Europese API-beveiligingsplatforms

#1 42Crunch

Londen, Verenigd Koninkrijk Platform geprijsd per organisatie op aanvraag; 14 dagen gratis proefperiode voor de AI-codeerplug-in Plan een demo

Het meest geschikt voor: Teams die OpenAPI-definities onderhouden en één bestand willen om testen en handhaving aan te sturen

• Exploiterend bedrijf. 42Crunch Ltd
• Jurisdictie. Verenigd Koninkrijk (gedekt door een adequaatheidsbesluit van de EU, geen EER-lid)
• Waar de gegevens staan. Op de pagina's die we hebben gelezen wordt geen hostingregio genoemd
• Broncode. Closed source
• Vervangt. Traceable, Salt Security, Noname Security

42Crunch bouwt zijn product rond de API-specificatie. Een audit voert meer dan 300 statische controles uit op OpenAPI- en GraphQL-definities, in de IDE en in CI/CD. Een scan stuurt gesimuleerd verkeer naar de draaiende dienst en vergelijkt de antwoorden met het contract. Een micro-firewall die vanuit de pipeline wordt uitgerold, weigert verzoeken waarvan de HTTP-methode, het pad, het contenttype of de vorm van de payload niet in het contract staan. Snelheidslimieten zijn per client en per operatie in te stellen.

42Crunch Ltd is een Britse besloten vennootschap. Volgens het privacybeleid zit de moedermaatschappij op een adres in Covent Garden, Londen, en de vertrouwenspagina vermeldt ISO 27001. De huidige homepage zet het beheer van MCP-servers voor AI-agents vooraan, dus een koper die alleen API-tests wil, moet de roadmap in een demo laten bevestigen. Het platform heeft geen openbare prijs, de AI-codeerplug-in heeft een proefperiode van 14 dagen, en er wordt geen hostingregio genoemd.

Opvallende functie. 42Crunch is de enige tool hier die een beoordeeld API-contract omzet in een handhavingsregel op de gateway.

#2 Equixly

Florence, Italië Voor €4,999 koop je één pentest; continu testen wordt geprijsd op offerte Plan een demo

Het meest geschikt voor: Securityteams die aanvalsresultaten op hun API's willen zonder te wachten op een pentestslot

• Exploiterend bedrijf. Equixly S.r.l.
• Jurisdictie. EU (Italië)
• Waar de gegevens staan. Op de pagina's die we hebben gelezen wordt geen hostingregio genoemd
• Broncode. Closed source
• Vervangt. Traceable, Salt Security, handmatige API-pentests

Equixly vervangt de geplande API-pentest door softwareagents die endpoints steeds opnieuw aanvallen. De leverancier zegt dat de agents aanroepen en workflowstappen aan elkaar koppelen om gebroken autorisatie op objectniveau, IDOR en exploitatiepaden in meerdere stappen bloot te leggen. Bevindingen worden door middel van exploitatie gevalideerd om valse positieven terug te dringen. Een tweede module maakt een inventaris van API's, markeert niet-gedocumenteerde endpoints en classificeert persoonsgegevens in antwoorden.

Equixly S.r.l., in het privacybeleid genoemd als verwerkingsverantwoordelijke, zit in Florence, Italië. In de voettekst van de site staan een Italiaans btw-nummer, ISO 27001 en het keurmerk Cybersecurity Made in Europe. De prijspagina vermeldt één vast aanbod, een black-box- of grey-box-pentest met resultaten binnen twee dagen voor €4,999, en biedt een offerte voor het continue platform. Op de pagina's die we hebben gelezen staat geen proefperiode, hostingregio of optie om zelf te hosten.

Opvallende functie. Equixly verkoopt één API-pentest met een vermelde prijs in euro en een doorlooptijd van twee dagen.

#3 Escape

Parijs, Frankrijk De prijspagina bevat geen cijfers en alle wegen leiden naar een demo-afspraak Plan een demo

Het meest geschikt voor: Cloud-native teams wier belangrijkste API-risico gebroken autorisatie is en niet bekende CVE's

• Exploiterend bedrijf. Escape Technologies SAS
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Het privacybeleid plaatst het bedrijf in Frankrijk, maar geeft slechts een deel van een straatadres
• Broncode. Closed source
• Vervangt. De testfuncties van Traceable, Invicti, Rapid7 InsightAppSec

Escape valt een draaiende API aan zoals een tester dat zou doen, gericht op logicafouten, bijvoorbeeld wanneer de ene gebruiker de gegevens van een andere gebruiker kan lezen. Volgens de pagina's begrijpt de engine GraphQL, speelt hij flows opnieuw af als meerdere verschillende gebruikers en koppelt hij herstelvoorstellen aan bevindingen. De leverancier heeft sindsdien AI-pentesten toegevoegd, met een stap voor hertesten en een module voor het aanvalsoppervlak. Interne netwerken worden niet gescand, en wij schrijven het geen broncodeanalyse toe.

De contractpartij is Escape Technologies SAS in Frankrijk. Het privacybeleid geeft slechts een deel van een straatadres, dus vraag inkoop om het volledige statutaire adres op te vragen. Op de prijspagina staat geen bedrag: elke route eindigt bij een demoaanvraag. Een oprichtingsjaar stond niet op de pagina's die we hebben gelezen.

Opvallende functie. Escape richt zijn tests op logicafouten in API's, het soort fout dat scanners op basis van handtekeningen niet melden.

#4 AppCheck

Batley, West Yorkshire, Verenigd Koninkrijk Er is geen prijslijst gepubliceerd; elke licentie bevat onbeperkte gebruikers Plan een demo

Het meest geschikt voor: Teams die één scanner willen voor API's, webapps en infrastructuur, inclusief ondertekende en door tokens beveiligde endpoints

• Exploiterend bedrijf. AppCheck Ltd
• Jurisdictie. Verenigd Koninkrijk (gedekt door een adequaatheidsbesluit van de EU, geen EER-lid)
• Waar de gegevens staan. Op de pagina's die we hebben gelezen wordt geen hostingregio genoemd
• Broncode. Closed source
• Vervangt. De testfuncties van Traceable en de posture-controles van Salt Security

AppCheck groeide uit een intern pentestinstrument. De API-module bouwt een model van een dienst op basis van het schema, voordat per methode tests worden opgesteld. Het leest REST met JSON, SOAP via WSDL en GraphQL, genereert testdata uit Swagger- en GraphQL-definities en noemt IDOR onder zijn autorisatiecontroles. Waar veel scanners vastlopen, documenteert het HMAC- en AWS v4-ondertekening van verzoeken, koppelbare regels voor eigen handtekeningen en TOTP- en OAuth-sessies.

AppCheck Ltd is ingeschreven in Engeland en Wales onder bedrijfsnummer 06888174, met een adres in Batley, en het privacybeleid noemt het als Britse verwerkingsverantwoordelijke. Dezelfde licentie dekt webapplicaties, infrastructuur, CMS en asset discovery, en volgens de pagina heeft de licentie onbeperkte gebruikers. Prijzen worden niet gepubliceerd, de hostingregio wordt niet vermeld en er wordt niets tijdens runtime geblokkeerd.

Opvallende functie. AppCheck documenteert HMAC- en AWS v4-ondertekening van verzoeken, wat de meeste scanners in deze categorie niet doen.

#5 Aikido Security

Gent, België Opgericht in 2022 Twee gebruikers gratis; betaalde Basic- en Pro-tarieven worden maandelijks gefactureerd (een selector op de pagina bepaalt de valuta, dus hier wordt er geen genoemd) Gratis variant zonder creditcard

Het meest geschikt voor: Kleine ontwikkelteams die een API-scanner naast code- en cloudcontroles willen, gratis om mee te beginnen

• Exploiterend bedrijf. Aikido Security BV
• Jurisdictie. EU (België)
• Waar de gegevens staan. Geregistreerd in België, met op de site vermelde kantoren in de VS en het Verenigd Koninkrijk
• Broncode. Closed source
• Vervangt. De testfuncties van Traceable, Black Duck, Snyk

Aikido Security verkoopt één dashboard voor ontwikkelaarsbeveiliging: afhankelijkheden, geheimen, broncode, infrastructuur als code en containers, met een API-scanner onder de modules. De scanner neemt Swagger-definities als invoer, en de leverancier voegt detectie van shadow- en zombie-API's toe, zodat een niet-gedocumenteerd endpoint in dezelfde wachtrij verschijnt als een kwetsbare bibliotheek.

Achter het product staat Aikido Security BV uit Gent, België, opgericht in 2022. De website van het bedrijf vermeldt extra kantoren in de VS en het Verenigd Koninkrijk, een punt om bij inkoop aan te kaarten. Twee gebruikers kunnen de gratis variant zonder creditcard gebruiken. Betaalde Basic- en Pro-tarieven worden maandelijks berekend, maar een selector op de pagina bepaalt de valuta, dus noemen we er geen. Een datalocatie wordt niet vermeld.

Opvallende functie. Aikido Security zet een API-scanner, detectie van shadow API's en een gratis variant in dezelfde suite als de code- en containerscans.

#6 Detectify

Stockholm, Zweden Opgericht in 2013 Per jaar: gratis Starter voor 5 gebruikers en 100 assets, daarna €2,500 (Standard), €5,000 (Professional) en €15,000 (Enterprise) Plan een demo

Het meest geschikt voor: Securityteams die terugkerende externe scans van webapps en API's willen tegen een bekende prijs

• Exploiterend bedrijf. Detectify AB
• Jurisdictie. EU (Zweden)
• Broncode. Closed source
• Vervangt. Tenable, Qualys, Invicti

Detectify controleert REST- en GraphQL-API's aan de hand van OpenAPI v2- en v3-specificaties en GraphQL-schema's, beschikbaar vanaf het Standard-niveau, en brengt het externe aanvalsoppervlak eromheen in kaart. De payloadbibliotheek komt deels van Crowdsource, een gemeenschap van meer dan 400 ethische hackers. Het resultaat is een lijst met blootstellingen: Detectify leest geen broncode, filtert geen verkeer en werkt niet als WAF of CDN.

Het bedrijf uit Stockholm, Detectify AB, is sinds 2013 actief en noemt ISO 27001 en AVG. De jaarprijzen zijn openbaar. Een gratis Starter-variant staat 5 gebruikers en 100 assets toe; Standard voor €2,500 stopt bij 750 assets en 10 gebruikers; Professional voor €5,000 is het punt waar CI/CD-integratie begint; Enterprise kost €15,000. Klanten met een betaalde variant krijgen een proefperiode op maat.

Opvallende functie. Detectify vermeldt elk prijsniveau, van een gratis abonnement tot €15,000 per jaar, een praktijk die zeldzaam is onder leveranciers van applicatiebeveiliging.

#7 Intruder

Londen, Engeland, Verenigd Koninkrijk Gratis abonnement; Cloud en Pro via de afrekening, Enterprise op offerte; AI-pentests geprijsd vanaf USD 3,500 per stuk Plan een demo

Het meest geschikt voor: Kleine en middelgrote teams die zonder tussenkomst willen bewaken wat ze blootstellen

• Exploiterend bedrijf. Intruder Systems Ltd (bedrijfsnummer 09529593)
• Jurisdictie. Verenigd Koninkrijk (gedekt door een adequaatheidsbesluit van de EU, geen EER-lid)
• Waar de gegevens staan. Hostingregio niet nagekeken
• Broncode. Closed source
• Vervangt. Bitsight, Tenable

Intruder bundelt API-scans met cloudcontroles, containerimagescans, wijzigingsdetectie en AI-pentests in één abonnement voor exposure management. Teams uploaden een schema, draaien scans volgens een planning of vanuit CI/CD en ontvangen meldingen in Jira. Wanneer een poort opengaat of een cloudservice wordt toegevoegd, wordt het nieuwe asset gescand zonder dat iemand erom vraagt.

Intruder Systems Ltd is volgens de voettekst van de site in Engeland ingeschreven onder nummer 09529593, en de homepage zegt dat meer dan 3,000 bedrijven het gebruiken. Het gratis abonnement draait wekelijkse externe scans op alleen poort 80 en 443; het Cloud-abonnement heeft een proefperiode van 14 dagen; de paginatekst toonde geen bedragen voor betaalde abonnementen. AI-pentests kosten vanaf USD 3,500 per stuk.

Opvallende functie. Intruder begint zelf met het scannen van een nieuw asset zodra een poort opengaat of een cloudservice verschijnt.

#8 Pentest-Tools.com

Boekarest, Roemenië Opgericht in 2017 Abonnementen groeien mee met het aantal assets en beginnen bij $96 (NetScan), $140 (AppScan) en $190 (Exploit) per maand Plan een demo

Het meest geschikt voor: Pentesters en interne securityteams die hun eigen API-tests uitvoeren en bewijs en rapporten nodig hebben

• Exploiterend bedrijf. PENTESTTOOLS S.A.
• Jurisdictie. EU (Roemenië)
• Waar de gegevens staan. Op de pagina's die we hebben gelezen wordt geen hostingregio genoemd
• Broncode. Closed source
• Vervangt. Zelf uitgevoerde tests; vult HackerOne en Bugcrowd aan

Pentest-Tools.com verkoopt scanners en exploiters aan mensen die zelf tests uitvoeren. De API-scanner accepteert een OpenAPI-bestand of een Postman-collectie. AppScan dekt geauthenticeerde DAST, en het Exploit-abonnement voegt een CVE-exploiter, SQL-injectie- en XSS-exploiters en import van Burp Suite toe. De API-scanner heeft een proefperiode van zeven dagen.

PENTESTTOOLS S.A., genoemd in de voorwaarden, is een naamloze vennootschap in Boekarest, waar de over-ons-pagina zegt dat het sinds 2017 is gevestigd. De leverancier zegt meer dan 2,100 klanten te bedienen in 119 of meer landen. Abonnementen beginnen bij $96 per maand (NetScan, 16 assets), $140 (AppScan, 5 assets) en $190 (Exploit, 5 assets). Elk abonnement heeft API-toegang en onbeperkt opnieuw scannen. De rapportagegenerator kost extra, en beheerde pentests worden per opdracht geschat.

Opvallende functie. Pentest-Tools.com accepteert een Postman-collectie als scaninvoer, wat past bij teams die hun API-documentatie daar bewaren.

#9 Edgescan

Dublin, Ierland Opgericht in 2017 Op de pagina's die we hebben gelezen staat geen prijs Plan een demo

Het meest geschikt voor: Organisaties die geautomatiseerd testen willen met verificatie door experts en ontdekking van verborgen API's

• Exploiterend bedrijf. BCC Risk Advisory Limited, handelend onder de naam Edgescan (bedrijfsnummer 497804)
• Jurisdictie. EU (Ierland)
• Waar de gegevens staan. Op de pagina's die we hebben gelezen wordt geen hostingregio genoemd
• Broncode. Closed source
• Vervangt. Bitsight, Tenable

Edgescan biedt een platform voor continu testen waarvan de modules beheer van het aanvalsoppervlak en tests voor web, API, netwerk en mobiel omvatten. Menselijke analisten verifiëren bevindingen voordat ze worden geleverd, wat de leverancier presenteert als een manier om valse positieven te verminderen. Het API-materiaal noemt ontdekking van ongeautoriseerde en verborgen API's. Een pentest-as-a-service-optie valt binnen hetzelfde aanbod.

Het privacybeleid noemt BCC Risk Advisory Limited als het Ierse bedrijf dat onder de naam Edgescan handelt. De leverancier zegt dat Eoin Keary het in 2017 heeft opgericht en vermeldt kantoren in Dublin en New York. Omdat dat beleid over de website gaat, is de entiteit op een dienstencontract niet bevestigd. We vonden geen prijzen en geen vermelde datalocatie.

Opvallende functie. Edgescan combineert ontdekking van ongeautoriseerde en verborgen API's met menselijke verificatie van de bevindingen.

#10 Vaadata

Lyon, Frankrijk Opgericht in 2014 Elke opdracht wordt na een aanvraag geofferteerd Plan een demo

Het meest geschikt voor: Franse en Europese teams die een door mensen geleide API-pentest of red team willen van een Franse SARL

• Exploiterend bedrijf. VAADATA SARL
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Op de pagina's die we hebben gelezen wordt geen hostingregio genoemd
• Broncode. Closed source
• Vervangt. HackerOne, Bugcrowd, pentest-as-a-service

Vaadata is een pentestbureau en benadert API's via mensen: JWT- en OAuth-controles, toegangstests en een hertest zodra de klant heeft hersteld wat is gevonden. Andere scopes zijn web, mobiel, cloud, LLM-systemen, infrastructuur en IoT, in black-, grey- of white-box-modus, plus red team- en assumed-breach-oefeningen. Er wordt geen platform of bugbountyprogramma verkocht.

Volgens de juridische vermeldingen is VAADATA een SARL met €36,000 aandelenkapitaal en een statutaire zetel in Lyon (RCS 797 558 590). De over-ons-pagina dateert de oprichting op 2014 en stelt financiële onafhankelijkheid; de leverancier beweert meer dan 800 klanten. Opdrachten worden geofferteerd. De site bestaat in het Frans en Engels, en de vermeldingen zeggen dat het hostingbedrijf Kinsta Inc. in de Verenigde Staten is.

Opvallende functie. Vaadata zet benoemde Franse testers op API-authenticatie en hertest daarna de herstelde punten.

#11 Curity

Stockholm, Zweden Opgericht in 2015 Community Edition gratis; betaalde Standard-, Enterprise- en Token Handler-edities worden als één jaarabonnement verkocht, prijs op aanvraag Plan een demo

Het meest geschikt voor: Teams die op tokens gebaseerde toegang nodig hebben tot API's van partners, apps en AI-agents, op infrastructuur naar keuze

• Exploiterend bedrijf. Curity AB
• Jurisdictie. EU (Zweden)
• Waar de gegevens staan. Draait waar je het uitrolt, on-premise of in een cloud naar keuze; we vonden geen SaaS die door Curity wordt beheerd
• Broncode. Closed source
• Vervangt. Auth0, Okta, Ping Identity

Curity regelt wie een API mag aanroepen, niet of de API fouten bevat. De identity server geeft OAuth- en OpenID Connect-tokens uit en beheert ze, en ondersteunt FAPI, SAML en SCIM. De implementatie is gecertificeerd door de OpenID Foundation. Een Token Handler-editie en het materiaal over API-toegang richten zich op partners, apps en AI-agents.

Het bedrijf, Curity AB, is in 2015 opgericht in Stockholm (registratienummer 559017-0196), en de gebruiksvoorwaarden van 30 maart 2026 noemen het als contractpartij. Het biedt geen SaaS: de uitrolpagina beschrijft alleen on-premise-, single-cloud-, multi-cloud- en hybride opstellingen. Sinds mei 2023 houdt het Deense private-equityfonds GRO een belang van onbekende omvang, en de pagina's van Curity noemen geen ISO 27001 of vergelijkbare audit.

Opvallende functie. Curity heeft geen eigen cloud, dus de tokenlaag voor je API's bestaat alleen op infrastructuur die je zelf hebt gekozen.