, rollen, API's, handmatige tests, rapportage en hertests. Kijk daarna naar de oplevering. Een beknopte prijslijst kan duidelijk zijn als deze punten worden behandeld; een uitgebreid voorstel moet dezelfde praktische details bevatten.

Gebruik een eenvoudig vergelijkingsoverzicht met één rij per vereiste en één kolom per leverancier. Geef aan of een onderdeel is inbegrepen, apart wordt geprijsd of nog verduidelijking vereist. Zo zie je snel waarom twee totaalbedragen verschillen. Ook begrijpt degene die het budget goedkeurt beter waarop je aanbeveling is gebaseerd.

Beoordeel het rapport als een werkdocument. Vraag om een overzicht met bevindingen voor het management, technisch bewijs, prioriteiten en aanwijzingen voor correcties. Heeft een klant om een specifiek document gevraagd, deel dat verzoek dan vóór je bestelt. Lees voor een bredere leveranciersselectie ook de bijbehorende gids voor het kiezen van een dienst voor websitebeveiligingsaudits.

Bereid de beoordeling voor en bewaak de opleverplanning

Zorg dat testaccounts, gegevens over de omgeving, een rollenmatrix en de API-inventarisatie vóór de start klaarstaan. Gebruik bij voorkeur een testomgeving en beschrijf eventuele verschillen met productie. Wijs een operationeel contactpersoon aan die vragen kan beantwoorden of werkzaamheden zo nodig kan stilleggen. Deze voorbereidingen beperken vermijdbare vertragingen en zorgen dat de opdracht zich op de afgesproken tests kan richten.

Stem de startdatum af op het moment waarop alles gereed is. De gepubliceerde oplevertijden van de pakketten zijn drie, vijf en acht dagen; in je bredere planning is ook ruimte nodig om informatie aan te leveren en met het rapport aan de slag te gaan. Is er een externe deadline, vertel de leverancier dan wat op die datum klaar moet zijn en wie het zal beoordelen.

Coördineer wijzigingen aan de onderzochte applicatie tijdens de werkzaamheden. Als een uitrol nodig is, leg dan de versie en de betrokken functies vast. Vergelijk bij de overdracht de scope van het rapport met de afgesproken inventarisatie en wijs voor elke belangrijke bevinding een verantwoordelijke aan. Plan bij PREMIUM de hertest binnen de termijn van 30 dagen in dezelfde agenda.

Maak het rapport bruikbaar voor je begroting

Vraag je ontwikkelteam om elke bevestigde bevinding in te delen naar het betrokken onderdeel en het soort correctie dat nodig is. Eén gedeelde afhankelijkheid kan meerdere bevindingen verklaren, terwijl een probleem met toegangsrechten meer dan één werkproces kan raken. Inzicht in die verbanden helpt het team om samenhangende taken in te schatten en voorkomt dat elke vermelding in het rapport als een afzonderlijke klus wordt behandeld.

Koppel de inschatting aan een concrete voorgestelde wijziging en een verantwoordelijke. Hangt een beslissing af van een andere leverancier, leg die afhankelijkheid dan vast en vraag om diens bijdrage. Zo krijgt degene die het herstel goedkeurt een bruikbaar beeld van het komende werk en wordt het eenvoudiger om de oplossingen te coördineren die voor de inbegrepen hertest van PREMIUM zijn geselecteerd.

Kies het pakket op basis van de vraag die je wilt beantwoorden

Bekijk drie denkbeeldige aankopen. De eigenaar van een kleine applicatie wil geverifieerde kwetsbaarheden en een ontwikkellijst met prioriteiten: BASIS past bij die vraag. Een team wil een handmatig onderzoek van een applicatie met twee rollen: STANDAARD biedt de gevraagde diepgang. Een organisatie wil de applicatie en API samen laten beoordelen, met een hertest na correcties: PREMIUM past daarbij.

Deze voorbeelden helpen je kiezen en zijn geen gerapporteerde klantresultaten. Uit je briefing kunnen extra rollen, systemen of bewerkingen naar voren komen waarvoor een andere scope moet worden afgesproken. Geef die vóór aankoop aan. Een pakket kiezen wordt eenvoudiger als beide partijen dezelfde inventarisatie gebruiken en kunnen uitleggen welke vragen het eindrapport zal beantwoorden.

COLONFILM is de studio van David Colón en Flor in Zaragoza, Spanje, en gebruikt AI-agenten met menselijke controle. Bekijk de pentestpakketten en op te leveren onderdelen en houd je applicatiebeschrijving bij de hand. Zo kun je een duidelijk afgebakende opdracht begroten, de juiste toegang voorbereiden en je ontwikkelaars een helder doel voor de resultaten meegeven.

FAQ

Wat is de vanafprijs voor een websitebeveiligingsaudit?

BASIS kost € 420 en wordt binnen drie dagen opgeleverd. Het omvat externe en geauthenticeerde scans van één webapp, handmatige verificatie van elke bevinding en een rapport met risico-inschatting en oplossingen. Dit is het gepubliceerde instappakket voor een beoordeling van kwetsbaarheden met verificatie.

Wat kost een handmatige pentest van een webapplicatie?

STANDAARD kost € 850 en wordt binnen vijf dagen opgeleverd. Het omvat controles uit OWASP Top 10 en OWASP ASVS, maximaal twee gebruikersrollen, bewijs met een praktijkdemonstratie, een managementsamenvatting en een technisch rapport. Licht vóór je bestelt je rollen en applicatiefuncties toe.

Bij welke prijs zijn API-tests en een hertest inbegrepen?

PREMIUM kost € 1.710, wordt binnen acht dagen opgeleverd en omvat naast STANDAARD een REST- of GraphQL-API met maximaal 40 endpoints. Het voegt tests van bedrijfslogica en toegangscontrole toe, advies voor ontwikkelaars, één hertest binnen 30 dagen en het attest.

Moet ik een apart budget reserveren voor codewijzigingen?

Ja. Wijs de uitvoering toe aan je ontwikkelaars en laat hen die op basis van de bevindingen inschatten. Het pakket biedt de beschreven beoordeling en rapportage, met in PREMIUM advies voor ontwikkelaars over het verhelpen van problemen. Plan correcties op tijd om de inbegrepen hertest van PREMIUM binnen de termijn van 30 dagen te benutten.

Welke toestemming en zekerheid zijn bij de tests van toepassing?

De systeemeigenaar moet schriftelijke toestemming ondertekenen voor een afgesproken omgeving, bij voorkeur een testomgeving. Social engineering en denial-of-service-tests zijn uitgesloten. De beoordeling rapporteert resultaten voor die scope en periode; ze garandeert geen volledige beveiliging. Het attest van PREMIUM bevestigt de scope, datums en resultaten.