Elke Europese tool voor applicatiebeveiliging (SAST, SCA, ASPM) beoordeeld
Valladolid, Spanje
Gratis variant voor 5 bijdragers, tot 10 repositories en 200 scans per maand. Team- en Business-abonnementen worden geprijsd op basis van het aantal bijdragers en de dagelijkse scans; de bedragen worden in de browser getoond.
Het meest geschikt voor: Teams die bescherming willen voor de buildpipeline en voor kwaadaardige packages, naast conventionele codescans
Xygeni behandelt het buildsysteem als iets dat gescand moet worden, niet alleen de code die erin gaat. De productlijst loopt van SAST, SCA en secrets met automatisch intrekken, via infrastructure as code en containerimages, tot CI/CD-beveiliging, en een Shield-functie stopt kwaadaardige packages voordat ze worden uitgevoerd. Een ASPM-weergave bundelt de resultaten in één inventaris, en een IDE-plugin geeft feedback voordat code wordt gepusht.
De aanbieder is XYGENI SECURITY, S.L. in Valladolid, en de platformvoorwaarden vallen onder Spaans recht, met geschillen voor de rechtbanken van Madrid. De gratis variant dekt 5 bijdragers, tot 10 repositories en 200 scans per maand. Betaalde prijzen worden in de browser geladen, dus een offerte is de enige manier om een budget vast te stellen. De bekeken pagina's vermelden geen datalocatie en geen optie om zelf te hosten, en de leverancier is kleiner dan Black Duck, met minder openbare referenties.
Wat Xygeni goed doet
- Contracteert onder Spaans recht met een Spaans bedrijf
- De gratis variant omvat al SAST-, SCA- en secretscans
- Kijkt naar CI/CD-pipelines en kwaadaardige packages, niet alleen naar code
- Een ASPM-weergave over de hele inventaris
- Een IDE-plugin die problemen vroeg meldt
Waar Xygeni tekortschiet
- Geen datalocatie op de bekeken pagina's
- Prijzen voor betaalde abonnementen worden pas in de browser geladen
- Een kleinere leverancier met minder openbare referenties
- Zelf hosten wordt niet vermeld
Opvallende functie. Xygeni is het enige item hier dat het blokkeren van kwaadaardige packages en controles op buildintegriteit als kernfuncties noemt.
Gent, België
Opgericht in 2022
Gratis variant voor twee gebruikers; Basic- en Pro-maandkosten staan op de prijspagina (de valuta wordt gekozen via een selector in de browser, dus er wordt geen teken geclaimd)
Gratis variant, geen creditcard nodig
Het meest geschikt voor: Kleine developerteams die code-, container- en cloudscans willen van één Belgische leverancier
Aikido Security brengt controles op afhankelijkheden, secrets, broncode, infrastructure as code en containers, plus AI AutoFix, samen in één dashboard, zodat een team één lijst met bevindingen leest in plaats van tussen scanners te schakelen. Een gratis abonnement voor twee gebruikers schrapt de demostap, wat past bij een developer die het op een side project wil proberen voordat iemand met inkoop praat.
Het contracterende bedrijf is Aikido Security BV in Gent, opgericht in 2022. De site toont ook kantoren in de Verenigde Staten en het Verenigd Koninkrijk, wat in de inkoop een vraag waard is. De prijspagina toont maandelijkse kosten voor Basic en Pro per tien gebruikers, maar de valuta komt uit een selector in de browser, dus er wordt hier geen teken geclaimd. Op de pagina's die wij lazen staat geen datalocatie.
Wat Aikido Security goed doet
- Belgische BV als contracterend bedrijf
- Het gratis abonnement is voor twee gebruikers, zonder creditcard
- Code-, pakket-, container- en cloudbevindingen komen tegelijk binnen
- AI AutoFix stelt correcties voor op de problemen die het vindt
Waar Aikido Security tekortschiet
- Bedrijf opgericht in 2022, dus een korte geschiedenis
- Kantoren in de VS en het VK naast het Belgische kantoor
- Valuta van betaalde kosten is niet leesbaar zonder de selector
- Geen datalocatie gezien op de bekeken pagina's
Opvallende functie. Aikido Security is de enige tool hier die scanners voor code, containers en cloud combineert met een gratis abonnement en zonder verkoopgesprek.
Lissabon, Portugal
Opgericht in 2012
Developer-abonnement gratis voor particulieren; Team-abonnement vanaf $18 per developer per maand (jaarlijks gefactureerd) of $21 per maand, maximaal 30 developers; Business-abonnement op offertebasis; open-source projecten altijd gratis
Het meest geschikt voor: Teams die code in pull requests beoordelen en er beveiligingspoorten willen laten verschijnen
Codacy plaatst zijn controles in de pull request, waar een reviewer al naar kijkt. Het platform begon als tooling voor codekwaliteit en voegt nu SAST-, SCA- en secretcontroles toe, een AI Reviewer die wijzigingen becommentarieert, en Guardrails die door AI geschreven code repareren voordat die wordt samengevoegd. Ook kan het unit tests genereren voor bestanden met lage dekking.
Het exploiterende bedrijf is Qamine Portugal S.A. in Lissabon, actief sinds 2012, en de leverancier meldt naleving van SOC 2, ISO 27001 en de AVG. Particulieren gebruiken het Developer-abonnement gratis, open-source projecten betalen niets, en het Team-abonnement kost $18 per developer per maand bij jaarlijkse facturatie of $21 per maand, tot 30 developers. Grotere afnemers krijgen een offerte, en er is geen on-premise-optie gepubliceerd.
Wat Codacy goed doet
- AI Reviewer plaatst opmerkingen op de pull request zelf
- Guardrails herstelt door AI geschreven code voordat die wordt samengevoegd
- Unit tests worden opgesteld voor bestanden met weinig dekking
- Gratis voor particulieren en open-source projecten
- Portugees bedrijf dat SOC 2, ISO 27001 en de AVG vermeldt
Waar Codacy tekortschiet
- Controleert code maar schrijft geen code, dus er moet een generator naast staan
- Zakelijke prijzen gaan alleen op offerte
- Geen on-premise-implementatie gepubliceerd
- Het Team-abonnement is beperkt tot 30 developers
Opvallende functie. Codacy zet beveiligingsbevindingen en door AI gegenereerde codefixes in de beoordeling van de pull request, in plaats van in een aparte console.
Genève, Zwitserland
Opgericht in 2008
Gratis variant voor privécode tot 50,000 regels; Team-abonnement vanaf ongeveer $34 per maand voor 100k regels; Gitar AI Code Review vanaf $20 per gebruikersplaats per maand bij jaarlijkse facturatie; Enterprise op offertebasis; openbare repositories met een OSI-licentie zijn altijd gratis
Het meest geschikt voor: Teams die statische analyse op hun eigen servers willen voor veel talen, tegen gepubliceerde prijzen
SonarQube analyseert code sinds 2008, en de Community Edition is open source onder LGPLv3 en staat op GitHub, zodat de kernmotor op je eigen hardware kan draaien zonder code naar een cloud van de leverancier te sturen. SonarQube Server dekt commercieel gebruik on-premise en SonarQube Cloud de gehoste variant. Het Team-abonnement dekt SAST-, SCA- en secretdetectie in meer dan 30 talen, met Gitar voor AI-beoordeling van pull requests en AI CodeFix-suggesties.
SonarSource Sàrl zit in Genève, en Zwitserland valt buiten de EER en steunt op een adequaatheidsbesluit. De prijzen zijn concreet: gratis tot 50,000 regels privécode, een Team-abonnement vanaf ongeveer $34 per maand voor 100k regels, Gitar vanaf $20 per gebruiker per maand bij jaarlijkse facturatie, en een proefperiode van 14 dagen zonder creditcard. De leverancier zegt dat meer dan 7 miljoen developers het gebruiken. AI-functies lopen via modellen van derden.
Wat SonarQube goed doet
- Community Edition is open source onder LGPLv3 en draait op je eigen servers
- Gitar beoordeelt pull requests met AI, en CodeFix stelt reparaties voor
- SAST, SCA en secrets in meer dan 30 talen
- Openbare prijzen plus een proefperiode van 14 dagen
- Achttien jaar actief bij één Zwitsers bedrijf
Waar SonarQube tekortschiet
- Het gratis abonnement stopt bij 50,000 regels privécode
- AI-review en CodeFix lopen via taalmodellen van derden
- Het analyseert en beoordeelt, het schrijft geen code
- De volledige enterprisefunctieset vereist een betaald abonnement
Opvallende functie. SonarQube laat je een open-source analysemotor op je eigen servers draaien, een optie die geen van de andere items hier biedt.
Israël, Israël
Geen openbare prijslijst gevonden; de aankoop begint met een demo
Het meest geschikt voor: Beveiligingsteams die één risicokaart willen over repositories, pipelines en AI-codeertools
Legit Security begint bij posture in plaats van bij scannen: een gecombineerd beeld van repositories, buildsystemen en deployments, met eigen scanners voor SAST, SCA en secrets erbovenop, en reachability-analyse om het aantal meldingen te verminderen. VibeGuard wordt omschreven als endpointbeveiliging voor door AI gegenereerde code, en hersteladviezen gaan naar Cursor, Claude Code en GitHub Copilot.
Legit Security Ltd. wordt genoemd in de website-voorwaarden, die Israëlisch recht toepassen. Die voorwaarden zijn de enige juridische tekst die we lazen, dus de entiteit op een bestelformulier blijft onbevestigd. Op de bekeken pagina's staan geen prijs, geen datalocatie en geen oprichtingsjaar, en de onboarding is gericht op grote organisaties. Het bedrijf publiceert Legitify als open source, zodat engineers de aanpak kunnen inspecteren voordat ze een demo boeken.
Wat Legit Security goed doet
- Een posture-weergave over repositories, pipelines en deployments
- Reachability-analyse die het aantal meldingen moet verminderen
- Guardrails gericht op AI-codeertools
- Legitify wordt gepubliceerd als open-source project
Waar Legit Security tekortschiet
- Of de entiteit op het bestelformulier hetzelfde bedrijf is, is niet bevestigd
- Geen openbare prijzen
- Geen datalocatie vermeld
- De onboarding is gericht op grote organisaties
Opvallende functie. Legit Security past guardrails toe op AI-codeeragents zoals Cursor en GitHub Copilot.
Givatayim, Israël
Alleen bovengrenzen: Mend AppSec tot $1000 per developer per jaar, Mend AI tot $300, Renovate Enterprise tot $250
Het meest geschikt voor: Bedrijven met veel open-source gebruik die risico's in afhankelijkheden en automatische updates van één leverancier willen
Mend.io draait om afhankelijkheden. De SCA prioriteert op basis van reachability, EPSS en CVSS 4.0, SAST en containerscans delen het AppSec-product, en Mend Renovate opent de updates van afhankelijkheden die de gevonden problemen oplossen. Mend AI, apart verkocht, voegt een AI-stuklijst (AI bill of materials) en het ontdekken van shadow AI toe. Integraties omvatten GitHub, GitLab, Bitbucket en Azure DevOps.
Klanten buiten de Verenigde Staten en Canada sluiten een contract met White Source Ltd. in Givatayim onder Engels recht, terwijl Amerikaanse en Canadese entiteiten een contract sluiten met WhiteSource Software, Inc. Het privacybeleid zegt dat hosting in de VS of de EU is en dat data mogelijk wordt verwerkt in de VS, Israël en het VK. Prijzen verschijnen alleen als plafond: tot $1000 per developer per jaar voor AppSec, $300 voor Mend AI en $250 voor Renovate Enterprise.
Wat Mend.io goed doet
- Afhankelijkheidsscans gaan samen met Renovate-updateautomatisering
- Bevindingen gerangschikt op reachability
- Klanten kiezen hosting in de VS of de EU
- Klanten buiten Noord-Amerika tekenen bij een Israëlisch bedrijf
- Werkt met GitHub, GitLab, Bitbucket en Azure DevOps
Waar Mend.io tekortschiet
- Prijzen worden alleen als maximum genoemd
- Amerikaanse en Canadese kopers tekenen bij een Amerikaanse dochteronderneming
- Verwerking kan in meerdere landen plaatsvinden
- Het AI-product wordt apart geprijsd
Opvallende functie. Mend.io combineert een afhankelijkheidsscanner met Renovate, dus dezelfde leverancier die een kwetsbaar pakket meldt, stelt ook de update voor.
Israël, Israël
Individueel geoffreerd
Het meest geschikt voor: Teams voor applicatiebeveiliging die context over coderisico's willen, los van cloud posture-tooling
Cycode koppelt resultaten van SAST-, SCA-, secrets-, infrastructure-as-code-, container- en CI/CD-scans via een contextgraaf die naar codeeigenaren wijst, en het genereert SBOM- en AI-BOM-documenten. AI-agents analyseren de exploiteerbaarheid en openen pull requests met fixes, en het product houdt toezicht op AI-codeertools en MCP-servers. Snellere fixes en minder valse positieven zijn resultaten van de leverancier.
De website-voorwaarden noemen Cycode Ltd., een Israëlisch bedrijf. Een aparte EU-login op app.eu.cycode.com beantwoordt een deel van de vraag naar datalocatie, al wordt de regio verder niet vermeld. De openbare pagina's tonen geen scan van cloudaccounts en geen runtime-sensor, de prijs is op offertebasis, en de analistenrankings op de homepage zijn niet gecontroleerd. Elk repositorysysteem moet tijdens de uitrol worden gekoppeld.
Wat Cycode goed doet
- Scans omvatten code, pakketten, secrets en pipelines
- Een contextgraaf koppelt bevindingen aan eigenaren
- Agents stellen fixes voor als pull requests
- Governance voor AI-codeertools
- De website-voorwaarden noemen een Israëlische entiteit
Waar Cycode tekortschiet
- Geen module voor cloud posture
- Prijzen zijn niet openbaar
- Ranglijsten komen van de leverancier
- Repositoryintegraties kosten tijd om in te stellen
Opvallende functie. Cycode draait een aparte EU-tenant, wat kopers een vastgelegd antwoord geeft op de vraag naar datalocatie.
Parijs, Frankrijk
Opgericht in 2017
Gratis variant voor kleine teams; Business-abonnement gefactureerd per actieve gebruikersplaats; Enterprise op offertebasis
Het meest geschikt voor: Teams wier grootste zorg is dat credentials lekken via git-historie, CI-logs en chat
GitGuardian richt zich op één signaal: gelekte secrets. Het scant git-historie, CI-logs en chattools, en de Non-Human Identity-governance dekt langlevende API-sleutels en tokens. Het werkt met elke forge in plaats van met één platform, en het meldt wat er is gelekt zonder de werkende secrets op te slaan of te beheren, dus een secretsmanager blijft nodig.
GitGuardian SAS in Parijs is actief sinds 2017. Er is een gratis abonnement voor kleine teams, het Business-abonnement wordt per actieve gebruikersplaats gefactureerd (iemand die in de laatste 90 dagen heeft gecommit), en Enterprise gaat op offertebasis. Het Growth-abonnement noemt hosting in de VS en de EU, en Enterprise kan zelf worden beheerd. Een Amerikaanse gelieerde onderneming, GitGuardian Inc., is gezamenlijk verwerkingsverantwoordelijke voor Amerikaanse klanten, en de prijs van Business is niet gepubliceerd.
Wat GitGuardian goed doet
- Zoekt naar secrets in git-historie, CI-output en chattools
- Kleine teams kunnen op het gratis abonnement draaien
- Het aantal gebruikersplaatsen volgt developers met een commit in de laatste 90 dagen
- Beheert niet-menselijke identiteiten zoals langlevende sleutels en tokens
- Niet gebonden aan één code host
Waar GitGuardian tekortschiet
- Meldt alleen lekken, bewaart geen secrets voor je
- Het Business-niveau toont "per seat" en geen bedrag
- Voor Amerikaanse klanten is een Amerikaanse gelieerde onderneming gezamenlijk verwerkingsverantwoordelijke
- Een extra abonnement naast de code host
Opvallende functie. GitGuardian rekent een gebruikersplaats alleen voor developers die in de laatste 90 dagen hebben gecommit, dus inactieve accounts kosten niets.
Frankrijk
Geen bedragen op de prijspagina; elke route eindigt met een demoboeking
Het meest geschikt voor: Organisaties met veel API's, waar fouten in de bedrijfslogica zwaarder wegen dan bekende CVE's
Escape test draaiende applicaties in plaats van broncode. De AI-engine zoekt naar gebrekkige autorisatie en andere fouten in de bedrijfslogica van API's, het soort bug dat geen CVE-lijst beschrijft. Het bedrijf heeft het uitgebreid met AI-pentesting, met een herteststap en attack surface management. Wij beweren geen SAST of SCA voor dit product.
Escape Technologies SAS is een Frans bedrijf. Het privacybeleid noemt Frankrijk, al is het opgegeven straatadres onvolledig, dus inkoop moet om het volledige statutaire adres vragen. De prijspagina toont geen bedragen en elke route eindigt met een demoboeking. Interne netwerken vallen buiten het bereik, wat beter past bij cloud-native stacks die om API's zijn gebouwd dan bij een verouderd landschap.
Wat Escape goed doet
- Dynamische tests die de bedrijfslogica begrijpen
- Scans beginnen bij de API-definitie
- Externe pentests met een herteststap
- Frans bedrijf onder EU-recht
Waar Escape tekortschiet
- Geen bedragen op de prijspagina
- Het adres in het privacybeleid is onvolledig
- Interne netwerken worden niet gescand
- Aankoop begint met een demoboeking
Opvallende functie. Escape richt zijn tests op fouten in de bedrijfslogica van API's, waar op handtekeningen gebaseerde scanners niets vinden.
Stockholm, Zweden
Opgericht in 2013
Per jaar: Starter gratis (5 gebruikers, 100 assets), Standard €2,500, Professional €5,000, Enterprise €15,000
Het meest geschikt voor: Beveiligingsteams die doorlopend extern testen van webapplicaties, API's en blootgestelde assets willen
Detectify scant webapplicaties, REST- en GraphQL-API's (vanaf het Standard-niveau) en het externe aanvalsoppervlak, met payloads van meer dan 400 ethische hackers. CI/CD-integratie begint bij Professional, zodat scans binnen een deploymentpipeline kunnen draaien. Het meldt kwetsbaarheden; het is geen WAF en geen CDN, en het leest geen broncode.
Detectify AB in Stockholm is actief sinds 2013 en meldt ISO 27001- en AVG-conformiteit. Prijzen per jaar zijn openbaar: Starter is gratis voor 5 gebruikers en 100 assets, Standard kost €2,500 met een maximum van 750 assets en 10 gebruikers, Professional €5,000, en Enterprise €15,000 voor een onbeperkt aantal gebruikers en assets. De sprong naar Enterprise is groot, en betaalde niveaus krijgen op maat gemaakte proefperiodes.
Wat Detectify goed doet
- Bewaking van het aanvalsoppervlak en applicatiescans in één product
- Testpayloads bijgedragen door 400+ ethische hackers
- Scant REST- en GraphQL-interfaces
- Een openbare jaarprijslijst die gratis begint en eindigt op €15,000
- Bedrijf uit Stockholm, dus Zweeds recht en EU-recht
Waar Detectify tekortschiet
- Meldt zwakke plekken maar blokkeert niets, dus het vervangt geen WAF of CDN
- Het Standard-abonnement staat maximaal 750 assets en 10 gebruikers toe
- Pipelineintegratie vereist Professional of hoger
- Enterprise kost €15,000 per jaar, een grote sprong
Opvallende functie. Detectify publiceert op elk niveau een vaste jaarprijs, wat bijna geen enkele leverancier van applicatiebeveiliging doet.
