Europese alternatieven voor HackerOne
Op zoek naar een Europees alternatief voor HackerOne? HackerOne Inc. is een vennootschap uit Delaware, de klantvoorwaarden vallen onder het recht van Delaware met geschillen voor de rechtbanken van Delaware, en het privacybeleid zegt dat persoonsgegevens van mensen buiten de Verenigde Staten worden doorgegeven aan en verwerkt in de VS. Elk kwetsbaarheidsrapport dat je op het platform ontvangt, beschrijft een nog niet verholpen zwakke plek in je eigen systemen.
De Europese platforms hieronder voeren bug bounty-, kwetsbaarheidsmeldings- en pentestprogramma's uit via bedrijven die vanuit Frankrijk, België, Nederland en Zwitserland contracteren. Enkele van hen melden dat ze uitsluitend in de EU hosten en triage in eigen huis doen.
Hoe we deze tools rangschikken Proces in 4 stappen
-
1
Europees eigendom, geverifieerd
Het bedrijf heeft zijn hoofdkantoor en statutaire zetel in de EU, de EER, het Verenigd Koninkrijk, Zwitserland of Israël, en verwerkt klantgegevens in Europa of Israël. Een Amerikaans moederbedrijf sluit een tool van deze pagina uit, ongeacht waar de servers staan.
-
2
Categoriefit en praktijkreview
Wat de tool echt doet, voor wie hij geschikt is en waar hij tekortschiet, gecontroleerd aan de hand van de eigen documentatie, changelog en prijspagina van de leverancier in plaats van de marketingtekst.
-
3
Controle op compliance en prijzen
AVG-positie, hostinglocatie en de prijzen op deze pagina worden vóór publicatie geverifieerd aan de hand van de openbare prijzen van de leverancier, en opnieuw gecontroleerd wanneer we de categorie opnieuw bekijken.
-
4
Positie op deze pagina
Plaatsing op deze pagina kan betaald zijn, en dat kan van invloed zijn op welke tools hier verschijnen en in welke volgorde. Betaling koopt nooit een goede review: een tool die de bovenstaande controles niet doorstaat, staat hier voor geen prijs, en betaling verandert niets aan de tekortkomingen die we beschrijven. Een leverancier kan ons vragen een feitelijke fout te corrigeren, maar niet om een kritiekpunt te verwijderen.
Leveranciers kunnen betalen voor zichtbaarheid op deze pagina. Dat verandert nooit wat een vermelding over een product zegt, inclusief de kritiek, en wij verdienen niets wanneer je doorklikt naar een leverancier. Leveranciers kunnen betalen voor meer zichtbaarheid, hoger op de reviewpagina's; het heeft nooit invloed op welke tools worden opgenomen. Redactioneel beleid
11 Europese alternatieven voor HackerOne
YesWeHack
Parijs bug bounty- en blootstellingsplatform, gehost in een private cloud in de EU
Intigriti
Antwerps bug bounty-platform met beheerde VDP en PTaaS
Yogosha
Gecontroleerde onderzoekersgemeenschap voor pentests en privébounties
Detectify
Stockholmse scanner voor aanvalsoppervlak en applicaties, met payloads van ethische hackers
Pentest-Tools.com
Boekarestse pentesttoolkit met scanners, exploiters en rapportage
Zerocopter
Nederlandse hacker-gedreven bug bounty, pentesting, recon en CVD
SignalFisher
Luzerner continue beveiligingstests, voorheen Bug Bounty Switzerland
Ethiack
Coimbra agentische AI-pentesting met bevindingen die bewijs van exploitatie bevatten
Securitum
Krakause pentestbedrijf met een gepubliceerde prijspagina
Patchstack
Kwetsbaarheidsbounty voor WordPress, beheerde VDP en mitigatie
Vaadata
Lyonse bedrijf in offensieve beveiliging voor pentests en red teaming
Belangrijkste conclusies
- HackerOne Inc. is een vennootschap naar het recht van Delaware wier algemene voorwaarden (van kracht vanaf 11 mei 2026) het recht van Delaware en de rechtbanken van Delaware van toepassing verklaren.
- YesWeHack meldt uitsluitend hosting in de EU, in een SecNumCloud-gekwalificeerde private cloud, en triage in eigen huis. Het komt het dichtst in de buurt van het volledige HackerOne-bountymodel op deze pagina.
- Intigriti NV in Antwerpen verkoopt bounty, beheerde disclosure en pentest als dienst, met prijzen op aanvraag, net als HackerOne.
- Securitum is het enige bedrijf hier dat dagtarieven (EUR 640 tot 890) en vaste projectbedragen (EUR 3,500 tot 14,000) publiceert.
- Ethiack, Vaadata, Securitum en Pentest-Tools.com draaien geen onderzoekerscrowd. Ze vervangen dus de pentestkant van HackerOne, niet de bounty.
Waarom mensen HackerOne verlaten
HackerOne is het platform waar de meeste mensen aan denken als ze bug bounty zeggen. Een bedrijf schrijft een scope, stelt beloningen vast, en externe onderzoekers sturen rapporten in die echte zwakke plekken in de systemen beschrijven. De homepage somt nu een lange catalogus op onder één platform: continu testen, agentische pentest, bounty, bounty-uitdagingen met een vaste looptijd, validatie, herstel, codebeveiliging, AI red teaming en een altijd actief disclosureproduct.
De contracterende kant is Amerikaans. De algemene voorwaarden van 11 mei 2026 definiëren HackerOne als HackerOne Inc., een vennootschap naar het recht van Delaware, geven een adres in San Francisco, en bepalen dat het recht van Delaware van toepassing is en dat geschillen uitsluitend naar de staats- en federale rechtbanken van Delaware gaan. Hetzelfde document bevat een afstand van recht op collectieve acties. Een Europese koper die een bestelformulier tekent, accepteert dat hele kader als standaard.
Wat er binnen het platform gebeurt, is het deel dat kopers doet aarzelen. Een bounty-inbox is een lijst met niet-verholpen fouten, met proof of concept, getroffen hosts en soms inloggegevens. Het privacybeleid zegt dat persoonsgegevens van mensen buiten de Verenigde Staten worden doorgegeven aan en verwerkt in de VS. Teams die dat moeten uitleggen aan een toezichthouder of in een klantenvragenlijst, gaan vragen of een Europese leverancier hetzelfde werk kan doen.
- Delaware-recht en Delaware-rechtbanken als standaard De voorwaarden op hackerone.com kiezen het recht van de staat Delaware en sturen elk geschil naar de rechtbanken van Delaware, met bovenop een afstand van recht op collectieve acties. Voor een Franse, Nederlandse of Belgische koper betekent dat dat een geschil over een bounty-uitbetaling, een datalek of een factuur wordt uitgevochten in een ander rechtssysteem en in een andere taal. De Europese platforms op deze pagina contracteren onder het recht van een EU-land of Zwitserland.
- Kwetsbaarheidsrapporten verlaten Europa HackerOne meldt in zijn privacybeleid dat persoonsgegevens van mensen buiten de VS naar de VS worden verplaatst voor verwerking. Rapporten bevatten hostnamen, parameters, screenshots en identiteiten van onderzoekers. Omdat de moedermaatschappij een Amerikaanse vennootschap is, kan de CLOUD Act die gegevens bereiken waar ze ook zijn opgeslagen. Verschillende platforms hier melden uitsluitend hosting in de EU, of op z'n minst een contracterende entiteit in de EU. Dat haalt de overdrachtsstap uit je verwerkingsregister.
- Een zeer breed platform om in te stappen De productlijst op de homepage loopt van bounty tot codeaudits en AI red teaming. Dat is nuttig voor een groot programma, maar een middelgroot team let misschien op modules die het nooit opent. Verschillende Europese leveranciers verkopen een smaller pakket: één bounty, één meldkanaal of een test met vaste scope, met een vaste contactpersoon voor customer success. Dat past beter bij een eerste programma.
- Geen prijslijst om mee te vergelijken We vonden geen openbare prijslijst op hackerone.com. De prijspagina gaf een 404 bij controle op 23 oktober 2026. Kopers onderhandelen daarom blind, en een inkoopteam kan niets vergelijken vóór een verkoopgesprek. Het Europese veld is hierin gemengd, want de meeste leveranciers hier geven ook alleen een offerte op aanvraag. Securitum, Pentest-Tools.com en Detectify publiceren echter echte bedragen die je in een budgetmemo kunt zetten.
Wat je moet vervangen, niet alleen evenaren
Het eerste wat je moet vervangen is het programma zelf: scopedocumenten, beloningsschema, vrijwaringsformulering (safe harbour) en de lijst met uitgenodigde onderzoekers. Niets daarvan is als bestand overdraagbaar. Je schrijft de beleidstekst opnieuw voor het nieuwe platform, nodigt de onderzoekers die je vertrouwt opnieuw uit, en vertelt de anderen waar ze rapporten heen moeten sturen. Plan een periode waarin beide kanalen rapporten accepteren, en publiceer het nieuwe adres in je security.txt voordat je het oude sluit.
Het tweede is het triagewerk. Op HackerOne bepalen het platform en zijn diensten hoe duplicaten, ernst en reproductie worden behandeld. Bij YesWeHack en Intigriti zeggen de leveranciers dat triage door hun eigen medewerkers gebeurt. Bij Yogosha, SignalFisher en Zerocopter contracteert de leverancier de onderzoekers zelf. Vraag elke kandidaat wie een rapport reproduceert en wie de ernst bepaalt, want dat bepaalt hoeveel engineeringuren je eigen team kwijt is aan het lezen van inzendingen.
Het derde is alles wat aan de inbox vastzit: tickets in Jira of GitHub, SSO, uitbetaling van beloningen en het auditspoor dat je compliancemensen aan auditors laten zien. Pentests en geautomatiseerde scanners zijn aparte taken daarbovenop. Dekt HackerOne nu alles voor je, verwacht dan dat je het werk over twee leveranciers verdeelt, bijvoorbeeld een bounty-platform plus Pentest-Tools.com of Securitum, in plaats van één wisseling.
De alternatieven vergeleken
| Positie | Tool | Hoofdkantoor | Prijzen | Jurisdictie |
|---|---|---|---|---|
| #1 | YesWeHack | Parijs, Frankrijk | Prijs op aanvraag; de site van de leverancier publiceert geen prijslijst | EU (Frankrijk) |
| #2 | Intigriti | Antwerpen, België | Abonnementen genaamd Core, Premium en Enterprise; prijzen op aanvraag | EU (België) |
| #3 | Yogosha | Parijs, Frankrijk | Prijs op aanvraag; PtaaS wordt beschreven als vaste kosten, bounty als betaling per geldige kwetsbaarheid | EU (Frankrijk) |
| #4 | Detectify | Stockholm, Zweden | Starter gratis (tot 5 gebruikers, 100 assets) / Standard €2,500 / Professional €5,000 / Enterprise €15,000 per jaar | EU (Zweden) |
| #5 | Pentest-Tools.com | Boekarest, Roemenië | Vanaf $96/maand (NetScan), $140/maand (AppScan), $190/maand (Exploit), op basis van het aantal assets | EU (Roemenië) |
| #6 | Zerocopter | Groningen, Nederland | Prijzen op aanvraag | EU (Nederland) |
| #7 | SignalFisher | Luzern, Zwitserland | Prijzen op aanvraag | Zwitserland (adequaatheidsbesluit, buiten de EER) |
| #8 | Ethiack | Coimbra, Portugal | Prijzen op aanvraag | EU (Portugal) |
| #9 | Securitum | Krakau, Polen | Tijd en materiaal EUR 640 tot 890 per mandag; vaste projecten doorgaans EUR 3,500 tot 14,000 (prijspagina van de leverancier) | EU (Polen) |
| #10 | Patchstack | Pärnu, Estland | Developer 69 USD per maand, jaarlijks gefactureerd (828 USD per jaar), 3 gebruikersplaatsen; Enterprise en Web host op offerte | EU (Estland) |
| #11 | Vaadata | Lyon, Frankrijk | Offerte op aanvraag | EU (Frankrijk) |
Hoe elk alternatief zich verhoudt tot HackerOne
YesWeHack
Het dichtst bij een rechtstreekse vervanging van een beheerde HackerOne-bounty, met uitsluitend hosting in de EU
Het meest geschikt voor: Organisaties die door de leverancier bemande triage willen, een Frans contract en een via de EU gehost bounty- of disclosurekanaal
Ten opzichte van HackerOne biedt YesWeHack dezelfde kernlus: een scope en beloningsschema instellen, een privé- of openbaar programma draaien en betalen voor geldige rapporten. Het verschil zit in waar het draait en wie er tekent. De contracterende entiteit is Yes We Hack S.A.S. in Parijs, en de trustpagina vermeldt een SecNumCloud-gekwalificeerde private cloud met uitsluitend Europese providers, die binnen de EU verwerkt.
De leverancier zegt meer dan 160,000 ethische hackers te hebben en dat het eigen team elk binnenkomend rapport triageert. Voeg SAML single sign-on, afgedwongen tweefactorauthenticatie, een hunter-VPN met vast IP-adres en integraties met Jira, ServiceNow, GitHub, GitLab en Azure DevOps toe, en het platform dekt wat een beveiligingsteam meestal vraagt bij een overstap.
Wat YesWeHack beter doet dan HackerOne
- Hosting uitsluitend in de EU, binnen een SecNumCloud-gekwalificeerde cloud
- Contract met een Franse SAS (société par actions simplifiée) in plaats van een moedermaatschappij in Delaware
- Triage door medewerkers, volgens de leverancier
- ISO 27001- en ISO 27017-certificaten vermeld op de trustpagina
Waar YesWeHack een stap terug is ten opzichte van HackerOne
- Geen gepubliceerde prijzen, net als bij de ontbrekende prijslijst van HackerOne
- Kantoren in Singapore, dus de entiteit op het bestelformulier moet worden gecontroleerd
- Smallere productcatalogus dan op de homepage van HackerOne wordt getoond
Opvallend ten opzichte van HackerOne. Het is het enige platform op deze pagina dat een uitsluitend in de EU gehoste SecNumCloud-omgeving noemt voor rapportgegevens.
Het meest geschikt voor: Bedrijven die later een VDP of pentests bij een bounty verwachten en een Belgische leverancier verkiezen
Intigriti NV, Klokstraat 16 in Antwerpen, exploiteert het platform volgens de bedrijfsinformatiepagina. Vergeleken met HackerOne krijg je een Belgisch bedrijf en Belgisch recht als natuurlijk startpunt, plus een abonnementenladder met de namen Core, Premium en Enterprise. De leverancier meldt meer dan 150,000 onafhankelijke onderzoekers en zegt dat een intern team rapporten controleert voordat jij ze ziet.
De productlijn gaat verder dan de bounty: beheerde disclosure, pentest als dienst in de typen Focused, Comprehensive en Certified, live hacking-evenementen en programma's met een scope rond AI-functies. Een gepubliceerde blogpost legt uit dat opgeslagen gegevens op applicatieniveau worden versleuteld, wat deels de hostingvraag beantwoordt die de pagina's open laten.
Wat Intigriti beter doet dan HackerOne
- Belgische exploitatiemaatschappij en inschrijving in het handelsregister in plaats van een moeder in Delaware
- Niveaus voor pentest als dienst, inclusief een Certified-type voor gereguleerde kopers
- Versleuteling van opgeslagen gegevens op applicatieniveau, openbaar uitgelegd
Waar Intigriti een stap terug is ten opzichte van HackerOne
- Hostinglocatie niet vermeld op de gecontroleerde pagina's
- Pentestaanbod en CrowdRecon dragen een bètalabel op de productpagina's
- Personeel en kantoren ook in de VS en het VK
Opvallend ten opzichte van HackerOne. Het verkoopt bounty, disclosure en gecertificeerde pentests onder één Belgisch contract, met abonnementsnamen maar zonder prijzen.
Het meest geschikt voor: Teams die ID-gecontroleerde testers op privébounties en pentests met vaste kosten willen, in plaats van openbare blootstelling
Yogosha vervangt de open groep door een poort. Volgens de leverancier wordt slechts 10 procent van de aanmelders na een technische en schriftelijke test toegelaten tot de Strike Force, en worden leden op identiteit gecontroleerd en tekenen ze een geheimhoudingsverklaring (NDA). De site noemt 1,100 of meer onderzoekers voor pentests en 800 of meer in de privébountygemeenschap, veel minder dan de aantallen die de grotere platforms noemen.
Het commerciële model verschilt ook van HackerOne. Pentest als dienst wordt beschreven als vaste kosten voor een klein team op een gedefinieerd asset, terwijl bounty alleen geldige kwetsbaarheden betaalt. Speciale operaties omvatten red teaming, hardwarepentesten en social engineering, en de homepage promoot audits van LLM- en generatieve AI-systemen.
Wat Yogosha beter doet dan HackerOne
- Onderzoekers worden gescreend en op identiteit gecontroleerd voordat ze je scope zien
- Pentests met vaste kosten naast een bounty die per geldige bug betaalt
- Hardware- en red teamwerk aangeboden als speciale operaties
Waar Yogosha een stap terug is ten opzichte van HackerOne
- Veel minder onderzoekers dan een open publiek programma aantrekt
- Geen prijzen en geen hostinglocatie op de bekeken pagina's
Opvallend ten opzichte van HackerOne. Toegang tot de onderzoekerspool is het product. Volgens het eigen cijfer van de leverancier komt slechts één op de tien aanmelders erin.
Het meest geschikt voor: Beveiligingsteams die continue externe scans willen en een budget dat ze kunnen opschrijven
Detectify doet iets anders dan de bounty van HackerOne. Het brengt in kaart wat een bedrijf aan het internet blootstelt en test elk asset op uitbuitbare fouten, met payloads uit het eigen onderzoek en uit Crowdsource, een netwerk van meer dan 400 ethische hackers. Detectify AB is een bedrijf uit Stockholm, dus scanresultaten vallen onder Zweeds recht en EU-recht.
De prijslijst is openbaar: een gratis Starter-niveau voor maximaal vijf gebruikers en 100 assets, daarna EUR 2,500, EUR 5,000 en EUR 15,000 per jaar. Dat maakt het de eenvoudigste tool op deze pagina om in een budget te zetten. Het vindt blootstelling maar blokkeert geen aanvallen, en niemand triageert een menselijk rapport, omdat het werk geautomatiseerd is.
Wat Detectify beter doet dan HackerOne
- Gepubliceerde prijzen van een gratis niveau tot EUR 15,000 per jaar
- Continue scanning van het hele externe oppervlak, niet alleen de scope van een programma
- REST- en GraphQL-API-scanning vanaf het Standard-niveau
Waar Detectify een stap terug is ten opzichte van HackerOne
- Geen externe onderzoekers die je applicatie met de hand lezen
- Standard-niveau begrensd op 750 assets en 10 gebruikers
- CI/CD-integratie alleen vanaf Professional
Opvallend ten opzichte van HackerOne. Het is de enige tool hier met een echt gratis niveau en een volledige prijslijst tot enterpriseniveau.
Pentest-Tools.com
Een doe-het-zelf-toolkit voor mensen die de tests zelf uitvoeren in plaats van onderzoekerstijd in te kopen
Het meest geschikt voor: Interne testers en dienstverleners die scanners, exploiters en rapportage-output willen
Pentest-Tools.com verandert de vraag van wie de bug vindt naar wie de scan draait. PENTESTTOOLS S.A. in Boekarest verkoopt netwerk-, cloud- en webscanners, een auto-exploiter en SQL-injectie- en XSS-exploiters, met abonnementen vanaf $96 per maand voor NetScan, $140 voor AppScan en $190 voor Exploit, geschaald op het aantal assets.
Het bedrijf zegt meer dan 2,100 klanten te bedienen. Alle abonnementen bevatten een API en integraties, en bevindingen uit Burp Suite kunnen worden geïmporteerd. Een rapportgenerator exporteert naar Word of Google Docs, maar is een add-on. Er is geen onderzoekersgemeenschap, geen triage en geen beloningsschema, dus het vult een bounty eerder aan dan dat het er een vervangt.
Wat Pentest-Tools.com beter doet dan HackerOne
- Prijzen gepubliceerd per maand en per aantal assets
- Je eigen team bepaalt timing, scope en bewijs
- Importeert Burp Suite-output in één rapport
Waar Pentest-Tools.com een stap terug is ten opzichte van HackerOne
- Geen groep onderzoekers die vindt wat scanners missen
- Prijzen in Amerikaanse dollar
- Verschillende nieuwere functies, zoals AI-pentests, zijn als nieuw gemarkeerd
Opvallend ten opzichte van HackerOne. Abonnementen worden per asset geprijsd, vanaf $96 per maand, met onbeperkt opnieuw scannen op elk abonnement.
Zerocopter
Een Nederlandse ladder van disclosurebeleid tot pentest tot bounty onder één lokaal contract
Het meest geschikt voor: Nederlandse en Benelux-organisaties die beginnen met een disclosurebeleid voordat ze een bounty openen
Zerocopter is in stappen opgebouwd. Het begint met een gecoördineerd kwetsbaarheidsmeldingsbeleid (CVD), voegt dag en nacht recon toe voor vergeten systemen, daarna pentests met een formeel rapport en daarna een bounty. De verkoopvoorwaarden noemen Zerocopter B.V. als contracterende partij en behandelen onderzoekers als eigen leveranciers. Je tekent dus met één Nederlands bedrijf en nooit met individuele hackers.
De juridische documenten zijn openbaar: verkoopvoorwaarden van 19 juli 2024, een privacyverklaring en een gedragscode voor onderzoekers. Twee pagina's geven verschillende steden (Amsterdam en Groningen), dus controleer het bestelformulier. Op de pagina's die we hebben gelezen verschijnen geen prijzen, aantallen onderzoekers of hostinglocatie, en delen van de site zijn in het Nederlands.
Wat Zerocopter beter doet dan HackerOne
- Eén Nederlandse contracterende partij, met onderzoekers als leveranciers
- Recondienst gericht op vergeten assets
- Een zachtere eerste stap via een disclosurebeleid
Waar Zerocopter een stap terug is ten opzichte van HackerOne
- Geen aantallen onderzoekers om de omvang van de groep te beoordelen
- Kleinere scope en minder beschreven integraties dan bij HackerOne
Opvallend ten opzichte van HackerOne. De openbare verkoopvoorwaarden maken de relatie met onderzoekers expliciet: de klant koopt bij Zerocopter, niet bij de hackers.
SignalFisher
Een beheerd doorlopend testprogramma uit Zwitserland, geen zelfbedieningsmarktplaats
Het meest geschikt voor: Gereguleerde bedrijven in Zwitserland en de DACH-regio die jaarlijkse pentests vervangen door testen met een afgebakende scope en geïnterpreteerde resultaten
SignalFisher AG in Luzern, voorheen Bug Bounty Switzerland, stelt dat eenmalige pentests snel verouderen en dat klassieke platforms de scope en interpretatie bij de klant laten. Het programma bestaat uit drie stappen: context en regelgeving omzetten in een scope, testen door gecontroleerde onderzoekers, en rapporten met trendanalyse en aanbevolen acties.
Het colofon vermeldt handelsregisternummer CHE-218.065.572. De site citeert de CISO van Helvetia Baloise Group en toont Swiss Post en Stadler als klanten. Zwitserland ligt buiten de EU, dus het contract valt waarschijnlijk onder Zwitsers recht. Je levert ook een deel van de controle in die je bij HackerOne wel hebt: je stelt je eigen beloningsschema niet vast en nodigt onderzoekers niet zelf uit.
Wat SignalFisher beter doet dan HackerOne
- Scoping en interpretatie van resultaten zijn in het programma inbegrepen
- Zwitserse inschrijving in het handelsregister, gepubliceerd in het colofon
- Genoemde medeoprichters en adviesraad op de pagina over ons
Waar SignalFisher een stap terug is ten opzichte van HackerOne
- Minder controle over het beloningsschema en de onderzoekers
- Geen prijzen, hostinglocatie of aantallen onderzoekers op de bekeken pagina's
- Buiten de EU, dus niet vanzelfsprekend onder de AVG
Opvallend ten opzichte van HackerOne. Het verkoopt de interpretatie van bevindingen als onderdeel van het programma, waar HackerOne dat aan de klant overlaat.
Het meest geschikt voor: Teams met NIS2- of DORA-verplichtingen die herhaalbare tests met bewijs nodig hebben, geen bounty
Ethiack is iets anders dan een bounty-marktplaats. De engine, Hackian genaamd, test autonoom en wordt volgens de leverancier getriggerd door code-pushes en wijzigingen in de infrastructuur. De voorwaarden vermelden Ethiack, S.A., geregistreerd in Portugal onder nummer 516856146, met een statutaire zetel in Coimbra.
Elk bevestigd risico komt met een bewijs van exploitatie (proof of exploit) en herstelrichtlijnen, wat gericht is op de false positives die scanners opleveren. Case studies noemen ANA Aeroportos, Bluepharma en Universidade do Porto. De genoemde resultaten zijn de eigen cijfers van de leverancier. Live-rapporten voor NIS2, DORA, SOC 2, ISO 27001 en PCI worden als resultaat genoemd.
Wat Ethiack beter doet dan HackerOne
- Testen die code- en infrastructuurwijzigingen volgen in plaats van een bounty-agenda
- Bewijs van exploitatie bij elke bevestigde bevinding
- Compliancerapporten voor NIS2 en DORA als resultaat
Waar Ethiack een stap terug is ten opzichte van HackerOne
- Geen externe onderzoekers en geen beloningsprogramma
- Prestatiecijfers zijn claims van de leverancier, prijzen niet gepubliceerd
Opvallend ten opzichte van HackerOne. Elke bevestigde bevinding heeft een bewijs van exploitatie, waardoor de triage van mensen naar de engine verschuift.
Het meest geschikt voor: Teams die vóór een release een audit-achtige test nodig hebben, met een vastgesteld budget
Securitum Audyty Sp. z o.o. is een pentestbedrijf, geen platform. De prijspagina geeft EUR 640 tot 890 per mandag voor tijd en materiaal, en EUR 3,500 tot 14,000 voor typische opdrachten met vaste prijs van één tot vier weken. Niets vergelijkbaars is openbaar bij HackerOne, dus een koper kan vooraf schatten.
De dienstenlijst omvat web-, mobiele, infrastructuur- en cloudtests, red teaming, broncodereview en OSINT. Het bedrijf zegt dat het in 2009 is opgericht. Omdat het werk een momentopname door een benoemd team is, kan het de continue dekking van een bounty niet vervangen. Het richt zich op Midden- en Oost-Europa.
Wat Securitum beter doet dan HackerOne
- Dagtarieven en projectbandbreedtes zichtbaar vóór elk verkoopgesprek
- Een benoemd team dat een gedefinieerde scope doet, in plaats van een anonieme groep
- Broncodereview en trainingen naast de tests
Waar Securitum een stap terug is ten opzichte van HackerOne
- Resultaten op één moment, geen doorlopend programma
- Geen bountypool of onderzoekersgemeenschap
Opvallend ten opzichte van HackerOne. Het is de enige leverancier op deze pagina die dagtarieven in euro op een openbare pagina zet.
Patchstack
Een bounty- en disclosurekanaal alleen voor WordPress, geen algemeen bedrijfsprogramma
Het meest geschikt voor: Bedrijven met WordPress-plugins, thema's en hosting die CVE-afhandeling en een beheerd disclosurekanaal nodig hebben
Patchstack OÜ is geregistreerd in Pärnu, Estland (code 14331217). Het concurreert met HackerOne alleen in één niche: kwetsbaarheden in WordPress en open-sourcesoftware. De bounty-pagina vermeldt een gegarandeerde maandpool van USD 10,000 en zero-day-uitbetalingen tot USD 33,000, en onderzoekers krijgen de CVE op hun eigen naam.
Het beheerde disclosureproduct neemt de afhandeling van rapporten over voor pluginbeheerders. De site zegt dat Patchstack de beveiliging beheert voor 1,134 plugins. Een bedrijf met een eigen webapplicatie kan hier geen eigen bounty afbakenen. Beloningen worden in Amerikaanse dollars uitbetaald via PayPal of cryptovaluta, en Delaware-recht is van toepassing op klanten in Amerika.
Wat Patchstack beter doet dan HackerOne
- Directe CVE-toewijzing en een openbare kwetsbaarhedendatabase voor WordPress
- Beheerde disclosure voor beheerders die zelf niet kunnen triageren
Waar Patchstack een stap terug is ten opzichte van HackerOne
- Geen algemene bounty voor een gewone bedrijfsomgeving
- Hostinglocatie niet vermeld, beloningen in Amerikaanse dollars
Opvallend ten opzichte van HackerOne. Het kent de CVE toe op naam van de onderzoeker en houdt een openbare database bij voor het WordPress-ecosysteem.
Het meest geschikt voor: Franse en Europese teams die een eenmalige of periodieke door mensen geleide test willen
VAADATA SARL in Lyon (RCS 797 558 590) verkoopt diensten op het gebied van offensieve beveiliging. Pentests worden uitgevoerd als black-, grey- of white-box en dekken web, mobiel, cloud, infrastructuur, IoT, social engineering en LLM-systemen, inclusief RAG, agents en MCP-servers. Red team- en assumed breach-oefeningen staan ernaast.
Het bedrijf zegt in 2014 te zijn opgericht, beschrijft zichzelf als financieel onafhankelijk en claimt meer dan 800 klanten. Er is geen bounty, geen beloningspool en geen prijslijst, alleen een offerteaanvraag. De juridische mededelingen vermelden dat de marketingwebsite wordt gehost door Kinsta Inc. in de Verenigde Staten. Dat gaat over de website en niet over je opdrachtgegevens.
Wat Vaadata beter doet dan HackerOne
- Een aparte LLM-pentestscope naast de klassieke scopes
- Red team- en assumed breach-oefeningen van een Franse onderneming
Waar Vaadata een stap terug is ten opzichte van HackerOne
- Geen continue dekking of onderzoekersgroep
- Prijzen alleen op offerte
Opvallend ten opzichte van HackerOne. Het noemt een LLM-pentest die RAG, agents en MCP-servers dekt als eigen dienstlijn.
Wat er echt stukgaat als je overstapt
Drie dingen breken als eerste. Rapporten en geschiedenis blijven achter: exporteer wat het platform toestaat, bewaar de exports onder je eigen bewaartermijnen, en reken erop dat je de reputatiescores van onderzoekers verliest die jaren hebben gekost. Integraties moeten opnieuw worden aangesloten, want de webhook naar je ticketsysteem en de SSO-configuratie horen bij het oude platform, en de leveranciers hier documenteren Jira-, GitHub-, GitLab- of ServiceNow-koppelingen één voor één.
Het contract is het trage deel. Een Europese leverancier stelt zijn eigen verwerkersovereenkomst, subverwerkerslijst en bestelformulier voor, en juridische controle duurt langer dan de technische verhuizing. Plan een korte overlapperiode: houd het HackerOne-programma open voor nieuwe rapporten tot de nieuwe scope live is, publiceer het nieuwe contact in security.txt en laat regelmatige melders per e-mail weten, zodat hun rapporten niet in een gesloten inbox belanden.
Kan ik een lopend HackerOne-programma naar een Europees platform verhuizen zonder onderzoekers te verliezen?
Gedeeltelijk. Onderzoekers zijn niet aan een platform gebonden, maar hun accounts, reputatie en je rapportgeschiedenis blijven binnen HackerOne. De gebruikelijke route is je rapporten exporteren voor je eigen administratie, het nieuwe platform aankondigen aan de onderzoekers die geldige problemen hebben gevonden, en beide kanalen een kwartaal naast elkaar laten draaien. YesWeHack en Intigriti draaien allebei open gemeenschappen, dus uitgenodigde hackers kunnen zich zonder gedoe registreren.
De leveranciers met een gecontroleerde pool werken anders. Yogosha zegt dat slechts 10 procent van de aanmelders in de Strike Force komt, en SignalFisher werkt met gecontroleerde onderzoekers die het zelf beheert. Je bestaande vaste HackerOne-onderzoekers nemen je daar niet zomaar mee. Reken dus op een nieuwe groep en een andere kostenstructuur, met tests met vaste kosten naast beloningen per bug.
Haalt het verlaten van HackerOne voor een Europese leverancier de Amerikaanse jurisdictie volledig weg?
Voor het contract en de juridische entiteit, ja: YesWeHack, Intigriti, Yogosha, Zerocopter, SignalFisher, Ethiack, Securitum, Patchstack en Vaadata zijn Europese of Zwitserse bedrijven, en Pentest-Tools.com en Detectify zijn Roemeens en Zweeds. Voor de infrastructuur moet je elk van hen controleren. Alleen YesWeHack meldt uitsluitend hosting in de EU op zijn trustpagina. De meeste andere vermelden geen hostinglocatie op de pagina's die we hebben gelezen.
Zet de hostingvraag op de inkoopchecklist en vraag de subverwerkers bij naam. Vaadata zegt bijvoorbeeld dat de marketingsite wordt gehost door een Amerikaans bedrijf. Dat zegt niets over opdrachtgegevens, maar laat wel zien waarom de vraag gesteld moet worden. Een Europees contract met een duidelijke subverwerkerslijst is een sterkere positie dan HackerOne's standaard, hoewel het niet hetzelfde is als volledig afgeschermde data.
Welke kies je
Als je een volwassen openbare bounty draait en dezelfde opzet onder Europees recht wilt, begin dan met YesWeHack en Intigriti, en vraag beide om hostingverklaringen en de entiteit op het bestelformulier. Kies Yogosha als je liever een kleine gecontroleerde groep hebt dan open blootstelling, en SignalFisher als je wilt dat scoping en interpretatie in Zwitserland voor je worden geregeld. Zerocopter past bij een eerste Nederlands programma.
Als de echte behoefte testen is en geen menigte, koop het dan rechtstreeks: Securitum voor een handmatige test met een vastgesteld budget, Vaadata voor red team- en LLM-scopes, Ethiack voor continue geautomatiseerde tests met bewijs, Pentest-Tools.com als je eigen team het werk doet, en Detectify voor continue externe scans met gepubliceerde prijzen. Patchstack is alleen voor WordPress. Blijf bij HackerOne als je afhankelijk bent van de breedte en de Delaware-voorwaarden je niet dwarszitten.
Veelgestelde vragen
Voor een beheerde bounty met een Franse contracterende entiteit, uitsluitend hosting in de EU en triage door eigen medewerkers is YesWeHack de dichtste match op deze pagina. Intigriti in België volgt dezelfde productvorm met een pentest-als-dienstoptie, en Yogosha is geschikt voor teams die een gecontroleerde privépool verkiezen. Als je tests nodig hebt in plaats van een menigte, kijk dan naar Securitum, Vaadata of Ethiack.
Nee. De algemene voorwaarden definiëren HackerOne als HackerOne Inc., een vennootschap naar het recht van Delaware, met een contactadres in San Francisco. Het privacybeleid noemt Europese dochterondernemingen ernaast, maar de contracterende moeder is Amerikaans en de voorwaarden passen het recht van Delaware toe. Daarom is het de gevestigde speler op deze pagina en geen vermelde tool.
Meestal niet. YesWeHack, Intigriti, Yogosha, Zerocopter, SignalFisher, Ethiack en Vaadata vragen om een offerte of demo. Gepubliceerde cijfers zijn er bij Detectify (gratis niveau tot EUR 15,000 per jaar), Pentest-Tools.com (vanaf $96 per maand) en Securitum (dagtarieven van EUR 640 tot 890). HackerOne toont ook geen prijslijst op zijn site.
Alleen gedeeltelijk. Een pentest is een test met een vaste looptijd van een gedefinieerde scope door een benoemd team, dus die vindt wat dat team in die weken vindt. Een bounty houdt veel onderzoekers na een release naar het live systeem kijken. Securitum, Vaadata en Ethiack dekken de pentestkant goed. Voor continue crowdtests gebruik je YesWeHack, Intigriti of Yogosha.
Ja. Patchstack in Estland draait een bounty en een beheerd disclosureprogramma voor het WordPress- en open-sourceecosysteem, kent CVE's toe op naam van de onderzoeker en houdt een openbare kwetsbaarhedendatabase bij. Het host geen algemene bedrijfsbounty, dus een gewone webomgeving hoort bij een van de andere platforms.
Gerelateerde vergelijkingen
Over de auteur
Ontdek meer Europese alternatieven
Ontdek privacyvriendelijke Europese alternatieven voor andere populaire Amerikaanse techdiensten.