Wat kost een pentest?

Waarom een vaste prijs

De meeste bureaus rekenen per dag en per scope. Je krijgt een bandbreedte, een offerte na een intake, en de hertest blijkt later een aparte post. Dat is niet oneerlijk, het is onhandig als je een deal hebt die wacht op een securityvragenlijst of een audit die over drie maanden begint.

Daarom werk ik andersom. Eén prijs, vooraf, voor een scope die ik ken. Het risico dat de applicatie groter blijkt dan gedacht ligt bij mij — en dat is precies waarom er een scoping call van dertig minuten aan voorafgaat. Daarin bepaal ik of je in de standaardscope past. Zo ja, dan is €6.500 het bedrag. Zo nee, dan hoor je dat in dat gesprek en krijg je alsnog één vast bedrag, geen tarief per uur.

Wat er in €6.500 zit

• Scoping call van dertig minuten, vrijblijvend.
• Vijf werkdagen handmatig testen volgens OWASP WSTG en ASVS Level 2, door één senior tester — dezelfde persoon die je spreekt.
• Elke testdag een korte update. Een kritieke bevinding hoor je dezelfde dag, niet pas in het rapport.
• Conceptrapport binnen drie werkdagen na de laatste testdag. Later? Dan krijg je 20% korting.
• Het rapport voor je team: elke bevinding met proof-of-concept en CVSS-score, zodat je developers hem kunnen reproduceren.
• De TPM voor de rest: een verklaring van twee pagina's voor klanten, investeerders, auditors en verzekeraars, zonder je technische vuile was.
• Debrief met je team.
• Hertest binnen 90 dagen, tot alles is opgelost of formeel geaccepteerd — met een ondertekende verklaring per ronde.
• Vragen van je auditor over de TPM beantwoord ik zelf, kosteloos.

Wat de standaardscope is

Eén webapplicatie met bijbehorende API, ongeveer drie gebruikersrollen, ongeveer 75 endpoints, één omgeving. Dat dekt het grootste deel van de SaaS-applicaties die ik zie. De vijf dagen zijn een realistische inschatting voor die omvang, geen maximum aan inspanning; ik stop niet op vrijdagmiddag omdat de teller vol is.

Wanneer het meer wordt

Meer gebruikersrollen, veel meer endpoints, meerdere omgevingen, een mobiele app naast de webapplicatie, of een tweede applicatie. Dan is het geen €6.500, maar nog steeds één vast bedrag dat je vooraf krijgt. Een tweede applicatie is een vaste meerprijs. Netwerk, cloud en infrastructuur doe ik voor bestaande klanten, op aanvraag.

Wanneer het minder wordt

Als je dit vaker dan één keer nodig hebt. Twee losse tests kosten €13.000. Het Jaarplan kost €12.000 per jaar en bevat een volledige test vóór je auditvenster, een gerichte tussentest zes maanden later, een fix-sessie met je developers na elke test, en het hele jaar antwoord op vragen van je auditor. Je rapport is dan nooit ouder dan een half jaar.

Release je elke paar weken, dan is Release Guard de derde optie: €3.000 per maand, tot twee dagen per maand, met de jaarlijkse test erin.

Wat je niet betaalt

Geen credits. Geen uren die vervallen. Geen platform-fee. Geen accountmanager tussen jou en de tester. En een technische vraag tussendoor — ook buiten een lopende opdracht — beantwoord ik gewoon, zonder factuur.

Vijf vragen die je elk bureau moet stellen

1. Wie voert de test uit, en is dat dezelfde persoon als degene die ik nu spreek?
2. Zit de hertest in de prijs, en hoe lang na het rapport?
3. Wat krijgt mijn klant of auditor te zien, en wat niet?
4. Wat gebeurt er als jullie op dag twee iets kritieks vinden?
5. Wat gebeurt er als het rapport te laat is?

Mijn antwoorden staan hierboven. Kan een bureau ze niet geven, dan weet je genoeg.