Catalogus
Wat we controleren
45 checks, elk gekoppeld aan de wetten en normen waar ze bij helpen. De catalogus is ook beschikbaar als checks.json.
45 van 45 checks
- A-03
SBOM in machineleesbaar formaat
SBOM in machineleesbaar formaat (SPDX of CycloneDX), automatisch bij de build gemaakt, minstens alle directe afhankelijkheden
CRA bijlage I deel II (1)ISO/IEC 5962
Product, scope en inventaris · Code en afhankelijkhedenVanaf niveau 1 - A-09
AI-vermelding: gebruikt het product AI?
AI-vermelding: vastgesteld of het product AI gebruikt (scan met vaste regels en verklaring van de bouwer); het rapport toont "AI: ja" of "AI: nee", met het hoogste autonomieniveau
AI Act art. 50ISO/IEC 42001
Product, scope en inventaris · Code en afhankelijkhedenVanaf niveau 1 - B-05
Agentconfiguratie in de repo
Agentconfiguratie in de repo (instructiebestanden, regels, MCP-configuratie, prompt- en agentlogs) bevat geen geheimen, geen klantgegevens en geen onveilige instructies zoals "sla tests over"
OWASP Agentic ASI01, ASI04
Bouwen met AI · Code en afhankelijkhedenVanaf niveau 1 - B-06
Geen verzonnen of verdachte pakketten
Geen verzonnen of verdachte pakketten: elke afhankelijkheid bestaat in het officiële register, is niet pas geregistreerd en lijkt niet op een bekende naam
OWASP A03:2025
Bouwen met AI · Code en afhankelijkhedenVanaf niveau 1 - C-01
Statische analyse zonder kritieke of hoge bevindingen
Statische analyse zonder kritieke of hoge bevindingen op de vier kenmerken van ISO/IEC 5055
ISO/IEC 5055
Codekwaliteit en onderhoudbaarheid · Code en afhankelijkhedenVanaf niveau 1 - C-06
Foutafhandeling
Foutafhandeling: fouten worden niet ingeslikt, gebruikers zien geen stacktraces, gedrag bij uitzonderingen is bepaald
OWASP A10:2025
Codekwaliteit en onderhoudbaarheid · Code en afhankelijkhedenVanaf niveau 1 - C-07
Het project bouwt uit een schone checkout met één gedocumenteerde opdracht
Het project bouwt uit een schone checkout met één gedocumenteerde opdracht; versies zijn vastgezet in een lockfile
ISO/IEC 25010 (flexibiliteit)SLSA
Codekwaliteit en onderhoudbaarheid · Code en afhankelijkhedenVanaf niveau 1 - C-13
Geen blokkerende of kritieke code smells
Geen blokkerende of kritieke code smells: ongebruikte variabelen en imports, magische getallen, lege catch-blokken, hardgecodeerde URL's of configuratie, verouderde (deprecated) API's. Lagere ernst staat in het rapport
ISO/IEC 5055
Codekwaliteit en onderhoudbaarheid · Code en afhankelijkhedenVanaf niveau 1 - C-19
Geen ongebruikte afhankelijkheden
Geen ongebruikte afhankelijkheden: elk pakket in het manifest wordt echt gebruikt (ongebruikte pakketten zijn onnodig aanvalsoppervlak)
ISO/IEC 5055CRA bijlage I (2)(j)
Codekwaliteit en onderhoudbaarheid · Code en afhankelijkhedenVanaf niveau 1 - C-20
Geen achtergebleven rommel in repository en artefact
Geen achtergebleven rommel in repository en artefact: back-upbestanden (.bak, .old, .orig), database-dumps, testdata met echte gegevens, voorbeeld- en democode, tijdelijke bestanden van AI-agents, gecommitte buildoutput
ISO/IEC 27002 8.4OWASP WSTG-CONF-04
Codekwaliteit en onderhoudbaarheid · Code en afhankelijkhedenVanaf niveau 1 - D-02
Tests draaien automatisch bij elke wijziging en een falende test blokkeert de release
Tests draaien automatisch bij elke wijziging en een falende test blokkeert de release
ISO/IEC 27002 8.29
Hoe de bouwer test · PipelineVanaf niveau 1 - D-06
Statische beveiligingsanalyse en afhankelijkheidsscan in de pipeline
Statische beveiligingsanalyse en afhankelijkheidsscan in de pipeline, met een drempel die de release blokkeert
NIST SP 800-218ISO/IEC 27002 8.25
Hoe de bouwer test · PipelineVanaf niveau 1 - D-12
Extern aanvalsoppervlak gescand
Extern aanvalsoppervlak gescand: alle domeinen, subdomeinen, open poorten en publiek bereikbare diensten van de app in kaart gebracht en getest op bekende zwakheden (externe kwetsbaarheidsscan; geen pentest)
CRA I (2)(j)ISO/IEC 27002 8.8
Hoe de bouwer test · Live siteVanaf niveau 1 - E-03
Sessies: veilige cookies, time-outs en afmelden
Sessies: veilige cookies, time-outs, afmelden maakt de sessie ongeldig
OWASP ASVS 5.0
Applicatiebeveiliging · Code en afhankelijkhedenVanaf niveau 1 - E-04
Geen injectie
Geen injectie: geparametriseerde queries, output-encoding, geen SQL-, OS-, template- of XSS-lekken
OWASP Top 10 A05:2025
Applicatiebeveiliging · Code en afhankelijkhedenVanaf niveau 1 - E-05
Geen geheimen in code, configuratie of git-geschiedenis
Geen geheimen in code, configuratie of git-geschiedenis; geheimen staan in een kluis of de omgeving
ISO/IEC 27002 8.24CRA I (2)(e)
Applicatiebeveiliging · Code en afhankelijkhedenVanaf niveau 1 - E-06
Versleuteling: TLS, opslag en algoritmen
Versleuteling: TLS 1.2 of hoger voor al het verkeer, gevoelige gegevens versleuteld opgeslagen, geen verouderde of zelfgemaakte algoritmen
OWASP Top 10 A04:2025CRA I (2)(e)
Applicatiebeveiliging · Code en afhankelijkhedenVanaf niveau 1 - E-08
Beveiligingsheaders en configuratie
Beveiligingsheaders en configuratie: CSP, HSTS, restrictieve CORS
OWASP Top 10 A02:2025
Applicatiebeveiliging · Live siteVanaf niveau 1 - F-01
Geen afhankelijkheden met bekende uitbuitbare kwetsbaarheden
Geen afhankelijkheden met bekende uitbuitbare kwetsbaarheden (bv. CISA KEV, EU-kwetsbaarhedendatabank) en geen kritieke CVE zonder mitigatie
CRA I deel I (2)(a)
Afhankelijkheden en supply chain · Code en afhankelijkhedenVanaf niveau 1 - F-02
Geen frameworks of runtimes die niet meer ondersteund worden
Geen frameworks of runtimes die niet meer ondersteund worden; geen onbeheerde pakketten in kritieke functies
OWASP Top 10 A03:2025
Afhankelijkheden en supply chain · Code en afhankelijkhedenVanaf niveau 1 - F-03
Versies vastgezet met een lockfile en integriteitscontrole
Versies vastgezet met een lockfile en integriteitscontrole (hashes)
SLSA
Afhankelijkheden en supply chain · Code en afhankelijkhedenVanaf niveau 1 - F-05
Alle licenties gekend en verenigbaar met het gebruik
Alle licenties gekend en verenigbaar met het gebruik; geen onbedoelde copyleft
ISO/IEC 5230
Afhankelijkheden en supply chain · Code en afhankelijkhedenVanaf niveau 1 - F-13
Indirecte (transitieve) afhankelijkheden worden mee gescand
Indirecte (transitieve) afhankelijkheden worden mee gescand; bij Plus staan ze ook in de SBOM
CRA I deel II (1)
Afhankelijkheden en supply chain · Code en afhankelijkhedenVanaf niveau 1 - G-08
Doorlopende bewaking van nieuwe kwetsbaarheden in afhankelijkheden via de SBOM
Doorlopende bewaking van nieuwe kwetsbaarheden in afhankelijkheden via de SBOM
CRA I deel II (1), (3)
Kwetsbaarheden en updates (CRA) · PipelineVanaf niveau 1 - H-02
Uitvoer van het model wordt behandeld als onbetrouwbare invoer
Uitvoer van het model wordt behandeld als onbetrouwbare invoer: niet rechtstreeks uitgevoerd, gevalideerd en geëncodeerd
OWASP LLM05
AI in het product · Code en afhankelijkhedenVanaf niveau 1 - H-08
Limieten op verbruik van AI (tokens, aanvragen)
Limieten op verbruik (tokens, aanvragen) tegen misbruik en onverwachte kosten
OWASP LLM10
AI in het product · Code en afhankelijkhedenVanaf niveau 1 - O-04
Geen cookies of trackers vóór toestemming
Geen cookies of trackers vóór toestemming: de scan bezoekt de site zonder te klikken en noteert wat er wordt geplaatst
ePrivacyrichtlijn art. 5(3)
Website, domein en juridische informatie · Live siteVanaf niveau 1 - O-05
De site zelf is veilig
De site zelf is veilig: TLS, beveiligingsheaders, CMS en plugins op een ondersteunde versie, geen beheerpagina's open
OWASP Top 10:2025CRA I (2)(a)
Website, domein en juridische informatie · Live siteVanaf niveau 1 - O-06
Domein en e-mail beschermd tegen misbruik
Domein en e-mail beschermd tegen misbruik: SPF, DKIM en DMARC ingesteld, geen overneembare subdomeinen, DNSSEC waar mogelijk
Basis cyberhygiëne (NIS2 art. 21(2)(g))
Website, domein en juridische informatie · Live siteVanaf niveau 1 - P-05
Inkomende webhooks en berichten worden gecontroleerd (handtekening, herkomst)
Inkomende webhooks en berichten worden gecontroleerd (handtekening, herkomst); uitgaande verzoeken alleen naar toegestane bestemmingen; antwoorden van derden worden niet blind vertrouwd
OWASP API7, API10
Koppelingen met andere systemen · Code en afhankelijkhedenVanaf niveau 1 - R-03
Branchstrategie vastgelegd; hoofdbranch beschermd
Branchstrategie vastgelegd; hoofdbranch beschermd: geen directe of geforceerde push, verplichte review (B-03) en een geslaagde pipeline
ISO/IEC 27002 8.32
Versiebeheer en releases · Repository-instellingenVanaf niveau 1 - R-13
Veilige repository-instellingen
Repository-instellingen: geheimenscanning en afhankelijkheidswaarschuwingen aan, geen onbedoeld publieke repositories, geen langlevende persoonlijke tokens
OpenSSF Scorecard
Versiebeheer en releases · Repository-instellingenVanaf niveau 1 - S-04
Geen geheimen of API-sleutels in de app zelf
Geen geheimen of API-sleutels in de app zelf
OWASP MASVS-STORAGE, MASVS-CODE
Mobiele apps · Code en afhankelijkhedenVanaf niveau 1 - S-06
SDK's van derden (analyse, advertenties, crashrapporten) geïnventariseerd
SDK's van derden (analyse, advertenties, crashrapporten) geïnventariseerd; tracking pas na toestemming
ePrivacyrichtlijn art. 5(3)OWASP MASVS-PRIVACY
Mobiele apps · Code en afhankelijkhedenVanaf niveau 1 - U-01
Geen geheimen, API-sleutels of interne adressen in de JavaScript-bundel
Geen geheimen, API-sleutels of interne adressen in de JavaScript-bundel
OWASP ASVS 5.0OWASP Top 10 A02:2025
Frontend (webclient) · Code en afhankelijkhedenVanaf niveau 1 - U-02
Source maps en debugmodus niet publiek in productie
Source maps en debugmodus niet publiek in productie
OWASP Top 10 A02:2025
Frontend (webclient) · Code en afhankelijkhedenVanaf niveau 1 - U-03
Sessietokens en gevoelige gegevens niet in localStorage of sessionStorage
Sessietokens en gevoelige gegevens niet in localStorage of sessionStorage; cookies met HttpOnly, Secure en SameSite
OWASP ASVS 5.0
Frontend (webclient) · Code en afhankelijkhedenVanaf niveau 1 - U-04
Bescherming tegen CSRF en clickjacking
Bescherming tegen CSRF en clickjacking (frame-ancestors)
OWASP ASVS 5.0
Frontend (webclient) · Code en afhankelijkhedenVanaf niveau 1 - U-06
Scripts van derden geïnventariseerd en beperkt
Scripts van derden (analyse, chat, advertenties) geïnventariseerd, met toestemming waar nodig en beperkt via CSP; op betaalpagina's goedgekeurd en bewaakt
ePrivacyrichtlijn art. 5(3)OWASP Top 10 A08:2025PCI DSS 4.0 req. 6.4.3
Frontend (webclient) · Code en afhankelijkhedenVanaf niveau 1 - U-07
Geen gevaarlijke DOM-functies met gebruikersinvoer (innerHTML, eval)
Geen gevaarlijke DOM-functies met gebruikersinvoer (innerHTML, eval); berichten tussen vensters (postMessage) met controle van de herkomst
OWASP Top 10 A05:2025
Frontend (webclient) · Code en afhankelijkhedenVanaf niveau 1 - W-03
Bestandsopslag (bv. S3, Blob) privé, toegang via kortlevende ondertekende links
Bestandsopslag (bv. S3, Blob) privé, toegang via kortlevende ondertekende links; uploads gecontroleerd en buiten de webroot bewaard
OWASP Top 10 A01:2025OWASP ASVS 5.0
Backend en opslag · Code en afhankelijkhedenVanaf niveau 1 - W-06
Limieten op middelen
Limieten op middelen: time-outs, maximale grootte van verzoeken en uploads, paginering, bescherming tegen trage queries
OWASP API4CRA I (2)(h)
Backend en opslag · Code en afhankelijkhedenVanaf niveau 1 - Y-01
TLS juist ingesteld
TLS juist ingesteld: alleen TLS 1.2 en 1.3, sterke cipher suites met forward secrecy, geldige certificaten met volledige keten, HSTS
NIST SP 800-52 Rev. 2BSI TR-02102-2
Communicatieprotocollen · Live siteVanaf niveau 1 - Y-02
Geen onversleutelde protocollen voor gegevens of beheer
Geen onversleutelde protocollen voor gegevens of beheer: geen HTTP behalve doorverwijzing, geen FTP, Telnet, LDAP of MQTT zonder TLS, geen SNMP v1/v2
CRA I (2)(e)ISO/IEC 27002 8.21
Communicatieprotocollen · Live siteVanaf niveau 1 - Y-04
Verouderde protocolversies uitgeschakeld
Verouderde protocolversies uit: SSH alleen versie 2 met sterke algoritmen en sleutels, SMBv1 uit, RDP niet publiek bereikbaar
CIS Benchmarks
Communicatieprotocollen · Live siteVanaf niveau 1