Security review vóór de launch
Een volledige security review van je codebase, opgeleverd als geautomatiseerde testsuite in je repository. Daarbij een helder advies over wat er vóór de launch gefixt moet zijn en wat daarna kan. Geen rapport dat in een la belandt, maar iets waar je team direct mee verder kan.
Blijft in je pipelineNa de fix bewaakt elke test bij iedere release dat het lek dicht blijft.
Met Cursor, Lovable of Claude Code staat een werkend product sneller dan ooit. Dat is pure winst, want je hebt klanten of krijgt ze binnenkort. Die klanten delen één database, en wat hen van elkaar scheidt is de filterregel in elke query en elke route.
Multi-tenant isolatie vraagt daarom om honderd procent consistentie over de hele codebase. Eén vergeten filter is een directe ingang tussen klanten. Dat controleer je niet met een steekproef, dat controleer je systematisch.
Zo'n codebase faalt niet met exotische lekken. Hij faalt met een regel die op 90% van de plekken goed staat en op de 38e plek is vergeten. Een steekproef mist precies die plek.
Elk bestand, elke route, elke API-koppeling. Systematisch, zodat ook die ene vergeten plek boven komt.
Dat is het risico dat bij multi-tenant SaaS het zwaarst weegt, en waar de review de meeste aandacht aan geeft.
Standaardchecklists zeggen daar nog weinig over. Wij hebben er inmiddels ervaring mee.
Wat je krijgt
Het eerste blijft in je codebase en blijft daar zijn werk doen.
Per bevinding één geautomatiseerde test die het gewenste gedrag definieert. Zodra de fix staat, kleurt de test groen en blijft hij als regressiebescherming in je pipeline. Met documentatie, zodat je team de suite zonder ons draait en uitbreidt.
Een geprioriteerde lijst met pragmatische triage van wat vóór de launch moet, wat in de weken erna kan en wat een aandachtspunt voor later is. Per bevinding de fix en de inspanning, zodat je een roadmap hebt in plaats van een stapel issues.
Elke bevinding met het bewijs erbij, per bestand en regel, in de repository naast de suite. Het onderzoek is daarmee transparant, na te lopen en later te herhalen.
Zo werkt het
Een vaste prijs vooraf en een doorlooptijd van twee tot drie weken.
We kijken samen naar de omvang van je app en stemmen de scope af. Dezelfde week heb je een vaste prijs.
Elk bestand, elke route, elke koppeling. Na je schriftelijke toestemming, tegen een aparte omgeving met synthetische data.
Alles staat in je repository, met een helder advies over wat vóór de launch moet. De tests draai je daarna zelf.
Onze regel
We zetten de analysecapaciteit van AI in om de hele codebase dekkend door te lichten, binnen een budget dat een volledig handmatige review nooit haalt. Onze senior engineers valideren, wegen en prioriteren wat daaruit komt.
Het resultaat is geen scanner die vage waarschuwingen geeft, maar een set concrete, reproduceerbare tests met het bewijs erbij. Die tests draai je zelf, vandaag en bij elke volgende release.
Scope
Buiten scope: de infrastructuur van je leveranciers, DDoS, fysieke beveiliging en formele certificering. De bevindingen zijn daar wel een goede basis voor.
Een contractmanagement-SaaS met contracten, digitale handtekeningen en een AI-assistent, in korte tijd gebouwd en klaar om open te gaan. Wij deden de review vóór de launch.
De uitkomst: geen fundamentele architectuurfouten, wel een overzichtelijke lijst concrete fixes, waarvan de meeste binnen uren waren opgelost. Daarmee had het team een duidelijk pad naar de launch.
Capability Model
Security review werkt aan deze 3 capabilities uit het Moxie IT Capability Model. Klik door voor de niveaus en verbeterstappen.
Veelgestelde vragen
Staat je vraag er niet tussen? Stel hem in de intake, of mail naar info@moxie-it.nl.
Ja, en dat zeggen we ook. We werken met Claude Code. De volledigheid komt van AI, het oordeel en de toetsing van onze senior engineers. We lopen niet elke bevinding met de hand na en beloven dat ook niet. Het bewijs staat erbij, en de tests draai je zelf.
Nee. Alles draait tegen een aparte niet-productieomgeving met synthetische data en dezelfde diensten voor login, betaling en opslag. Nooit tegen productie, nooit met je klantdata. We beginnen pas na je schriftelijke toestemming.
Dan bouwen wij hem, tegen meerprijs. In de intake kijken we samen wat daarvoor nodig is.
Next.js en TypeScript. Andere stacks in overleg.
De infrastructuur van je leveranciers, DDoS, fysieke beveiliging en formele certificering. De bevindingen zijn daar wel een goede basis voor.
Prijs en intake
In dat uur kijken we samen naar de omvang van je app en stemmen we de scope af. Dezelfde week heb je een vaste prijs. Zonder verplichtingen.
Bepaald in de intake, voordat we beginnen.