Pentest offerte vergelijken: 7 vragen voordat u tekent

Waarom lopen pentestprijzen zo ver uiteen?

Wie een pentest offerte gaat vergelijken, ziet vaak grote verschillen in prijs. Dat komt doordat een pentest handwerk is: de prijs is grofweg het aantal testdagen keer het dagtarief van de tester. Twee offertes voor dezelfde webshop kunnen daardoor flink verschillen. Geen van beide is dan te duur of te goedkoop: ze testen gewoon iets anders.

Een voorbeeld. Aanbieder A biedt voor uw WooCommerce-shop één testdag aan, van buitenaf en zonder inlog. Aanbieder B biedt vier testdagen aan, met een testaccount als klant en als beheerder, plus de koppeling met uw boekhouding. B is duurder, maar test ook de plekken waar klantgegevens zitten. Die offertes kunt u pas vergelijken als u weet wat erin zit.

Soms is een lage prijs ook gewoon een scan in een andere verpakking. Een geautomatiseerde scan is nuttig, maar het is geen pentest. Lees daarover meer in ons artikel scan of pentest.

Vraag 1: wat staat er precies in de scope?

Vraag om een scope op papier. Welke domeinen en subdomeinen, welke onderdelen en welke koppelingen? Onderdelen zijn bijvoorbeeld de checkout, mijn account en de beheeromgeving. Hoe concreter, hoe beter. “Uw website” is geen scope.

Een serieuze aanbieder vraagt ook vooraf om schriftelijke toestemming van de eigenaar van het systeem. Wordt uw webshop gehost of beheerd door een andere partij, dan moet duidelijk zijn wie die toestemming geeft. Zonder toestemming testen is strafbaar.

Vraag 2: welke testmethode gebruikt u?

Bij een black-box-test weet de tester vooraf niets en werkt hij zoals een buitenstaander. Bij een grey-box-test krijgt de tester testaccounts en wat uitleg, zodat hij ook achter de inlog kan kijken. Bij een white-box-test krijgt hij ook toegang tot de code of de configuratie.

Voor een webshop met klantaccounts levert grey-box per testdag meestal meer op. De tester verliest dan geen tijd met raden wat er achter de inlog zit. Vraag ook welke openbare methode de aanbieder volgt, bijvoorbeeld de OWASP Web Security Testing Guide.

Vraag 3: hoeveel testdagen, en wie test er?

Vraag het aantal testdagen en wie de test uitvoert. Spreekt u in de intake de tester zelf, of iemand van verkoop? Wordt het werk uitbesteed? U mag naar de ervaring van de tester vragen en naar een voorbeeld van eerder werk.

Vraag 4: wat wordt er níet getest?

Wat buiten de scope valt, is net zo belangrijk als wat erin zit. Denk aan belastingtests die uw shop kunnen platleggen (DDoS) en phishing van uw medewerkers. Ook de servers van uw hostingpartij vallen erbuiten. Net als systemen van derden, zoals uw betaalprovider of het Shopify-platform zelf. Die mogen alleen getest worden met toestemming van die partij.

Staat er niets over uitsluitingen in de offerte, vraag het dan na. Zo voorkomt u dat u denkt dat iets getest is terwijl dat niet zo is.

Vraag 5: hoe ziet het rapport eruit?

Vraag om een voorbeeldrapport. Goed is een korte samenvatting in gewone taal voor u als ondernemer. Daarnaast per bevinding het bewijs, de ernst en een concrete oplossing voor uw bouwer. Een lijst van honderd automatisch gegenereerde meldingen zonder uitleg helpt u niet verder.

Vraag 6: zit er een hertest bij?

Na het oplossen wilt u weten of de oplossing werkt. Een hertest controleert dat. Vraag of hij is inbegrepen, binnen welke termijn en wat hij kost als dat niet zo is. Wilt u een verzekeraar of klant laten zien dat de punten zijn opgelost? Dan heeft u de hertest bijna altijd nodig.

Vraag 7: vaste prijs of nacalculatie?

Bij een vaste prijs weet u vooraf wat u betaalt. Bij nacalculatie betaalt u per gewerkt uur of per dag, en kan de rekening hoger uitvallen. Vraag ook naar bijkomende kosten, zoals reiskosten, spoedtoeslag of een extra gesprek over het rapport.

Wat zeggen certificeringen bij het vergelijken van pentest offertes?

OSCP is een persoonlijk examen voor de tester, uitgegeven door OffSec. CREST is een internationale organisatie die bedrijven en testers accrediteert. Het CCV Keurmerk Pentesten is een Nederlands keurmerk waarbij een certificatie-instelling de aanbieder toetst. Zo’n certificering zegt iets over kennis of werkwijze, niet over de uitkomst van uw test.

Blackbox Cyber heeft geen van deze certificeringen. Enes voert de testen zelf uit en heeft 5,5 jaar praktijkervaring. Hij rondde trainingen af bij onder meer Qualys en Centri. Dat zijn certificaten van afronding, geen beroepscertificeringen. Eist uw klant of verzekeraar een gecertificeerde aanbieder, dan zeggen we dat in de intake eerlijk. Vraag bij elke aanbieder het bewijs op. Meer in ons artikel over het CCV-keurmerk.

Onze eigen scope en prijs, ter vergelijking

De Scan, vanaf € 295 excl. btw: een geautomatiseerde scan die wij met de hand nalopen, met een kort rapport. Dat is geen pentest.

De Inbraaktest, vanaf € 2.950 excl. btw: één website of webshop, met de hand getest van buitenaf en zonder inlog. Doorlooptijd: 2 testdagen, start binnen 48 uur en rapport binnen 24 uur daarna. Eén hertest binnen 60 dagen is inbegrepen.

De Inbraaktest Totaal, vanaf € 4.950 excl. btw: ook achter de inlog, met testaccounts per rol en uw API’s. Doorlooptijd: 4 tot 5 testdagen, start binnen 48 uur en rapport binnen 24 uur daarna. Ook hier is één hertest inbegrepen. Een losse hertest kost vanaf € 295.

Al deze bedragen zijn excl. btw en gelden voor zakelijke klanten. Na de gratis intake krijgt u één vaste eindprijs op papier, met de scope en wat er niet getest wordt. Leg die gerust naast de offerte van een andere aanbieder en loop samen de zeven vragen hierboven langs. Deze prijzen gelden in oktober 2026; de actuele prijzen staan altijd op onze prijzenpagina.