Europese bug bounty-platforms

#1 YesWeHack

Parijs, Frankrijk Opgericht in 2015 Prijs op aanvraag; de website van de leverancier publiceert geen prijslijst Demo op aanvraag

Het meest geschikt voor: Beveiligingsteams die een beheerde bounty willen met triage in eigen huis en hosting alleen in de EU

• Exploiterend bedrijf. Yes We Hack S.A.S.
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Alleen in de EU, in een SecNumCloud-gekwalificeerde private cloud (volgens de vertrouwenspagina van de leverancier)
• Broncode. Closed source
• Vervangt. HackerOne, Bugcrowd

YesWeHack draait zijn platform vanuit Parijs en contracteert via Yes We Hack S.A.S., opgericht in 2015, dus een klant tekent bij een Franse société par actions simplifiée. De leverancier zegt dat de gemeenschap meer dan 160,000 ethische hackers telt en dat binnenkomende rapporten door eigen medewerkers worden beoordeeld: zij verwijderen dubbele meldingen, reproduceren het proof of concept en bepalen de ernst. Een customer success-team helpt bij het opzetten van het eerste programma: privé of publiek, budget, beloningsschema en latere wijzigingen in de scope.

De vertrouwenspagina meldt hosting in een SecNumCloud-gekwalificeerde private cloud met uitsluitend Europese providers, en er worden ISO 27001- en ISO 27017-certificaten vermeld. Klanten kunnen tweefactorauthenticatie afdwingen, SAML 2.0 single sign-on koppelen en het verkeer van onderzoekers via een VPN met vast IP-adres laten lopen. Prijzen worden niet gepubliceerd, het beheerde model is zwaarder dan een klein team nodig heeft, en de leverancier heeft ook kantoren in Singapore, dus controleer welke entiteit het bestelformulier ondertekent.

Opvallende functie. Het is het enige platform in deze lijst dat alleen EU-hosting in een SecNumCloud-gekwalificeerde omgeving noemt en dat combineert met triage door eigen medewerkers.

#2 Intigriti

Antwerpen, België Opgericht in 2016 Abonnementen genaamd Core, Premium en Enterprise; prijzen op aanvraag Demo op aanvraag

Het meest geschikt voor: Bedrijven die een bounty en een pentest-as-a-service-optie willen van één Belgische leverancier

• Exploiterend bedrijf. Intigriti NV
• Jurisdictie. EU (België)
• Waar de gegevens staan. Niet vermeld op de bekeken pagina's; opgeslagen gegevens zijn versleuteld op applicatieniveau
• Broncode. Closed source
• Vervangt. HackerOne, Bugcrowd

Intigriti is het platform uit Antwerpen dat wordt geëxploiteerd door Intigriti NV. Het bedrijf staat op de bedrijfsinformatiepagina met het adres Klokstraat 16, en de pagina Over ons zegt dat het in 2016 is opgericht. De leverancier meldt meer dan 100 medewerkers in België, het Verenigd Koninkrijk, de Verenigde Staten, Nederland en Zuid-Afrika, en een Series B-ronde van EUR 21 miljoen in 2022. Een eigen team beoordeelt binnenkomende rapporten, en de platformpagina's noemen toegang tot meer dan 150,000 onafhankelijke onderzoekers.

Naast de bounty verkoopt Intigriti beheerde vulnerability disclosure en pentest-as-a-service in de typen Focused, Comprehensive en Certified, plus live hacking-evenementen en programma's die rond AI-functies zijn afgebakend. De abonnementen heten Core, Premium en Enterprise, met prijzen op aanvraag. De bekeken pagina's noemen geen hostinglocatie, al legt een gepubliceerd bericht uit dat opgeslagen gegevens op applicatieniveau worden versleuteld, en de productpagina's markeren de pentestdienst en CrowdRecon als beta.

Opvallende functie. Het Certified-pentesttype richt zich binnen hetzelfde contract als de bounty op gereguleerde kopers, iets wat geen ander crowdplatform in deze lijst biedt.

#3 Yogosha

Parijs, Frankrijk Opgericht in 2015 Prijs op aanvraag; PtaaS wordt beschreven als vaste kosten, bounty als betaling per geldige kwetsbaarheid Demo op aanvraag

Het meest geschikt voor: Teams die een gesloten, gescreende onderzoekerspool willen voor pentests en private bounties

• Exploiterend bedrijf. Yogosha (S.A.S. Yogosha by Creative, volgens de websitevoorwaarden)
• Jurisdictie. EU (Frankrijk)
• Waar de data staan. Niet vermeld op de gecontroleerde pagina's
• Broncode. Closed source
• Vervangt. HackerOne, Bugcrowd

Yogosha is een offensief securityplatform uit Parijs, opgericht in 2015, dat volgens de websitevoorwaarden opereert als S.A.S. Yogosha by Creative. De onderzoekspool heet de Strike Force. Volgens de leverancier wordt slechts 10 procent van de aanmelders geaccepteerd na een technische en schriftelijke test, met ID-controles en een geheimhoudingsverklaring voor leden. De site noemt 1,100 of meer onderzoekers voor pentests en meer dan 800 in de private bountygemeenschap.

De prijslogica verschilt per product: pentest-as-a-service wordt beschreven als vaste kosten voor een klein team op een afgebakend asset, terwijl de bounty per geldige kwetsbaarheid betaalt. Speciale operaties omvatten red teaming, hardwarepentesten en social engineering, en de homepage promoot audits van LLM-systemen. Prijzen en hostinglocatie staan niet vermeld op de bekeken pagina's, en de pool is bewust kleiner dan een open gemeenschap.

Opvallende functie. Aansluiten bij de onderzoekerspool vraagt om een test, een identiteitscontrole en een geheimhoudingsverklaring, en de leverancier zegt dat negen op de tien aanmelders worden afgewezen.

#4 Detectify

Stockholm, Zweden Opgericht in 2013 Starter gratis (tot 5 gebruikers, 100 assets) / Standard €2,500 / Professional €5,000 / Enterprise €15,000 per jaar Demo op aanvraag

Het meest geschikt voor: Beveiligingsteams die continue externe scans van hun webassets willen en een prijslijst waarmee ze kunnen budgetteren

• Exploiterend bedrijf. Detectify AB
• Jurisdictie. EU (Zweden)
• Broncode. Closed source
• Vervangt. Tenable, Qualys, Invicti

Detectify is een bedrijf uit Stockholm, Detectify AB, opgericht in 2013, dat beheer van het externe aanvalsoppervlak combineert met dynamische applicatiebeveiligingstests. Het brengt in kaart wat een organisatie aan het internet blootstelt en test daarna elk asset, met payloads deels uit eigen onderzoek en deels uit Crowdsource, een netwerk van meer dan 400 ethische hackers. De dekking reikt vanaf het Standard-niveau tot REST- en GraphQL-API's.

De prijzen zijn openbaar: een gratis Starter-variant voor vijf gebruikers en 100 assets, Standard voor EUR 2,500, Professional voor EUR 5,000 en Enterprise voor EUR 15,000 per jaar. Standard is beperkt tot 750 assets en 10 gebruikers, en CI/CD-integratie begint bij Professional. Het is een scanner, geen WAF of CDN, dus het meldt blootstelling en blokkeert niets, en er leest geen mens je applicatie op de manier waarop een bounty-onderzoeker dat doet.

Opvallende functie. Het is het enige tool hier met een gratis variant en een volledige prijslijst tot en met het enterprise-niveau.

#5 Pentest-Tools.com

Boekarest, Roemenië Opgericht in 2017 Vanaf $96/maand (NetScan), $140/maand (AppScan), $190/maand (Exploit), op basis van het aantal assets Demo op aanvraag

Het meest geschikt voor: Pentesters en beveiligingsteams die zelf tests uitvoeren en bewijs en rapporten willen

• Exploiterend bedrijf. PENTESTTOOLS S.A.
• Jurisdictie. EU (Roemenië)
• Waar de data staan. Niet vermeld op de gecontroleerde pagina's
• Broncode. Closed source
• Vervangt. Zelf uitgevoerde tests; vult HackerOne en Bugcrowd aan

Pentest-Tools.com is een toolkit van PENTESTTOOLS S.A. uit Boekarest, volgens de pagina Over ons daar gevestigd sinds 2017. Het bedrijf zegt meer dan 2,100 klanten te hebben in 119 of meer landen. Je koopt scanners en exploiters en voert de tests zelf uit, dus er is geen onderzoekersgemeenschap en geen triage van externe rapporten.

De abonnementen worden geprijsd op basis van het aantal assets: NetScan vanaf $96 per maand voor 16 assets, AppScan vanaf $140 voor 5 assets en Exploit vanaf $190 voor 5 assets, met jaarlijkse facturatie tegen de prijs van tien maanden. Alle abonnementen bevatten API-toegang, onbeperkt opnieuw scannen, teamtoegang en integraties, en Exploit voegt import van Burp Suite-bevindingen toe. De rapportgenerator is een add-on, prijzen zijn in Amerikaanse dollars, en AI-pentests en de MCP-server worden op de site als nieuw aangeduid.

Opvallende functie. Elk abonnement bevat onbeperkt opnieuw scannen en een API, waarbij de prijs wordt bepaald door het aantal assets dat je scant.

#6 Zerocopter

Groningen, Nederland Prijzen op aanvraag Demo op aanvraag

Het meest geschikt voor: Nederlandse en Benelux-organisaties die bounty, pentest en CVD van één lokale leverancier willen

• Exploiterend bedrijf. Zerocopter B.V.
• Jurisdictie. EU (Nederland)
• Waar de data staan. Niet vermeld op de gecontroleerde pagina's
• Broncode. Closed source
• Vervangt. HackerOne, Bugcrowd

Zerocopter is een Nederlands securitybedrijf dat vier programma's samen aanbiedt: een gecoördineerd beleid voor kwetsbaarheidsmeldingen (CVD), recon voor nieuwe en vergeten systemen, pentests met een formeel rapport, en een bug bounty met gescreende hackers. De algemene voorwaarden noemen Zerocopter B.V. als contracterende partij en definiëren onderzoekers als externe leveranciers, zodat de klant nooit rechtstreeks met een individuele hacker contracteert.

De juridische documenten zijn openbaar: algemene voorwaarden (versie van 19 juli 2024), een privacy- en cookieverklaring, een meldingsbeleid en een gedragscode voor onderzoekers. De twee juridische pagina's noemen verschillende steden, Amsterdam en Groningen, dus controleer het adres in het bestelformulier. Op de bekeken pagina's staan geen prijzen, aantallen onderzoekers, oprichtingsjaar of hostinglocatie, en delen van de site zijn in het Nederlands.

Opvallende functie. Het presenteert het aanbod als een ladder van een meldingsbeleid tot een bounty, zodat een koper die voor het eerst inkoopt klein kan beginnen onder één Nederlands contract.

#7 SignalFisher

Luzern, Zwitserland Prijzen op aanvraag Demo op aanvraag

Het meest geschikt voor: Zwitserse en DACH-bedrijven in gereguleerde sectoren die jaarlijkse pentests vervangen door een continu programma

• Exploiterend bedrijf. SignalFisher AG
• Jurisdictie. Zwitserland (adequaatheidsbesluit, buiten de EER)
• Waar de data staan. Niet vermeld op de gecontroleerde pagina's
• Broncode. Closed source
• Vervangt. HackerOne, Bugcrowd

SignalFisher is de nieuwe naam van Bug Bounty Switzerland, zoals een banner op de site laat zien. Het impressum noemt SignalFisher AG aan de Morgartenstrasse 3 in Luzern met registernummer CHE-218.065.572. Het bedrijf zegt dat zijn wortels teruggaan tot 2015. De pagina Over ons noemt de drie medeoprichters en vermeldt Direttissima Growth Partners en Deutsche Beteiligungs AG als groeipartners, de enige bron die we voor het eigendom hebben gecontroleerd.

Het programma loopt in drie stappen: scoping op basis van bedrijfscontext en regelgeving, testen door gescreende onderzoekers tegen het externe aanvalsoppervlak, en interpretatie met rapporten, trendanalyses en aanbevolen acties. De site citeert de CISO van Helvetia Baloise Group over een partnerschap sinds 2021 en toont Swiss Post en Stadler als klanten. Prijzen, hosting en aantallen onderzoekers worden niet gepubliceerd, en je stelt het beloningsschema niet zelf vast.

Opvallende functie. Het verkoopt scoping en interpretatie van de resultaten als onderdeel van het programma, terwijl een klassiek bounty-platform beide aan de koper overlaat.

#8 Ethiack

Coimbra, Portugal Prijzen op aanvraag Demo op aanvraag

Het meest geschikt voor: Teams die continue geautomatiseerde pentests met proof-of-exploit willen in plaats van een jaarlijkse momentopname

• Exploiterend bedrijf. Ethiack, S.A.
• Rechtsgebied. EU (Portugal)
• Waar de data staan. Niet vermeld op de gecontroleerde pagina's
• Broncode. Closed source
• Vervangt. HackerOne, Bugcrowd, pentests op een vast moment

Ethiack is een testengine uit Coimbra, Portugal, geëxploiteerd door Ethiack, S.A. onder registratienummer 516856146. De agentische AI-pentester, Hackian genoemd, vervangt geplande tests door autonome tests die volgens de leverancier starten bij code-pushes, wijzigingen in de infrastructuur en nieuwe kennis. Het brengt interne, externe en assets van derden in kaart en noemt rapporten voor NIS2, DORA, SOC 2, ISO 27001 en PCI.

Bevindingen worden beschreven als gevalideerd op uitbuitbaarheid en komen met een proof of exploit en herstelrichtlijnen. Casestudy's noemen ANA Aeroportos, Bluepharma en Universidade do Porto; de genoemde cijfers, zoals een rendement van 650 procent, zijn claims van de leverancier. Er is geen onderzoekersgemeenschap of beloningsschema, geen gepubliceerde prijs, geen vermelde hostinglocatie, en de privacypagina die we hebben gecontroleerd dateert uit 2022.

Opvallende functie. Bij elke bevestigde bevinding hoort een proof of exploit, zodat een mens het niet eerst hoeft te reproduceren voordat het ticket wordt geopend.

#9 Securitum

Krakau, Polen Opgericht in 2009 Op nacalculatie (time and materials) EUR 640 tot 890 per persoonsdag; vaste projecten doorgaans EUR 3,500 tot 14,000 (prijspagina van de leverancier) Demo op aanvraag

Het meest geschikt voor: Teams die een handmatige pentest met een transparante prijsrange willen

• Exploiterend bedrijf. Securitum Audyty Sp. z o.o.
• Jurisdictie. EU (Polen)
• Waar de data staan. Niet vermeld op de gecontroleerde pagina's
• Broncode. Closed source
• Vervangt. HackerOne, Bugcrowd, pentest-as-a-service

Securitum is een pentestbedrijf uit Krakau, Securitum Audyty Sp. z o.o. Op de pagina Over ons staat 2009 als oprichtingsjaar en bijna 2,000 pentests in de afgelopen drie jaar. Het bedrijf biedt web-, mobiele, infrastructuur- en cloudpentests, red teaming, source code-reviews, configuratieanalyses, OSINT, implementatie van SSDLC en trainingen, en publiceert voorbeeldrapporten.

De prijspagina is de meest open in deze lijst: EUR 640 tot 890 per persoonsdag op nacalculatie, en EUR 3,500 tot 14,000 voor typische vaste projecten van één tot vier weken. Dit zijn bandbreedtes, geen offertes, en het werk is een momentopname door het eigen team van Securitum. Er is geen beloningspool of onderzoekersgemeenschap, en het bedrijf zegt zich te richten op Centraal- en Oost-Europa.

Opvallende functie. Het publiceert dagtarieven en projectbandbreedtes in euro's, iets wat vrijwel geen andere leverancier in deze categorie doet.

#10 Patchstack

Pärnu, Estland Zie website; aparte prijspagina voor mitigatie Demo op aanvraag

Het meest geschikt voor: Leveranciers van WordPress-plugins en -thema's die een beheerd meldkanaal nodig hebben

• Exploiterend bedrijf. Patchstack OÜ
• Jurisdictie. EU (Estland)
• Waar de data staan. Niet vermeld op de gecontroleerde pagina's
• Broncode. Closed source
• Vervangt. HackerOne VDP, Bugcrowd VDP (voor het WordPress-ecosysteem)

Patchstack is een Estlands bedrijf, Patchstack OÜ (registratiecode 14331217), gevestigd in Pärnu. De voorwaarden passen Estlands recht toe op klanten buiten Amerika en Delaware-recht op klanten die in Noord-, Midden- of Zuid-Amerika zijn gevestigd. Het bereik is smal: kwetsbaarheden in WordPress en het bredere open-sourceecosysteem, niet het eigen webbestand van een bedrijf.

De bounty-pagina vermeldt een gegarandeerde maandelijkse pool van USD 10,000 en zero-day-uitbetalingen tot USD 33,000, betaald via PayPal, Bitcoin of Ethereum. Onderzoekers melden via Patchstack, dat de CVE op naam van de onderzoeker toekent. Het beheerde meldproduct neemt de afhandeling van rapporten over voor onderhouders, en de site zegt dat het de beveiliging van 1,134 plugins beheert. De bekeken pagina's geven geen hostinglocatie.

Opvallende functie. Het kent de CVE toe op naam van de onderzoeker en beheert een openbare kwetsbaarhedendatabase voor het WordPress-ecosysteem.

#11 Vaadata

Lyon, Frankrijk Opgericht in 2014 Offerte op aanvraag Demo op aanvraag

Het meest geschikt voor: Franse en Europese teams die een door mensen geleide pentest of red team willen van een Franse SARL

• Exploiterend bedrijf. VAADATA SARL
• Jurisdictie. EU (Frankrijk)
• Waar de data staan. Niet vermeld op de gecontroleerde pagina's
• Broncode. Closed source
• Vervangt. HackerOne, Bugcrowd, pentest-as-a-service

Vaadata is een offensief securitybedrijf uit Lyon, VAADATA SARL, ingeschreven onder RCS 797 558 590, dat zegt in 2014 te zijn opgericht en financieel onafhankelijk te zijn. Het bedrijf claimt meer dan 800 klanten. De tests verlopen als black-, grey- of white-box en bestrijken web, mobiel, cloud, infrastructuur, IoT, social engineering en LLM-systemen, waaronder RAG, agents en MCP-servers.

Red team-audits toetsen detectie en reactie aan realistische aanvalsscenario's, en assumed breach-oefeningen starten vanuit een inbreuk. Er is geen bounty, geen onderzoekersgemeenschap en geen gepubliceerde prijs, alleen een offerteaanvraag. De juridische kennisgevingen vermelden dat de marketingwebsite wordt gehost door Kinsta Inc. in de Verenigde Staten. Dat betreft de website, niet de opdrachtgegevens, maar het is het waard om dit tijdens de inkoop te vragen.

Opvallende functie. Het vermeldt een speciale LLM-pentest voor RAG, agents en MCP-servers als eigen dienst naast de klassieke scopes.