Europese penetratietest- en PTaaS-tools

#1 Pentest-Tools.com

Boekarest, Roemenië Opgericht in 2017 Drie abonnementen schalen mee met het aantal assets: NetScan voor $96 per maand, AppScan voor $140 per maand, Exploit voor $190 per maand Demo op aanvraag

Het meest geschikt voor: Interne testers die een toolbox willen, plus kant-en-klaar bewijs en rapportage

• Exploiterend bedrijf. PENTESTTOOLS S.A.
• Jurisdictie. EU (Roemenië)
• Waar de gegevens staan. Geen hostingregio vermeld op de pagina's die we lazen
• Broncode. Closed source
• Vervangt. Interne tests door je eigen personeel; staat naast HackerOne en Bugcrowd

Van de tien laat Pentest-Tools.com het meeste aan jou over: Boekarest levert scanners, exploiters en een rapportgenerator, en je eigen personeel voert de tests uit. De prijzen beginnen bij $96 per maand voor NetScan (16 assets), $140 voor AppScan (5 assets) en $190 voor Exploit (5 assets); bij jaarbetaling betaal je tien maanden. API-toegang, onbeperkt opnieuw scannen, gebruikersplaatsen voor het team en integraties zitten in elk abonnement.

De leverancier is PENTESTTOOLS S.A., een Roemeense naamloze vennootschap die sinds 2017 vanuit Boekarest opereert. Op de pagina Over ons staan 2,100 klanten in minstens 119 landen; dat hebben we niet kunnen verifiëren.

Technisch dekt AppScan geauthenticeerde DAST en REST- en GraphQL-API's, terwijl Exploit een automatische CVE-exploiter toevoegt, plus SQL-injectie- en XSS-exploiters; Burp Suite-bevindingen kun je importeren. Houd rekening met de dollarprijzen, de rapportage-add-on (export naar Word of Google Docs) en beheerde pentests die op basis van een schatting worden geprijsd.

Opvallende functie. De prijslijst is de enige in deze categorie die is opgebouwd rond hoeveel assets je hebt, niet rond een test of offerte.

#2 Hadrian

Nederland Atlas wordt geoffreerd op basis van het totale aantal assets; een Nova-pentest begint bij EUR 1,250 per test, excl. btw Demo op aanvraag

Het meest geschikt voor: Securitygroepen die moe zijn van scanneroutput en bevestigde, uitbuitbare problemen verkiezen

• Exploiterend bedrijf. Hadrian Security B.V.
• Jurisdictie. EU (Nederland)
• Waar de gegevens staan. De hostingregio staat niet vermeld op de pagina's die we lazen
• Broncode. Closed source
• Vervangt. Bitsight, SecurityScorecard

Twee producten komen van deze Nederlandse leverancier. Atlas brengt het externe attack surface continu in kaart en valideert het, en Nova zet AI-agents in om op verzoek een pentest uit te voeren. Volgens Hadrian gaat er alleen een melding af voor gevalideerde blootstellingen, waardoor het securityteam minder meldingen krijgt en meer bewezen problemen. Atlas-add-ons dekken beoordelingen bij fusies en overnames en detectie van gelekte inloggegevens door infostealers.

Je contracteert met Hadrian Security B.V., een Nederlandse B.V. Eén Nova-run begint bij EUR 1,250 excl. btw, met lagere tarieven in bundels, en de rapporten zouden aansluiten op SOC 2, ISO 27001 en NIS2. Een gratis externe scan is de instap. Lees het bestelformulier goed: in de algemene voorwaarden kan Engels of New Yorks recht worden gekozen. Atlas wordt geoffreerd op basis van het aantal assets, en het beoordelen van leveranciers laat Hadrian aan andere producten over.

Opvallende functie. Een melding verschijnt pas als een blootstelling is gevalideerd, waardoor de output een beknopte lijst met bewezen problemen wordt in plaats van een ruwe scandump.

#3 Intruder

Londen, Engeland, Verenigd Koninkrijk Er is een gratis abonnement; Cloud, Pro en Enterprise koop je via offerte of checkout; een AI-pentest begint bij USD 3,500 per test Demo op aanvraag

Het meest geschikt voor: Kleine securityteams die constant en met weinig inspanning hun internetgerichte attack surface willen bewaken

• Exploiterend bedrijf. Intruder Systems Ltd, geregistreerd onder 09529593
• Rechtsgebied. Verenigd Koninkrijk (gedekt door een EU-adequaatheidsbesluit, geen EER-lid)
• Waar de gegevens staan. Niet gecontroleerd
• Broncode. Closed source
• Vervangt. Bitsight, Tenable

Eén abonnement bij deze Londense leverancier bundelt monitoring van blootstelling, kwetsbaarheidsbeheer, cloudcontroles en pentests, die AI-gestuurd zijn en beginnen bij $3,500. Wijzigingsdetectie start een scan zodra een poort opengaat of een cloudservice opduikt. Enterprise voegt shadow IT-detectie en monitoring van alle poorten toe. De homepage stelt dat meer dan 3,000 bedrijven het gebruiken, een cijfer dat we niet hebben gecontroleerd.

Je wederpartij is een Britse limited company, nummer 09529593 volgens de voettekst; Brits recht is van toepassing, ondersteund door het EU-adequaatheidsbesluit. Er zijn vier abonnementsniveaus. Het gratis niveau biedt wekelijkse externe scans, één cloudaccount, twee containerimages en drie gebruikers. Cloud biedt een proefperiode van 14 dagen, en Pro en Enterprise zijn op offerte. We konden de betaalde bedragen niet lezen, gratis scannen dekt alleen poorten 80 en 443, en interne scans vereisen agents.

Opvallende functie. Zodra een poort opengaat of een cloudservice verschijnt, wordt die gescand, en met een gratis abonnement begin je zonder kosten.

#4 Edgescan

Dublin, Ierland Opgericht in 2017 Geen prijzen op de pagina's die we lazen; vraag ze via de website op Demo op aanvraag

Het meest geschikt voor: Kopers die van automatisering houden maar willen dat een specialist elk resultaat bevestigt

• Exploiterend bedrijf. BCC Risk Advisory Limited, opererend als Edgescan onder bedrijfsnummer 497804
• Jurisdictie. EU (Ierland)
• Waar de gegevens staan. De pagina's die we lazen noemen geen hostingregio
• Broncode. Closed source
• Vervangt. Bitsight, Tenable

In Dublin startte Eoin Keary Edgescan in 2017. Eén abonnement omvat tests voor web, API, netwerk en mobiel, plus een module voor het attack surface. Kwetsbaarheidsinformatie wordt gecombineerd met menselijke begeleiding en verificatie, bedoeld om valse positieven weg te halen voordat ze de klant bereiken, en pentest as a service wordt aangeboden bovenop de geautomatiseerde basis.

De website wordt beheerd door BCC Risk Advisory Limited, een Ierse vennootschap met nummer 497804 die de handelsnaam Edgescan gebruikt, met personeel in Dublin en New York. Dat beleid geldt alleen voor de website. We hebben niet gecontroleerd welke entiteit een dienstencontract ondertekent, dus vraag ernaar. Er werd geen prijs getoond, vandaar een offerteaanvraag, en doordat een persoon de resultaten verifieert, duurt het langer dan bij een volledig geautomatiseerde scanner.

Opvallende functie. Voordat bevindingen binnenkomen, beoordeelt een mens ze; dat is het antwoord van de leverancier op valse positieven.

#5 Aikido Security

Gent, België Opgericht in 2022 Gratis Developer-niveau voor 2 gebruikers; Basic kost $300 per maand en Pro $600 per maand, elk met 10 gebruikers; Enterprise op offerte; belasting komt er nog bij Gratis abonnement, geen creditcard

Het meest geschikt voor: Engineeringteams die één product zoeken voor repositories, packages, images en cloudinstellingen

• Exploiterend bedrijf. Aikido Security BV, BE0792914919
• Jurisdictie. EU (België)
• Waar de gegevens staan. Het privacybeleid plaatst het bedrijf aan de Coupure Rechts 88 in Gent, België; verdere kantoren zijn in de Verenigde Staten en het Verenigd Koninkrijk
• Broncode. Closed source
• Vervangt. Snyk, Qualys, Tenable

Aikido Security in Gent begon als beveiligingsplatform voor ontwikkelaars en verkoopt nu AI-pentests die volgens de leverancier op dezelfde dag zijn afgerond. De tests draaien in whitebox-, greybox- of blackbox-modus, voegen bewijs van exploitatie toe aan bevindingen en leveren rapporten die gericht zijn op SOC 2 en ISO 27001. Een test kan pauzeren zodat een persoon een mogelijke escalatie kan beoordelen, zodat de agent geen risicovolle stap zonder toezicht zet.

De contractpartij is Aikido Security BV (Belgisch btw-nummer BE0792914919), opgericht in 2022 in Gent, met ook kantoren in de VS en het Verenigd Koninkrijk. De pentest wordt omringd door scanners voor afhankelijkheden, secrets, code, containers, cloudinstellingen en infrastructure as code. Gepubliceerde niveaus kosten $300 en $600 per maand, elk met tien gebruikers, plus een gratis abonnement voor twee gebruikers. De kosten van een pentest zijn niet bevestigd, en het product scant geen netwerken of hosts.

Opvallende functie. Eén leverancier controleert je repositories en containers en test ook de live-applicatie, en pauzeert voor een persoon wanneer een escalatie beoordeeld moet worden.

#6 Ethiack

Coimbra, Portugal Prijzen op aanvraag Demo op aanvraag

Het meest geschikt voor: Organisaties die een jaarlijks rapport vervangen door doorlopende geautomatiseerde pentests met bewijs van exploitatie

• Exploiterend bedrijf. Ethiack, S.A.
• Rechtsgebied. EU (Portugal)
• Waar de gegevens staan. Op de pagina's die we lazen wordt geen hostingregio genoemd
• Broncode. Closed source
• Vervangt. HackerOne, Bugcrowd en eenmalige jaarlijkse pentests

Een engine met de naam Hackian vervangt bij Ethiack in Coimbra de pentest die aan een vaste kalender is gebonden. Hij brengt interne en externe assets in kaart, plus assets van derden, en test opnieuw na een codepush, een wijziging in de infrastructuur of nieuwe dreigingsinformatie. De homepage zegt dat elk bevestigd risico komt met bewijs van exploitatie en herstelrichtlijnen, en de output omvat live rapporten voor NIS2, DORA, SOC 2, ISO 27001 en PCI.

Je tekent bij Ethiack, S.A., een Portugees bedrijf met nummer 516856146, gevestigd bij het Instituto Pedro Nunes in Coimbra. In de casestudies worden ANA Aeroportos, Bluepharma en een universiteit in Porto als klant genoemd; de ROI van 650 procent in een daarvan is het eigen cijfer van de leverancier. Punten om aan te kaarten: er is geen prijslijst, het privacybeleid dateert uit 2022, er wordt geen hostingregio opgegeven en externe onderzoekers kunnen niet deelnemen.

Opvallende functie. Een wijziging in code of infrastructuur start de tests, en elke bevestigde bevinding komt met bewijs van exploitatie.

#7 Escape

Parijs, Frankrijk Sales bepaalt de prijs per scope; de paginatekst toont geen bedragen Demo op aanvraag

Het meest geschikt voor: Organisaties die op API's zijn gebouwd, waar fouten in business logic zwaarder wegen dan bekende CVE's

• Exploiterend bedrijf. Escape Technologies SAS
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Het privacybeleid noemt Frankrijk voor het bedrijf, al is het straatadres onvolledig
• Broncode. Closed source
• Vervangt. Invicti, Rapid7 InsightAppSec

Het in Parijs gevestigde Escape maakte naam met DAST die begrijpt hoe een API zich hoort te gedragen. De AI-engine zoekt naar gebrekkige autorisatie en andere fouten in business logic, het soort bug dat geen CVE-lijst dekt, en het bedrijf heeft die engine uitgebreid naar AI-pentesting met een herteststap en attack surface management voor apps, API's en infrastructuur.

Escape Technologies SAS, een Franse vereenvoudigde naamloze vennootschap (SAS), is juridisch verantwoordelijk en treedt op als verwerkingsverantwoordelijke. Omdat het gepubliceerde adres onvolledig is, moet inkoop om de volledige statutaire zetel vragen. Budgetteren is nog lastiger, want de prijspagina toont geen bedragen en elk pad eindigt in het boeken van een demo. Kies Escape voor cloud-native stacks die op API's zijn gebouwd, niet voor het in kaart brengen van een verouderd intern netwerk.

Opvallende functie. De tests richten zich op fouten in business logic in API's, iets waar een op handtekeningen gebaseerde scanner blind voor is.

#8 ImmuniWeb

Genève, Zwitserland Opgericht in 2019 De Community Edition kost niets; het betaalde AI Platform (met pentests, ASM en monitoring van het dark web) loopt via sales Demo op aanvraag

Het meest geschikt voor: Kopers die pentests willen door mensen voor web, API en mobiel, onder een formele accreditatie

• Exploiterend bedrijf. ImmuniWeb SA
• Rechtsgebied. Zwitserland (EU-adequaatheidsbesluit van toepassing, geen EER-lid)
• Waar de gegevens staan. Zwitserland (Genève)
• Broncode. Closed source
• Vervangt. Qualys, Rapid7, Cobalt

Menselijke testers bij ImmuniWeb in Genève werken samen met AI-modellen die zijn afgestemd op applicatiebeveiliging. De leverancier zegt dat het een van de eersten was met een CREST-accreditatie voor die combinatie en dat het in 2026 een van de tien bedrijven wereldwijd is met de nieuwe accreditatie AI-Enabled Penetration Testing, wat een geauditeerd feit zou zijn en geen slogan. Dezelfde suite omvat attack surface management en monitoring van het dark web op gelekte inloggegevens en merkvermeldingen.

ImmuniWeb SA, een Genevees bedrijf dat sinds 2019 actief is, financiert zichzelf, maakt vanaf het eerste jaar winst en beschikt over ISO 9001:2015. Universiteiten, gemeenten en vergelijkbare instanties kunnen de gratis Community Edition gebruiken, die meer dan 100,000 tests per dag draait. Let op drie kanttekeningen: Zwitserland is afhankelijk van een adequaatheidsbesluit en ligt buiten de EER, het AI Platform heeft geen openbare prijs, en de gratis editie biedt minder dan een betaalde opdracht.

Opvallende functie. CREST heeft zijn AI-ondersteunde penetratietesten geaccrediteerd, wat betekent dat een externe partij heeft gecontroleerd hoe de AI wordt ingezet.

#9 Intigriti

Antwerpen, België Opgericht in 2016 Er zijn Core-, Premium- en Enterprise-abonnementen; elke prijs is op aanvraag Demo op aanvraag

Het meest geschikt voor: Bedrijven die een bug bounty en beheerde pentests willen van dezelfde Belgische leverancier

• Exploiterend bedrijf. Intigriti NV
• Jurisdictie. EU (België)
• Waar de gegevens staan. Op de pagina's die we lazen wordt geen hostingregio vermeld, al wordt opgeslagen data binnen de applicatie versleuteld
• Broncode. Closed source
• Vervangt. HackerOne, Bugcrowd

Intigriti begon in Antwerpen als marktplaats voor bug bounties. Naast de bounty voert het een beheerd disclosureprogramma uit en verkoopt het Focused-, Comprehensive- en Certified-pentests; Certified is gericht op gereguleerde kopers en vermeldt CREST-geaccrediteerde opleveringen. Een intern triageteam screent elk binnenkomend rapport, en de platformpagina's noemen meer dan 150,000 onafhankelijke onderzoekers.

De geregistreerde exploitant is Intigriti NV, aan de Klokstraat in Antwerpen. Opgericht in 2016, heeft het nu meer dan 100 medewerkers verspreid over België, het Verenigd Koninkrijk, de VS, Nederland en Zuid-Afrika, en haalde het in 2022 een Series B van EUR 21 miljoen op. Maak drie punten helder voordat je koopt: de PTaaS-productpagina staat als beta vermeld, Core, Premium en Enterprise hebben geen vermelde prijs, en we vonden geen hostinglocatie, alleen dat opgeslagen data binnen de applicatie is versleuteld.

Opvallende functie. Bounty, disclosure en pentests delen één platform, en een intern team doet de triage.

#10 Detectify

Stockholm, Zweden Opgericht in 2013 Jaarlijkse kosten: een gratis Starter-niveau (5 gebruikers, 100 assets), daarna €2,500 Standard, €5,000 Professional en €15,000 Enterprise Demo op aanvraag

Het meest geschikt voor: Kopers die vermelde prijzen nodig hebben en constante scans van buitenaf in de gaten tussen pentests

• Exploiterend bedrijf. Detectify AB
• Jurisdictie. EU (Zweden)
• Broncode. Closed source
• Vervangt. Tenable, Qualys, Invicti

Detectify brengt eerst in kaart wat een bedrijf aan het internet heeft blootgesteld, en voert daarna DAST uit op elk gevonden asset. Payloads komen uit eigen onderzoek en uit Crowdsource, waar meer dan 400 ethische hackers aanvalstechnieken toevoegen die ze in de praktijk hebben gebruikt. REST- en GraphQL-API-scans beginnen bij het Standard-niveau, en pipelineintegratie pas bij Professional.

Detectify AB uit Stockholm is de contractpartij, actief sinds 2013 en met ISO 27001-certificering. Scanresultaten kunnen interne URL's en af en toe blootgestelde inloggegevens bevatten, die dan onder Zweeds recht en EU-recht vallen. Jaarprijzen zijn openbaar: €0 voor Starter (vijf gebruikers, 100 assets), gevolgd door €2,500, €5,000 en €15,000. Standard eindigt bij 750 assets en 10 gebruikers. Omdat het alleen blootstelling rapporteert en nooit verkeer blokkeert, staat het naast een WAF.

Opvallende functie. Meer dan 400 ethische hackers voeden de bibliotheek met aanvalspayloads.