Bij een website pentest proberen ethische hackers met jouw toestemming je website binnen te komen via het inlogscherm, de formulieren, het beheerpaneel, de plugins en de API erachter. Een pentest van één website duurt meestal 3 tot 5 testdagen en kost 2.500 tot 12.000 euro, exclusief btw.
Je krijgt een rapport met bevindingen op volgorde van risico. In de OWASP Top 10 van 2025 staat falende toegangscontrole op plaats één, een fout die een scanner zelden herkent.
Door Redactie Securiguide. Laatst gecontroleerd op 5 oktober 2026.
| Wat het is | Een handmatige aanval op je website, met schriftelijke toestemming en een rapport achteraf |
| Testdagen | 3 tot 5 voor één website, plus intake en rapportage |
| Richtprijs | 2.500 tot 12.000 euro, exclusief btw |
| Toetskader | OWASP Web Security Testing Guide en de OWASP Top 10 van 2025 |
| Testvorm | Meestal grey box, met testaccounts per rol |
| Omgeving | Acceptatie als die gelijk is aan productie, anders productie |
| Ritme | Jaarlijks en na een grote wijziging |
Richtprijs uit gepubliceerde tarieven van Nederlandse bureaus, gecontroleerd op 5 oktober 2026.
Op deze pagina: wat er getest wordt · testdagen en richtprijs · WordPress en webshop · pentest of scan · voorbereiden · veelgestelde vragen
Wat test een pentester op je website?
De tester loopt de website na zoals een aanvaller dat doet, van de buitenkant tot de functies achter de login. De OWASP Web Security Testing Guide verdeelt dat werk over twaalf categorieën. De tabel vat ze samen in acht onderdelen.
| Onderdeel | Wat de tester probeert | Voorbeeld van een bevinding |
|---|---|---|
| Verkenning en configuratie | Zien welke software, versies, subdomeinen en beheerpagina’s van buitenaf bereikbaar zijn | Een testomgeving met echte klantgegevens die via een zoekmachine vindbaar is |
| Inloggen en wachtwoordherstel | Wachtwoorden raden zonder blokkade, het herstelproces misbruiken en tweestapsverificatie omzeilen | Een herstellink die na gebruik geldig blijft |
| Toegangscontrole | Met het account van de ene klant gegevens van een andere klant opvragen, of als gewone gebruiker een beheerfunctie aanroepen | Facturen van andere klanten die openen na het wijzigen van een nummer in de URL |
| Sessies | Een sessie overnemen of na het uitloggen blijven gebruiken | Een sessiecookie zonder beveiligingskenmerken |
| Invoer en uploads | SQL-injectie en XSS via formulieren, zoekvelden en uploads | Een zoekveld dat gegevens uit de database teruggeeft |
| Bedrijfslogica | Stappen overslaan of bedragen aanpassen bij bestellen, betalen en kortingen | Een bestelling die voor nul euro wordt afgerekend |
| Plugins en bibliotheken | Bekende kwetsbaarheden misbruiken in plugins, thema’s en JavaScript-bibliotheken | Een verouderde plugin waarmee een bezoeker bestanden uploadt |
| API en koppelingen | De API achter de website rechtstreeks aanroepen, buiten de controles van de schermen om | Een endpoint dat klantgegevens zonder login teruggeeft |
Naar de testcategorieën van de OWASP Web Security Testing Guide versie 4.2.
De OWASP Top 10 van 2025 rangschikt de risico’s met gegevens over ruim 2,8 miljoen applicaties. Bovenaan staat falende toegangscontrole. Daarna volgen fouten in de configuratie en zwakke plekken in de softwareketen, zoals plugins en bibliotheken. Injectie, waaronder SQL-injectie en XSS, staat op plaats vijf.
Voor de test van toegangscontrole heeft de tester accounts nodig. Daarom verloopt een website pentest meestal als grey box. De andere testvormen staan uitgelegd bij black box, grey box en white box.
Testdagen en richtprijs van een website pentest
De prijs volgt uit het aantal testdagen. Dat aantal volgt uit de omvang van de website: schermen, gebruikersrollen en koppelingen.
| Omvang | Kenmerken | Testdagen | Richtprijs |
|---|---|---|---|
| Compact pakket | Eén kleine website of API met een vaste scope | 2 tot 3 | 2.500 tot 3.000 euro |
| Kleine website | Beperkte functionaliteit en één of twee gebruikersrollen | 3 tot 5 | 4.000 tot 7.000 euro |
| Middelgrote website | Meerdere rollen, een eigen API en gevoelige gegevens | 5 tot 10 | 7.000 tot 15.000 euro |
| Grote website | Veel maatwerk, koppelingen en meerdere applicaties in scope | Op offerte | Vanaf 15.000 euro |
Richtprijzen exclusief btw. Compacte pakketten volgens de gepubliceerde tarieven van Resync, Budget Security en DongIT, de overige groepen volgens Secure Audit. Gecontroleerd op 5 oktober 2026.
Een bedrijfssite met een klantlogin valt meestal in de groep klein. Een webshop met klantaccounts, een betaalkoppeling en een koppeling met voorraad of boekhouding komt eerder in de middelgrote groep uit.
Van intake tot rapport verstrijken 2 tot 4 weken. Hoe een dagtarief is opgebouwd en hoe je offertes naast elkaar legt, staat bij pentest kosten.
WordPress-site of webshop laten testen
Bij een CMS en bij een webshop verschuift de nadruk van de test. De opbouw van de site bepaalt waar de tester zijn dagen aan besteedt.
WordPress en andere CMS’en
Een website op WordPress, Joomla of Drupal draait voor een groot deel op code van anderen: plugins, thema’s en bibliotheken. OWASP zette dat risico in 2025 op plaats drie, onder de naam Software Supply Chain Failures.
De tester brengt in kaart welke plugins en versies actief zijn en zoekt daar bekende kwetsbaarheden bij. Daarna test hij met de hand wat specifiek voor jouw site is gebouwd, zoals eigen formulieren, een klantomgeving of een koppeling. Wat je zelf vooraf op orde brengt, staat in het stappenplan voor WordPress beveiliging.
Webshop
Bij een webshop gaat de meeste testtijd naar accounts en de betaalflow. Securitytest.nl noemt twee vaste controles: ziet een klant uitsluitend zijn eigen account en bestellingen, en is een bestelling te plaatsen zonder geldige betaling? Kortingscodes en cadeaubonnen vallen onder dezelfde logica.
Verwerk je zelf betaalkaartgegevens, dan geldt PCI DSS met een jaarlijkse pentest. De regels staan bij wanneer een pentest verplicht is.
De configuratie is ook bij grote winkels een aandachtspunt. In de meting van Securiguide onder 39 Nederlandse webwinkels van oktober 2026 stonden gemiddeld 3,6 van de 6 gemeten security headers aan. Bij 10 van de 39 winkels was DNSSEC actief.
Website pentest of website scan
Een website scan is geautomatiseerd en klaar in minuten tot uren. Een pentest is handwerk van dagen, waarin een tester aantoont hoe ver hij met een zwakke plek komt.
- Een scan vindt: verlopen certificaten, ontbrekende security headers, verouderde versies van CMS en plugins en open beheerpagina’s.
- Een tester vindt daarnaast: fouten in de toegangscontrole, in het bestel- en betaalproces en in de samenhang tussen losse zwakke plekken.
Een scan kost een paar honderd tot circa 2.000 euro. Draai hem doorlopend en laat de pentest jaarlijks de diepte in gaan. Het geautomatiseerde deel staat uitgelegd bij vulnerability scanning.
Een gratis eerste indruk krijg je op Internet.nl, de test van het Platform Internetstandaarden. Die meet onder meer HTTPS, DNSSEC en de security headers van je domein.
Waaraan je in een offerte herkent dat een aangeboden pentest in feite een scan is, lees je bij het prijsverschil tussen een pentest en een scan.
Vind een pentestbureau voor je website
Het overzicht van Securiguide toont 52 Nederlandse bureaus die pentests uitvoeren, met per bureau de plaats en het pentestaanbod.
Een website pentest voorbereiden in vijf stappen
Deze vijf stappen regel je voor de eerste testdag, zodat de testtijd naar het testen zelf gaat.
- Baken de scope af. Noteer de domeinen en subdomeinen, het beheerpaneel, de API en de koppelingen die meedoen. Wat buiten de scope valt, blijft ongetest.
- Kies de omgeving. Een acceptatieomgeving voorkomt verstoring van bestellingen en betalingen. Zorg dat softwareversie, configuratie en security headers gelijk zijn aan productie. De NOREA-handreiking stelt die eis bij een DigiD-test op acceptatie.
- Maak testaccounts aan. Lever per rol twee accounts aan, met testgegevens erin. De lijst per testvorm vind je bij black box, grey box en white box.
- Regel de toestemming. Teken de vrijwaringsverklaring en meld de test bij je hostingpartij. De afspraken op een rij vind je bij pentest bedrijven.
- Plan het herstel. Reserveer tijd van je ontwikkelaar of webbouwer voor de weken na het rapport en spreek een hertest af.
Drie risico’s van een test op de productieomgeving
- Bestellingen of betalingen raken verstoord tijdens de test.
- Testbestellingen komen in je administratie en voorraad terecht.
- Formulieren sturen testberichten naar echte klanten of collega’s.
Test je op productie, maak dan vooraf een back-up, plan de test buiten piekuren en houd een beheerder bereikbaar.
Veelgestelde vragen over de website pentest
Wat kost een website pentest?
Een compacte test van één kleine website begint rond 2.500 euro. Voor een website met meerdere rollen en een eigen API noemt Secure Audit 7.000 tot 15.000 euro. De bedragen zijn exclusief btw.
Hoe lang duurt een pentest van een website?
Het testwerk duurt 3 tot 5 dagen bij een kleine website en 5 tot 10 dagen bij een middelgrote. Tel daar de intake en de rapportage bij op, dan kom je op 2 tot 4 weken doorlooptijd.
Blijft mijn website bereikbaar tijdens de test?
In de regel wel. Testers vermijden aanvallen die een website overbelasten, tenzij je daar uitdrukkelijk om vraagt. De kans op verstoring is klein en bestaat. Met een acceptatieomgeving blijft je productiesite buiten de test.
Kan ik zelf een pentest op mijn website uitvoeren?
Op je eigen website mag dat, binnen de voorwaarden van je hostingpartij. Met de open source pentest tools uit Kali Linux vind je de voor de hand liggende zwakke plekken. Voor een klant, auditor of toezichthouder telt een onafhankelijke test door een extern bureau.
Is een pentest van een website verplicht?
Een algemene plicht voor elke website bestaat niet. In vijf situaties ligt de pentest vast in een norm of in wetgeving, waaronder een DigiD-aansluiting en het verwerken van betaalkaartgegevens onder PCI DSS. Het overzicht staat bij wanneer een pentest verplicht is.
Bronnen
- OWASP, Top 10:2025, Introduction. Geraadpleegd op 5 oktober 2026.
- OWASP, Web Security Testing Guide versie 4.2. Geraadpleegd op 5 oktober 2026.
- Secure Audit, Wat kost een pentest? Prijsindicatie, factoren en veelgemaakte fouten, 14 juli 2026.
- Matproof, Penetratietest kosten in Nederland, 9 maart 2026.
- Securitytest.nl, Webshop pentest. Geraadpleegd op 5 oktober 2026.
- NOREA, Handreiking ICT-beveiligingsassessment DigiD, versie 2025, 29 augustus 2025.
- Securiguide, Onderzoek: beveiliging van 39 Nederlandse webwinkels getest, oktober 2026.
- Tarieven van de bureaus, geraadpleegd op 5 oktober 2026: Resync, Budget Security en DongIT.