E-16 Inloggen via een externe identiteitsdienst (SAML, OpenID Connect): handtekeningen, doelgroep en vervaldatum van tokens gecontroleerd, terugkeeradressen vastgelegd, geen open redirects

Waarom

De klassieke lekken: inloggen, rechten, injectie, geheimen en versleuteling. Hier gaat het in de praktijk het vaakst mis.

Hoe we het controleren

Methode: scan + aanvalstest

• Scan: volledig automatisch, met vaste regels. Dezelfde code geeft altijd dezelfde uitkomst.
• Aanvalstest: een geautomatiseerde aanval op de draaiende app in een testomgeving.