Beste Europese webbeveiliging

#1 Friendly Captcha

München, Duitsland Gratis variant / vanaf €9 per maand Gratis variant

Het meest geschikt voor: Sites die botbescherming nodig hebben zonder bezoekers naar Google te sturen

• Exploiterend bedrijf. Friendly Captcha GmbH
• Jurisdictie. EU (Duitsland)
• Waar de data staan. EU (Duitsland)
• Onafhankelijke controles. AVG, geen cookies, geen gebruikerstracking
• Broncode. Closed source
• Vervangt. Google reCAPTCHA, hCaptcha

Friendly Captcha lost het meest voorkomende privacyprobleem op Europese websites op. reCAPTCHA staat op een enorm aandeel ervan, en elke zo'n embed is een verzoek aan Google dat je bezoeker doet, op jouw instructie, meestal zonder dat om toestemming wordt gevraagd en zonder vermelding in de cookiebanner. Dat is precies de opzet waartegen toezichthouders voor gegevensbescherming herhaaldelijk bezwaar hebben gemaakt.

Het werkt anders, en dat verschil maakt het verdedigbaar. In plaats van de bezoeker te profileren of verkeerslichten te laten aanwijzen, draait het op de achtergrond een proof-of-work-puzzel: de browser van de bezoeker doet een kleine berekening, wat voor één persoon triviaal is en duur voor iemand die duizenden formulieren verstuurt.

Er valt niets aan te klikken, er zijn geen afbeeldingen om naar te turen, geen cookies en geen gebruikerstracking. Dat maakt het ook merkbaar toegankelijker dan een afbeeldingsuitdaging voor iedereen die een schermlezer gebruikt.

Friendly Captcha GmbH werkt vanuit München met verwerking in de EU onder de AVG, zodat het verzoek van je bezoeker binnen Europese rechtsmacht blijft. Gratis variant met betaalde abonnementen vanaf €9 per maand. De eerlijke beperkingen: het is niet open source, proof-of-work kost een beetje batterij op een telefoon, en een vastberaden aanvaller met echte rekenkracht kan de kosten nog altijd betalen. Het verhoogt de prijs van misbruik in plaats van het onmogelijk te maken.

Opvallende functie. Niets om te klikken en niets dat naar Google wordt gestuurd: het reCAPTCHA-probleem is weggenomen in plaats van verzacht.

#2 mCaptcha

Zelf gehost Gratis en open source Gratis

Het meest geschikt voor: Organisaties die CAPTCHA willen zonder enige derde partij

• Exploiterend bedrijf. mCaptcha (open source project)
• Rechtsmacht. Draait waar je het uitrolt
• Waar de gegevens staan. Je eigen server
• Onafhankelijke controles. AVG: jij blijft de enige verwerkingsverantwoordelijke
• Broncode. Open source
• Vervangt. Google reCAPTCHA

mCaptcha neemt hetzelfde proof-of-work-idee als Friendly Captcha en haalt de leverancier weg. Het is open source en zelf gehost, dus de uitdaging wordt vanuit je eigen infrastructuur geserveerd en er is op geen enkel moment een derde partij bij de transactie betrokken. Jij blijft de enige verwerkingsverantwoordelijke, en er is geen privacybeleid om te lezen omdat er geen andere partij is.

Voor een overheidsinstantie, een universiteit of een privacygerichte organisatie is dat een wezenlijk andere positie dan het kiezen van een beter gedragende leverancier. Het meest gehoorde bezwaar tegen reCAPTCHA is niet dat Google de data slecht behandelt, maar dat een bezoeker van een overheidsformulier helemaal geen verzoek aan een reclamebedrijf zou moeten doen. Zelf hosten is het enige antwoord dat dat volledig oplost.

Omdat het open source is, is het mechanisme controleerbaar en niet slechts beweerd: de proof-of-work-implementatie kan door iedereen worden gelezen die wil nagaan wat ze doet, en dat geldt voor geen enkel commercieel alternatief.

Het is gratis, zonder licentiekosten bij welk verkeersniveau ook. De kosten zijn de gebruikelijke: je rolt het uit, draait, bewaakt en updatet het zelf, het project is klein vergeleken met commerciële leveranciers, en zoals bij alle proof-of-work verhoogt het de kosten van misbruik in plaats van het uit te sluiten.

Opvallende functie. Een CAPTCHA zonder leverancier erachter: de enige variant die een overheidsformulier zonder voorbehoud kan gebruiken.

#3 Detectify

Stockholm, Zweden Opgericht in 2013 Starter gratis (tot 5 gebruikers, 100 assets) / Standard €2,500 / Professional €5,000 / Enterprise €15,000 per jaar Gratis Starter-variant; proefperiodes op maat voor betaalde abonnementen

Het meest geschikt voor: Securityteams die continue tests van extern aanvalsoppervlak en apps willen

• Exploiterend bedrijf. Detectify AB
• Jurisdictie. EU (Zweden)
• Onafhankelijke controles. ISO 27001, AVG
• Broncode. Closed source
• Vervangt. Tenable, Qualys, Invicti

Detectify combineert external attack surface management met dynamic application security testing: het brengt continu in kaart wat een organisatie aan het internet blootstelt en test vervolgens elk asset op uitbuitbare kwetsbaarheden. De payloads komen deels uit Detectifys eigen onderzoek en deels uit Crowdsource, een netwerk van meer dan 400 ethische hackers die echte aanvalstechnieken aanleveren in plaats van generieke signaturen. Dat is het duidelijkste verschil van het bedrijf met een conventionele scanner.

De dekking omvat REST- en GraphQL-API's vanaf het Standard-niveau, en met CI/CD-integratie bij Professional kan scannen binnen een deploymentpipeline draaien in plaats van als losse kwartaaloefening. Detectify AB zit in Stockholm, dus de rapporten die uit het scannen van de infrastructuur van een klant voortkomen, en die interne URL's, parameters en soms blootgestelde inloggegevens kunnen bevatten, worden verwerkt onder Zweeds en EU-recht.

De prijzen worden gepubliceerd en zijn niet alleen op offerte, tot op zekere hoogte: een gratis Starter-variant dekt tot vijf gebruikers en 100 assets, Standard kost €2,500 per jaar, Professional €5,000 en Enterprise €15,000 voor een onbeperkt aantal gebruikers en assets. Die transparantie stopt waar de meeste leveranciers hem verbergen, in het middensegment, wat ongebruikelijk is in applicatiebeveiliging. De eerlijke beperking: het is een scanner en een tool voor aanvalsoppervlak, geen WAF of CDN, dus het vindt blootstelling in plaats van die te blokkeren.

Opvallende functie. Gepubliceerde prijzen van een gratis variant tot €15,000 per jaar: zeldzame transparantie in enterprise-applicatiebeveiliging.

#4 Netcraft

Londen, Verenigd Koninkrijk Opgericht in 1994 Enterprise-prijzen op aanvraag; geen gepubliceerde prijslijst Neem contact op met sales

Het meest geschikt voor: Merken die phishing en oplichting op internetschaal offline willen laten halen

• Exploiterend bedrijf. Netcraft Ltd
• Jurisdictie. Verenigd Koninkrijk (adequaatheidsbesluit, buiten de EER)
• Broncode. Closed source
• Vervangt. PhishLabs, ZeroFox, BrandShield

Netcraft is met drie decennia verschil het oudste bedrijf in deze gids. Het volgt sinds 1994 het gebruik van webservers en bouwde op die geschiedenis een platform voor digital risk protection. Het huidige product detecteert phishingsites, oplichtingspagina's en domeinen die een merk imiteren zodra ze verschijnen, en onderneemt dan actie: takedownverzoeken gaan naar de betrokken hostingprovider, registrar of het betrokken platform, gesteund door relaties die in dertig jaar van precies dit werk zijn opgebouwd.

De detectielaag draait op AI-modellen die zijn getraind op Netcrafts eigen langlopende internettelemetrie en dekt typosquatted domeinen, nepvermeldingen in app stores, frauduleuze socialemedia-accounts en lookalike-inlogpagina's. Dat zijn aanvallen die zich richten op de klanten van een merk en niet op de infrastructuur, en die een CDN of WAF voor een website helemaal niet kan zien.

Netcraft Ltd is geregistreerd in Engeland en Wales en gevestigd in Londen, dus de klant- en merkdata die het verwerkt om deze detecties te draaien valt onder Brits recht met een adequaatheidsbesluit van de EU en niet onder directe vestiging onder de AVG. Prijzen worden niet gepubliceerd; elke opdracht wordt geoffreerd, dus kosten beoordelen vraagt een verkoopgesprek. Het is geen vervanging van de CDN- of WAF-laag: het beschermt de identiteit van het merk buiten de site, niet de infrastructuur van de site.

Opvallende functie. Dertig jaar aan takedownrelaties: de reden dat een phishingmelding van Netcraft sneller wordt opgepakt dan die van een nieuwe leverancier.

#5 Greenbone

Osnabrück, Duitsland Opgericht in 2008 Gratis OpenVAS / Community Edition; Greenbone Enterprise-appliances vanaf OPENVAS BASIC voor €2,524 per jaar Gratis Community Edition (OpenVAS)

Het meest geschikt voor: Organisaties die een open-source kwetsbaarheidsscanner willen die ze zelf kunnen draaien

• Exploiterend bedrijf. Greenbone AG
• Jurisdictie. EU (Duitsland)
• Waar de data staan. Duitsland
• Onafhankelijke controles. ISO 9001, ISO 27001
• Broncode. Open source
• Vervangt. Tenable Nessus, Qualys VMDR, Rapid7 InsightVM

Greenbone bouwt voort op OpenVAS, de kwetsbaarheidsscanengine die het sinds de oprichting van het bedrijf in 2008 als open source onderhoudt, en die afkomst is de hele pitch: de scanengine en de kwetsbaarheidstests kunnen worden geïnspecteerd, zelf gehost en zonder licentiekosten gedraaid, in plaats van op het woord van de leverancier te worden vertrouwd. Met OpenVAS Free en de Community Edition kan iedereen dezelfde kernengine proberen die de betaalde appliances draaien.

De commerciële laag zit bovenop de open kern en vervangt die niet: Greenbone Enterprise-appliances voegen een onderhouden kwetsbaarhedenfeed, support en beheertools toe, te beginnen met OPENVAS BASIC voor €2,524 per jaar als instap in die feed. Voor een overheidsinstantie of universiteit met een inkoopregel tegen niet-controleerbare beveiligingssoftware is die combinatie van een open engine en een betaalde, ondersteunde feed een specifiek antwoord dat weinig concurrenten bieden.

Greenbone AG zit in Osnabrück, Duitsland, en heeft ISO 9001- en ISO 27001-certificering voor de eigen managementsystemen; het is in 2023 omgezet in een naamloze vennootschap (AG). De eerlijke beperking: OpenVAS vindt en rapporteert kwetsbaarheden, maar blokkeert geen aanval die bezig is, en de open-sourceversie goed draaien vraagt nog altijd iemand met echte expertise in kwetsbaarhedenbeheer om de uitvoer te interpreteren en te prioriteren.

Opvallende functie. Een open-source scanengine die je zelf kunt auditen, met een betaalde feed erbovenop en niet in plaats ervan.

#6 ImmuniWeb

Genève, Zwitserland Opgericht in 2019 Gratis Community Edition; betaald AI Platform (penetratietesten, ASM, dark-webmonitoring) op offerte van sales Gratis Community Edition, onbeperkt gebruik

Het meest geschikt voor: Teams die door mensen geverifieerde penetratietesten willen met AI-versnelling

• Exploiterend bedrijf. ImmuniWeb SA
• Jurisdictie. Zwitserland (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Zwitserland (Genève)
• Onafhankelijke controles. ISO 9001:2015, CREST-geaccrediteerd (incl. AI-Enabled Penetration Testing)
• Broncode. Closed source
• Vervangt. Qualys, Rapid7, Cobalt

ImmuniWeb combineert menselijke penetratietesters met AI-modellen die specifiek zijn getraind om applicatiebeveiligingstests te versnellen, en was een van de eerste leveranciers die voor die combinatie door CREST werd geaccrediteerd. In 2026 hoorde het ook bij de eerste tien bedrijven wereldwijd met de nieuwe CREST-accreditatie voor AI-Enabled Penetration Testing. Die accreditatie is belangrijk omdat het een externe audit is van hoe de AI wordt ingezet en niet de eigen bewering van een leverancier.

Het platform dekt penetratietesten, attack surface management en dark-webmonitoring op gelekte inloggegevens en merkvermeldingen, verkocht als één samenhangende suite en niet als drie losse producten. Een gratis Community Edition draait meer dan 100,000 tests per dag voor mkb-bedrijven, universiteiten en kleine gemeentelijke overheden die zich anders geen beveiligingstests zouden kunnen veroorloven, een wezenlijk ander aanbod dan de enterprise-only, op offerte gebaseerde tools elders in deze categorie.

ImmuniWeb SA werd in 2019 een zelfstandige Zwitserse onderneming met hoofdkantoor in Genève en is vanaf het eerste jaar zelf gefinancierd en winstgevend, zonder externe investeerders om verantwoording aan af te leggen. Zwitserland valt buiten de EER onder een adequaatheidsbesluit en niet rechtstreeks onder de AVG. De prijzen van het betaalde AI Platform worden niet gepubliceerd en vragen een verkoopgesprek, en de gratis variant is, hoe nuttig ook, een lichter product dan de betaalde penetratietestdienst.

Opvallende functie. Een van de eerste tien bedrijven ter wereld met CREST-accreditatie voor AI-enabled penetratietesten: geauditeerd en niet alleen beweerd.

#7 Netacea

Manchester, Verenigd Koninkrijk Enterprise-prijzen op aanvraag; geoffreerd per opdracht Neem contact op met sales

Het meest geschikt voor: Grote ondernemingen die autonome botdetectie zonder agents nodig hebben

• Exploiterend bedrijf. Netacea Limited
• Jurisdictie. Verenigd Koninkrijk (adequaatheidsbesluit, buiten de EER)
• Broncode. Closed source
• Vervangt. PerimeterX/HUMAN, Akamai Bot Manager, Kasada

Netacea detecteert en blokkeert bots aan de edge zonder een agent op de beschermde site te installeren. Het analyseert verkeerssignalen server-side en reageert automatisch in plaats van te wachten tot een securityteam een melding beoordeelt. Die agentloze aanpak betekent dat codewijzigingen niet door een releasecyclus rimpelen telkens als de botdetectielogica wordt bijgewerkt, omdat de analyse aan de kant van Netacea draait en niet in de applicatie van de klant is ingebed.

Het bedrijf formuleert het probleem net zo goed in omzettermen als in beveiligingstermen: het noemt gemiddeld $85 miljoen aan jaarlijkse verliezen die enterprise-merken toeschrijven aan scraping, credential stuffing en andere kwaadaardige automatisering, en bouwt zijn detectie rond het stoppen van dat verkeer voordat het de checkout, het inloggen of API-endpoints bereikt. Dat zijn de punten waar een onterechte blokkade een echte klant kost en niet alleen ongemak.

Netacea Limited is geregistreerd in Engeland en Wales en gevestigd in Manchester, waarbij Engels recht zijn contracten beheerst: een heldere Britse rechtsmacht en geen die via een Amerikaanse moedermaatschappij loopt, wat niet voor elke botmanagementleverancier geldt die deze categorie had kunnen bevatten. Prijzen worden niet gepubliceerd en per opdracht geoffreerd. De eerlijke beperking: dit is een specialist in botmanagement en geen CDN of WAF, dus het staat naast een van die twee en vervangt ze niet.

Opvallende functie. Detectie en reactie volledig server-side: niets om uit te rollen of bij te werken op de beschermde site zelf.

#8 Corero Network Security

Londen, Verenigd Koninkrijk Enterprise-prijzen op basis van appliances, op aanvraag Neem contact op met sales

Het meest geschikt voor: Serviceproviders en carriers die geautomatiseerde DDoS-mitigatie in realtime nodig hebben

• Exploiterend bedrijf. Corero Network Security plc
• Jurisdictie. Verenigd Koninkrijk (adequaatheidsbesluit, buiten de EER)
• Broncode. Closed source
• Vervangt. NETSCOUT Arbor, Radware DefensePro, F5 Silverline

Corero verkoopt DDoS-mitigatie als product en niet als functie die in een CDN is gebundeld, specifiek gericht op internetproviders, hostingbedrijven en carriers die hun eigen netwerk moeten beschermen, en daarmee ook elke klant erachter, in plaats van één enkele website. De SmartWall-productlijn draait als fysieke of virtuele appliances en detecteert en mitigeert een aanval automatisch in realtime in plaats van het verkeer achteraf naar een scrubbingcentrum te sturen.

Dat geautomatiseerde, inline model is de onderscheidende keuze: bij een scrubbingcentrum kan het minuten duren om verkeer om te leiden nadat een aanval is gedetecteerd, lang genoeg voor een volumetrische vloed om al schade aan te richten, terwijl een appliance in het datapad binnen enkele seconden nadat het patroon verschijnt kwaadaardige pakketten kan laten vallen.

Corero Network Security plc is genoteerd in Londen, met de operationele Britse dochter geregistreerd in Engeland en Wales (bedrijfsnummer 04047090, in 2000 opgericht als Top Layer Networks Limited). De prijzen zijn enterprise en op basis van appliances, per uitrol geoffreerd en niet gepubliceerd, en kopen betekent kapitaalgoederen of een managed-servicecontract in plaats van een maandelijkse SaaS-rekening. Het is gebouwd voor de operatorlaag van het internet, niet voor één enkele webshop.

Opvallende functie. Mitigatie in het datapad binnen enkele seconden, geen omleiding naar een scrubbingcentrum nadat de vloed al is binnengekomen.

#9 HTTPCS

Montpellier, Frankrijk Add-onmodules vanaf €18/maand (Monitoring) tot €490 (Cyber Vigilance); abonnementen voor de kernscanner worden na een gratis proefperiode van 14 dagen samengesteld via een prijscalculator Gratis proefperiode van 14 dagen (HTTPCS Discovery)

Het meest geschikt voor: Franse bedrijven die een scanner, SSL-certificaten en monitoring in één willen

• Exploiterend bedrijf. Ziwit SAS
• Jurisdictie. EU (Frankrijk)
• Broncode. Closed source
• Vervangt. Netsparker/Invicti, Qualys, Acunetix

HTTPCS is de suite van Ziwit voor een bedrijf dat kwetsbaarheidsscans, evaluatie van het aanvalsoppervlak en dagelijkse sitemonitoring van één leverancier wil en niet los ingekocht. De kernscanner doet dynamic application security testing, EASM brengt in kaart wat de organisatie aan het internet blootstelt, en een datalekmodule genaamd Cyber Vigilance houdt in de gaten of informatie van het bedrijf ergens opduikt waar dat niet hoort. Dat zijn drie aparte disciplines die andere leveranciers in deze categorie als losse producten verkopen.

Het is ook, ongebruikelijk voor deze categorie, zelf een reseller van SSL/TLS-certificaten, met certificaten van Sectigo, GeoTrust, RapidSSL en anderen naast de scantools. Dat is een echte one-stop-optie voor een klein of middelgroot Frans bedrijf dat anders certificaten, uptimemonitoring en een kwetsbaarheidsscan bij drie niet-gerelateerde leveranciers zou kopen.

Ziwit SAS is geregistreerd in Montpellier, Frankrijk, met een gepubliceerd kapitaal van €1,140,000.

De gepubliceerde add-onprijzen lopen van €18 per maand voor uptimemonitoring tot €490 voor Cyber Vigilance; de abonnementen voor de kernscanner worden via een calculator samengesteld en niet als vaste prijzen vermeld, en een gratis proefperiode van 14 dagen (HTTPCS Discovery) is de manier om het echte bedrag te zien voordat je je vastlegt. De site en de support zijn in de eerste plaats Franstalig, een redelijke ruil voor een Franse koper en een kleine hindernis voor iedereen anders.

Opvallende functie. Scanner, SSL-certificaten en uptimemonitoring van één leverancier uit Montpellier: een echte bundel in plaats van drie losse rekeningen.

#10 Private Captcha

Estland Gratis proefperiode van 14 dagen zonder kaart, daarna vanaf €5/maand voor 1,000 verzoeken en €19/maand voor 10,000 verzoeken bij jaarlijkse facturatie (€6 en €23 bij maandelijkse facturatie), tot 1,000,000 verzoeken per maand voor €1,899/maand bij jaarlijkse facturatie; elke functie in elk niveau; prijzen exclusief btw; licentie om zelf te hosten gratis voor niet-commercieel gebruik 14 dagen gratis proberen, geen creditcard nodig

Het meest geschikt voor: Kleine teams die reCAPTCHA vervangen door een Estse optie die in de EU wordt gehost

• Exploiterend bedrijf. Intmaker OÜ
• Jurisdictie. EU (Estland)
• Waar de gegevens staan. Endpoints uitsluitend in de EU, gehost in de EU
• Broncode. Closed source
• Vervangt. Google reCAPTCHA, hCaptcha, Cloudflare Turnstile

Private Captcha is een botbeschermingsdienst van Intmaker OÜ, een klein, onafhankelijk, bootstrapped bedrijf in Estland. Het vervangt de visuele puzzel door een proof-of-work-uitdaging waarvan de moeilijkheid meeschaalt met hoe verdacht het verkeer eruitziet, zodat een bezoeker niet om verkeerslichten wordt gevraagd. De widget is een kant-en-klare snippet, en de dienst zegt dat ze geen cookies, geen tracking en geen fingerprinting gebruikt, met endpoints die binnen de EU blijven.

Net als Friendly Captcha op deze pagina vervangt het de aanroepen die reCAPTCHA bij elk formulier naar Google doet door een proof-of-work-controle die Private Captcha zelf uitvoert. De verschillen zijn commercieel.

Elk niveau bevat alle functies en de prijs volgt het aantal verzoeken: bij jaarlijkse facturatie €5 per maand voor 1,000 verzoeken, €19 voor 10,000 en €1,899 voor 1,000,000 (€6, €23 en €2,279 bij maandelijkse facturatie), met een proefperiode van 14 dagen waarvoor geen kaart nodig is. Zelf hosten wordt ook aangeboden: de broncode staat op GitHub, gratis voor niet-commercieel gebruik en onder licentie voor commercieel gebruik.

Wat je moet controleren voor je koopt: we vonden op de pagina's die we bekeken geen certificering of auditrapport, en de licentie om zelf te hosten is source-available en niet open source in de gebruikelijke zin, dus mCaptcha is de keuze als open source een eis is. Kopers die een beheerde dienst willen van een bij naam bekend EU-bedrijf, een proefperiode en een duidelijke prijslijst, vinden hier een rechttoe rechtaan alternatief.

Opvallende functie. Een proof-of-work-CAPTCHA uit Estland die elke functie in elk niveau verkoopt en alleen op aantal verzoeken prijst.

#11 Captcha.eu

Wenen, Oostenrijk Starter €8.90 per maand (1 beschermde website, tot 1,000 verzoeken per maand), Growth €35.90 per maand (5 websites, tot 10,000 verzoeken), Advanced €179.90 per maand (10 websites, tot 100,000 verzoeken); jaarlijkse facturatie is 10% goedkoper met €96.12, €387.72 en €1,942.92 per jaar. Alle prijzen zijn netto, exclusief btw. Maatwerkabonnement voor grote bedrijven op aanvraag. 100 gratis verificatieverzoeken om te proberen, geen creditcard nodig. 100 gratis verificatieverzoeken, geen creditcard nodig

Het meest geschikt voor: Toegankelijke CAPTCHA gehost in Oostenrijk voor kleine sites

• Exploiterend bedrijf. Captcha GmbH
• Jurisdictie. EU (Oostenrijk)
• Waar de gegevens staan. Gehost in Oostenrijk (volgens de prijspagina); verzoeken worden verwerkt op het point of presence dat het dichtst bij de bezoeker ligt (volgens de pagina 'Why Captcha.eu')
• Onafhankelijke controles. Web Accessibility Certificate Austria (WACA), zilveren niveau, toegekend door TÜV Austria voor de captcha-applicatie op de testpagina (WCAG 2.2 AA in zeer hoge mate); AVG-conformiteit is zelf verklaard
• Broncode. Closed source
• Vervangt. Google reCAPTCHA, hCaptcha

Captcha.eu is een botbeschermingsdienst van Captcha GmbH in Wenen. Het biedt twee modi: een onzichtbare controle die op de achtergrond draait en een eenvoudige widget met één klik voor gevallen waarin een zichtbare bevestiging de voorkeur heeft. De leverancier zegt dat het geen cookies plaatst, geen eindgebruikers trackt en geen afbeeldingspuzzels toont, en noemt machine learning en crypto-uitdagingen als detectiemethoden. Het is een kant-en-klare vervanging voor het verzoek aan Google dat reCAPTCHA bij elk formulier plaatst.

De onderscheidende claims zijn hosting in Oostenrijk en toegankelijkheid. Alle abonnementen worden vermeld als gehost in Oostenrijk, en de leverancier meldt een Web Accessibility Certificate Austria op zilveren niveau van TÜV Austria, dat in zeer hoge mate voldoet aan WCAG 2.2 AA.

De leverancier benadrukt dat dit geldt voor de captcha-applicatie op de testpagina en niet voor de eigen website of de formulieren van klanten. Er zijn officiële plug-ins voor WordPress, TYPO3, Joomla, Keycloak, Magento, Craft CMS en Neos, een bredere cms-lijst dan de meeste concurrenten op deze pagina.

De prijzen zijn gepubliceerd en instapniveau: €8.90 per maand voor 1,000 verzoeken en één site, tot €179.90 voor 100,000 verzoeken over tien sites, exclusief btw, met 100 gratis verzoeken om te proberen.

De eerlijke beperkingen: de gratis proefperiode is klein, er is geen permanente gratis variant zoals bij Friendly Captcha, de limieten op het aantal verzoeken zijn laag naast het bereik van Private Captcha tot 1,000,000, en het product is closed source, dus mCaptcha blijft de keuze als open source of zelf hosten vereist is.

Opvallende functie. Een CAPTCHA gehost in Oostenrijk die een ontwerp zonder cookies en zonder tracking combineert met een TÜV Austria-toegankelijkheidscertificaat voor de widget zelf.

#12 Roder

Helsinki, Finland Opgericht in 2025 Core €149 per maand jaarlijks gefactureerd (openbare lijstprijs vanaf €199 per maand bij maandelijkse facturatie), Plus €899 per maand jaarlijks gefactureerd, Advanced €1,499 per maand jaarlijks gefactureerd, Premium en Roder Enterprise (uitgerold in je eigen VPC, Kubernetes of air-gapped) met jaarlijkse maatwerkofferte. Jaarlijkse facturatie bespaart 25%. SSO/SAML en MFA zijn bij elk abonnement inbegrepen. Een pilot van een maand op het volledige platform (100,000 verzoeken per maand, 5 gebruikers, 30 dagen bewaartermijn, geen kaart) is op aanvraag beschikbaar. Pilot van een maand op aanvraag, volledig platform, 100,000 verzoeken per maand, geen kaart

Het meest geschikt voor: Teams die LLM- en MCP-verkeer in de EU beheren

• Exploiterend bedrijf. Roder AI Oy (privacybeleid noemt Roder Oy)
• Jurisdictie. EU (Finland)
• Waar de gegevens staan. 100% gehost in de EU (verklaring van de leverancier); Roder Enterprise kan worden uitgerold in de eigen VPC, Kubernetes of air-gapped van de klant
• Broncode. Closed source
• Vervangt. Cloudflare AI Gateway, Portkey

Roder is een Finse AI-gateway en beleidslaag van Roder AI Oy in Helsinki. Het zit inline tussen je applicaties, agents en de modellen of MCP-tools die ze aanroepen, en past beleid, realtime data loss prevention en kostenplafonds toe op elk verzoek. Dat maakt het beveiliging voor AI-verkeer en niet voor websites, waarmee het zich onderscheidt van de CDN- en DDoS-leveranciers op deze pagina.

Het platform doet drie dingen. De beleidsengine maskeert persoonsgegevens en geheimen voordat ze je perimeter verlaten. MCP-supply-chainbescherming en een agent trust graph bepalen welke tools en servers agents mogen gebruiken. Kostenrapportage per team met budgetten geeft finance een helder beeld van de AI-uitgaven, en elk verzoek komt in een EU-audit trail terecht die werk voor de AI Act en de AVG ondersteunt.

Hosting is volgens de leverancier 100% in de EU, en Roder Enterprise kan draaien in je eigen VPC, Kubernetes of air-gapped. De prijzen zijn openbaar: Core is 149 euro per maand jaarlijks gefactureerd, met Plus, Advanced, Premium en Enterprise daarboven. SSO/SAML en MFA zitten bij elk abonnement, en een pilot van een maand is beschikbaar. Het bedrijf is jong, opgericht in 2025, en heeft nog geen certificaten.

Opvallende functie. Roder is de enige tool op deze pagina die AI- en MCP-verkeer beveiligt in plaats van websites en netwerken.

#13 GuardX

Hamburg, Duitsland CDN & WAF en DDoS-bescherming worden beide genoemd met €0 per maand; de site zegt dat GuardX nu gratis te gebruiken is, mitigatie is inbegrepen en aanvalsverkeer wordt niet gefactureerd. De voorwaarden zeggen dat het gratis abonnement voor onbepaalde tijd loopt en dat betaalde abonnementen momenteel niet te koop zijn; als ze worden aangeboden, worden ze vooraf betaald met prijzen die in het bestelproces staan.

Het meest geschikt voor: kleine sites die gratis DDoS-bescherming en WAF op HTTP-laag willen

• Exploiterend bedrijf. Samuel Dierich, handelend als GuardX (eenmanszaak)
• Jurisdictie. EU (Duitsland)
• Waar de gegevens staan. Eigen servers in de EU (Amsterdam live, Frankfurt gepland); de privacyverklaring zegt dat GuardX zelf persoonsgegevens niet buiten de EU/EER doorgeeft; upstream netwerkfiltering door SMARTNET Germany GmbH
• Broncode. Closed source
• Vervangt. Cloudflare, Akamai, Imperva

GuardX is een Layer 7-dienst voor websites en API's, beheerd door Samuel Dierich, eenmanszaak in Hamburg, Duitsland.

Verkeer loopt eerst via de edge van GuardX voordat het je oorsprongserver bereikt. Het platform combineert DDoS-mitigatie voor HTTP-floods en bots die misbruik maken, een beheerde WAF met aangepaste regels op pad, header, land, netwerk of aanvraagfrequentie, een edge-cache, autoritatieve DNS met DNSSEC en automatische TLS-certificaten. Het colofon vermeldt een Duits btw-nummer, en de voorwaarden vallen onder Duits recht, met een verwerkersovereenkomst inbegrepen.

Het is vandaag gratis te gebruiken. Zowel CDN als WAF en DDoS Protection staan voor €0 per maand vermeld, en de site zegt dat aanvalsverkeer niet wordt gefactureerd. De voorwaarden voegen toe dat betaalde abonnementen momenteel niet te koop zijn en dat het gratis abonnement voor onbepaalde tijd loopt. Verzoeken worden verwerkt op de eigen servers van GuardX in de EU, Amsterdam is live en Frankfurt is gepland, en het centrale verzoekenlogboek wordt na 90 dagen verwijderd.

De beperkingen zijn duidelijk. Alleen HTTP en HTTPS worden gedekt, dus gameservers, mail en andere protocollen vallen erbuiten, en netwerkbescherming op lagen 3 en 4 is uitgesloten in de voorwaarden. Het is een operatie van één persoon, beschikbaarheid is niet gegarandeerd, er wordt geen certificering geclaimd en er bestaat geen prijs boven nul. Daarom staat het onderaan: gebruik het voor een kleine site of een zijproject, niet als enige verdediging voor een betaalpagina.

Opvallende functie. Het bundelt WAF, DDoS-mitigatie, DNS en TLS voor HTTP-verkeer, vandaag gratis, onder een benoemde Duitse exploitant.

#14 Bunny.net

Ljubljana, Slovenië Pay-as-you-go vanaf €0.01 per GB Pay-as-you-go, geen verplichtingen

Het meest geschikt voor: Iedereen die snelle, goedkope Europese contentlevering wil, inclusief video

• Exploiterend bedrijf. Bunny CDN d.o.o.
• Jurisdictie. EU (Slovenië)
• Waar de gegevens staan. 110+ points of presence met een sterke Europese aanwezigheid
• Onafhankelijke controles. AVG
• Broncode. Closed source
• Vervangt. Cloudflare, AWS CloudFront

Bunny.net verandert wat deze laag kost. Pay-as-you-go vanaf €0.01 per GB over meer dan 110 points of presence met een sterke Europese aanwezigheid zet het een orde van grootte onder wat enterprise-CDN's offreren, zonder verplichting, zonder minimum en zonder verkoopgesprek. Voor een bedrijf dat een terabyte per maand levert verandert dat een budgetpost in een afrondingsverschil.

Het is meer dan een cache. Edge Storage zet bestanden aan de edge in plaats van ze alleen vanuit een origin te cachen, Bunny Stream biedt videohosting en -levering zodat een mediasite geen apart videoplatform nodig heeft, en DNS, beeldoptimalisatie en DDoS-bescherming maken het compleet. Met die combinatie kan een site zijn hele leveringslaag hier draaien.

Bunny CDN d.o.o. zit in Ljubljana, dus de laag die TLS beëindigt en elk bezoekersverzoek ziet valt onder EU-recht via de AVG en niet onder de CLOUD Act. De eerlijke reikwijdte: de DDoS-bescherming is wat een CDN van nature biedt en geen beheerde mitigatiedienst waarbij engineers meekijken, en er is geen WAF of botmanagement van BSI-niveau voor kritieke infrastructuur. Daar zijn Myra en Link11 voor.

Opvallende functie. €0.01 per GB met videostreaming en edge storage inbegrepen: de prijs waarbij deze laag ophoudt een budgetkwestie te zijn.

#15 Myra Security

München, Duitsland Enterprise-prijzen op aanvraag Neem contact op met sales

Het meest geschikt voor: Europese ondernemingen, overheidsinstanties en kritieke infrastructuur

• Exploiterend bedrijf. Myra Security GmbH
• Jurisdictie. EU (Duitsland)
• Waar de data staan. Duitsland
• Onafhankelijke controles. BSI-gecertificeerd, AVG
• Broncode. Closed source
• Vervangt. Cloudflare, Akamai, AWS Shield

Myra Security verkoopt bescherming en geen levering, en de BSI-certificering onderscheidt het van alles wat goedkoper is in deze categorie. De beoordeling door het Duitse federale bureau voor informatiebeveiliging plaatst het onder de aanbieders die acceptabel zijn voor kritieke infrastructuur (energie, water, gezondheidszorg, financiën, overheid). Dat is een geauditeerd oordeel en geen marketingclaim, en het is wat een leverancier door de inkoop krijgt waar een verkeerd antwoord een regelgevingsprobleem wordt.

De functieset is compleet voor die koper: DDoS-bescherming op netwerk- en applicatielaag, een web application firewall die aanvallen op de applicatie zelf filtert, CDN voor levering, DNS-beveiliging, botmanagement om legitieme automatisering te scheiden van scraping en credential stuffing, en SSL/TLS-afhandeling.

Myra Security GmbH zit in München met hosting in Duitsland. Dat is belangrijk omdat deze laag elk verzoek ontsleutelt dat je site bereikt (formulierinzendingen, inloggegevens onderweg, bezoekersgedrag), dus waar het wordt verwerkt en onder welk recht is een inhoudelijke vraag voor een overheidsinstantie of een bank.

De prijzen zijn enterprise en op aanvraag, dus beoordelen betekent een verkooptraject, en het is niet de juiste uitgave voor een site waar een storing een slechte middag kost en geen krantenkop.

Opvallende functie. BSI-certificering: de geauditeerde beoordeling die bepaalt of een Duitse overheidsinstantie je überhaupt mag gebruiken.

#16 Gcore

Luxemburg Gratis variant / betaald vanaf €25 per maand Gratis variant

Het meest geschikt voor: Gaming, streaming en bedrijven die wereldwijde levering met lage latentie nodig hebben

• Exploiterend bedrijf. Gcore S.A.
• Jurisdictie. EU (Luxemburg)
• Waar de gegevens staan. 180+ points of presence, meerdere EU-locaties
• Onafhankelijke controles. AVG
• Broncode. Closed source
• Vervangt. Cloudflare, AWS CloudFront, Akamai

Gcore bouwt voor de workloads waar latency het product is. Gaming en streaming zijn de verklaarde focus, en dat bepaalt het netwerk: meer dan 180 points of presence wereldwijd met meerdere EU-locaties, afgestemd op consistent lage latency en niet op het gemiddelde geval, omdat honderd milliseconden onzichtbaar is op een webpagina en onspeelbaar in een game.

Het is breder dan een CDN. Edge computing draait code op de points of presence in plaats van op een origin, cloud-VM's leveren rekenkracht, en streamingdiensten, DNS-hosting en load balancing staan ernaast, zodat een platform levering, rekenkracht en distributie bij één Europese aanbieder kan draaien in plaats van er drie te combineren.

DDoS-bescherming is over het hele netwerk inbegrepen. Gcore S.A. is geregistreerd in Luxemburg, een EU-lidstaat, dus de laag die het verkeer inspecteert valt onder de AVG. Er is een gratis variant met betaalde abonnementen vanaf €25 per maand, waardoor het laagdrempelig is zonder verkoopgesprek. Het is geen beveiligingsleverancier van BSI-niveau zoals Myra en Link11, en de prijs per GB komt voor eenvoudige levering niet op het niveau van Bunny.net.

Opvallende functie. Een netwerk afgestemd op de honderd milliseconden die een game verpesten en niet op die niemand opmerkt op een webpagina.

#17 Link11

Frankfurt, Duitsland Enterprise-prijzen op aanvraag Neem contact op met sales

Het meest geschikt voor: Europese ondernemingen die geautomatiseerde DDoS-mitigatie nodig hebben

• Exploiterend bedrijf. Link11 GmbH
• Jurisdictie. EU (Duitsland)
• Waar de data staan. Duitsland
• Onafhankelijke controles. BSI-gekwalificeerd, AVG
• Broncode. Closed source
• Vervangt. Cloudflare, Akamai, AWS Shield

Het bepalende vermogen van Link11 is dat mitigatie plaatsvindt zonder dat een mens besluit om in te grijpen. De detectie met AI en machine learning drijft zero-touch-mitigatie, wat belangrijk is omdat volumetrische DDoS-aanvallen sneller binnenkomen en escaleren dan een engineer met bereikbaarheidsdienst kan beoordelen. Tegen de tijd dat iemand heeft bevestigd dat de aanval echt is, is de storing al gebeurd.

Daaromheen zitten de onderdelen die een enterprise-beveiligingshouding nodig heeft: een web application firewall die aanvallen op de applicatie filtert en niet op de pijp, botmanagement dat legitieme automatisering scheidt van scraping en credential stuffing, DNS-bescherming, en een beveiligde CDN zodat levering en bescherming dezelfde laag zijn.

Link11 GmbH is BSI-gekwalificeerd en zit in Frankfurt met hosting in Duitsland, waarmee het in hetzelfde inkoopsegment valt als Myra voor kritieke infrastructuur en de laag die elk verzoek ontsleutelt onder Duits en EU-recht valt. De prijzen zijn enterprise en op aanvraag. Net als bij Myra is dit de juiste uitgave als een storing een serieuze gebeurtenis is en een flinke overbesteding als dat niet zo is, en je schakelt het in via sales en niet via aanmelding.

Opvallende functie. Mitigatie zonder menselijke tussenkomst: omdat een DDoS-aanval zijn piek bereikt voordat iemand de melding heeft uitgelezen.

#18 KeyCDN

Winterthur, Zwitserland Pay-as-you-go vanaf €0.04 per GB, geen minimale afname Pay-as-you-go

Het meest geschikt voor: Websites die snelle, privacyrespecterende levering willen zonder verplichtingen

• Exploiterend bedrijf. proinity LLC
• Jurisdictie. Zwitserland (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. 47+ points of presence
• Onafhankelijke controles. Zwitserse federale wet op de gegevensbescherming, AVG-adequaat
• Broncode. Closed source
• Vervangt. Cloudflare, Fastly, Akamai

KeyCDN is de rechttoe rechtaan optie: pay-as-you-go voor €0.04 per GB over 47 of meer points of presence zonder minimale afname, dus er is geen contract om te onderhandelen en geen drempel die je moet halen voordat de prijs zin heeft.

De functieset dekt wat een site echt van een CDN nodig heeft. Realtime analytics laten zien wat er wordt geleverd en vanwaar terwijl het gebeurt en niet in het rapport van gisteren, met instant purge wordt een cachefout in seconden hersteld in plaats van zich uren te verspreiden, WebP-conversie en beeldverwerking verkleinen de payloads automatisch, en HTTP/2, gratis SSL en DDoS-bescherming zijn standaard.

proinity LLC werkt vanuit Winterthur onder de Zwitserse federale wet op de gegevensbescherming met een adequaatheidsbesluit van de EU. Dat is een sterk privacyregime, en het is goed om te weten dat het adequaatheid is en geen verwerking binnen de EER als inkoopregels EU-lidstaten noemen. De reikwijdte is eerlijk: 47 points of presence is een kleiner netwerk dan dat van Gcore of Bunny.net, €0.04 per GB is vier keer het tarief van Bunny, en het is een CDN met DDoS-bescherming en geen beveiligingsleverancier.

Opvallende functie. Instant purge en realtime analytics zonder verplichtingen: een CDN die je dezelfde middag kunt starten en stoppen.

#19 OVHcloud

Roubaix, Frankrijk Vanaf €3.50 per maand (VPS) Goedkope instapabonnementen

Het meest geschikt voor: Bedrijven die de origin zelf Europees nodig hebben

• Exploiterend bedrijf. OVHcloud SAS
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. 46 datacenters op 4 continenten, de meeste in Europa
• Onafhankelijke controles. AVG
• Broncode. Closed source
• Vervangt. AWS, Azure

OVHcloud hoort in deze categorie omdat webbeveiliging onder de CDN begint. Een Europees leveringsnetwerk voor een in de VS gehoste origin laat de origin en de database eronder onder Amerikaanse rechtsmacht vallen, wat het grootste deel van de reden om voor de CDN te kiezen ongedaan maakt. Als soevereiniteit het doel is, moet de stack met zichzelf in overeenstemming zijn.

Het is de grootste Europese cloudaanbieder: public en private cloud, bare-metalservers, beheerde Kubernetes en webhosting in meer dan 30 datacenters, waarvan de meeste in Europa, vanaf €3.50 per maand voor een VPS. DDoS-bescherming op netwerkniveau is standaard inbegrepen en wordt niet als add-on verkocht, en voor de volumetrische aanvallen die een verbinding verzadigen is dat de laag die ze moet opvangen.

OVHcloud SAS werkt vanuit Roubaix, en de schaal maakt het geloofwaardig als alternatief voor standaard AWS of Azure: een Frans bedrijf dat eigen faciliteiten draait op een omvang waarmee het organisaties kan bedienen die anders Amerikaanse rechtsmacht over hun infrastructuur zouden accepteren. De afwegingen: de catalogus met beheerde diensten is smaller dan die van de hyperscalers, de kwaliteit van de support verschilt per niveau, en het is infrastructuur en geen beveiligingsproduct.

Opvallende functie. Een Europese CDN voor een Amerikaanse origin bewijst niets: dit is de helft van de stack die mensen vergeten te verhuizen.