Sleutels in het openbaar
Een token dat in de browser terechtkomt, kan de toegang van iemand anders worden en jouw rekening bij de leverancier.
Controleer wat je AI-assistent over het hoofd zag.
Eén openbare link laat zien wat een strak uitziende website kan verbergen. Je krijgt afgeschermd bewijs, praktische aanpassingen en één complete herstelopdracht.
Doe de gratis veiligheidscheck
Bekijk de uitleg van 20 seconden
Twee scans gratis na e-mailbevestiging. Geen wachtwoord of betaalkaart nodig. Bekijk de acht gedocumenteerde gevallen.
Alleen openbare pagina'sGeen formulieren of inlogpogingenBroncode blijft op je apparaat
LiftoffCheck
Controleer je site voor hij live gaat.
Website scannenBroncode lokaal
Openbaar webadresvoer-je-site.nl
Scan mijn site →
Passief van opzet
LiftoffCheck
Passieve scan draait…
Geen aanvallen, geen inlogpogingen
LiftoffCheck
Rapport: 3 aandachtspunten
Mogelijke sleutel in codeHoog
Onveilige SQL-opbouwHoog
RLS niet ingeschakeldMiddel
Maak herstelopdracht
Dit zijn acht gedocumenteerde incidenten, met bron. De checker herkent ze alle acht.
Niet ooit, en niet alleen bij grote bedrijven. Dit is wat er gemeten is, met de bron erbij.
- 1 minuut Zo snel werd een testsleutel op GitHub gevonden en misbruikt. De meeste aanvallen kwamen binnen het uur. Comparitech
- $ 45.000 De rekening na één gekaapte cloudsleutel. Vreemden draaiden er dagenlang rekenwerk op. Amazon schold dit bedrag uiteindelijk kwijt, maar daar heb je geen recht op. Tom's Hardware
- 1.630 Van de 5.850 onderzochte websites accepteerde dit aantal een nagemaakte betaalmelding. Levering zonder betaling. GitHub Advisory
De eerste twee checks zijn gratis en kosten je twee minuten. Bekijk de acht gedocumenteerde gevallen die deze checker herkent, of start meteen.
01 / WAAROM DIT UITMAAKT
Een strakke lancering kan alsnog lekken.
De buitenkant kan af lijken terwijl de dure fouten erachter zitten. Een scan garandeert geen veiligheid. Hij zorgt er wel voor dat gewone, te voorkomen blootstelling niet onopgemerkt blijft.
Kritiek
Onbegrensd gebruik
Een AI-koppeling zonder inlogcontrole, sluitende creditadministratie en strakke limieten is op grote schaal te automatiseren.
Zwakke browserinstellingen
Ontbrekende beveiligingsregels, onveilige cookies en open testpagina's maken het aanvalsoppervlak groter.
Een scan is een goedkope eerste controle: je ziet in twee minuten wat een handmatige review pas later zou vinden.
02 / DIT IS ECHT GEBEURD
Wat het kost als niemand kijkt.
Geen verzonnen schrikverhalen. Acht gedocumenteerde gevallen, met de bron erbij zodat je het zelf kunt nalezen. Alle acht gaan over fouten die deze checker herkent.
Bewaking in de browser
Eén waarde aangepast, alle betaalde functies gratis
Een dienst voor verkoopleads was volledig met AI gebouwd, zonder één regel handgeschreven code. De maker vertelde dat trots online. Binnen 72 uur hadden bezoekers door dat ze in de browserconsole één waarde konden omzetten om alle betaalde functies te krijgen. Er was geen inlogcontrole, de database stond open en er was geen limiet. Binnen een week was de dienst offline.
Wat de checker doet: hij markeert het wanneer een abonnement, een rol of een creditsaldo in de browser wordt bijgehouden in plaats van op de server.
Bron: Vibe Graveyard
Databaseregels uit
170 apps lekten adressen, schulden en sleutels
Onderzoekers keken naar 1.645 apps die met een bekende AI-bouwtool waren gemaakt. Bij 170 daarvan kon iedereen de persoonsgegevens ophalen: woonadressen, openstaande schulden, en de sleutels van de bouwer zelf. De oorzaak was steeds dezelfde: de beveiliging per rij in de database stond uit.
Wat de checker doet: hij leest je databasebestanden en meldt tabellen zonder beveiliging op rijniveau, en regels die iedereen toegang geven.
Instellingenbestand open
110.000 websites afgestroopt op één bestand
Aanvallers scanden het internet op websites waar het instellingenbestand met wachtwoorden per ongeluk te downloaden was. Bij 110.000 domeinen was dat raak. Ze haalden er 90.000 waarden uit, waaronder 1.185 sleutels van cloudaccounts en 235 toegangstokens. Daarna leegden ze de opslagmappen en lieten een briefje achter met de eis om te betalen voor teruggave.
Wat de checker doet: hij vraagt precies die bestanden op bij je site en meldt het als er echte inhoud terugkomt in plaats van een foutpagina.
Bron: CSO Online
Opslag open
72.000 foto's, waaronder rijbewijzen, op straat
Een app waar vrouwen zich veilig moesten voelen, vroeg bij aanmelding om een selfie en een identiteitsbewijs. De opslag daarvan stond open. 72.000 afbeeldingen kwamen naar buiten, waaronder 13.000 selfies met identiteitsbewijs. Kort daarna volgde 1,1 miljoen privéberichten. De buit belandde op een forum en werd gebruikt om mensen lastig te vallen.
Wat de checker doet: hij controleert of instellingen- en opslagbestanden openbaar te lezen zijn, en of sleutelbestanden per ongeluk zijn meegeleverd.
Bron: Security.org
Betaling nagebootst
Betaalmelding nagemaakt, tegoed gratis bijgeschreven
Twee producten controleerden wel of een betaalmelding echt van de betaaldienst kwam, maar het wachtwoord voor die controle mocht leeg blijven. Met een leeg wachtwoord klopt elke handtekening. Iemand stuurde zijn eigen bericht "deze klant heeft betaald" en kreeg onbeperkt tegoed. De rekening van het AI-verbruik ging naar de eigenaar. Bij een steekproef onder 5.850 websites hadden er 1.630 hetzelfde probleem.
Wat de checker doet: hij meldt het als het controlewachtwoord leeg mag zijn, en hij kijkt per bestand of een betaalroute de handtekening wel echt nakijkt.
Pakket gekaapt
Achttien pakketten gekaapt, 2,6 miljard downloads per week
Een ontwikkelaar trapte in een nepmail over tweestapsverificatie. Met zijn account publiceerden aanvallers nieuwe versies van achttien veelgebruikte hulppakketten, waaronder twee die samen honderden miljoenen keren per week worden opgehaald. De code die meekwam, wisselde stiekem betaaladressen om. Wie in die uren installeerde, kreeg het binnen.
Wat de checker doet: hij meldt pakketten zonder vastgezette versie, een ontbrekende lockfile, en installatiescripts die code van internet halen en meteen uitvoeren.
Bron: Wiz
AI misleid
Eén e-mail volstond om bedrijfsdata te laten weglekken
Onderzoekers stuurden een e-mail met daarin een verborgen instructie. De AI-assistent die de mail netjes samenvatte, las die instructie mee en voerde hem uit: gegevens ophalen uit de bestanden van het bedrijf en naar buiten sturen. De ontvanger hoefde nergens op te klikken. Het probleem was dat de tekst uit de mail in dezelfde opdracht stond als de echte instructies.
Wat de checker doet: hij meldt het wanneer invoer van bezoekers of van externe pagina's rechtstreeks in de opdracht aan een AI-model wordt geplakt.
Sleutel in de app
Apps met miljoenen downloads gaven hun opslagsleutel weg
Onderzoekers pakten populaire apps uit en vonden er de sleutels van de cloudopslag gewoon in terug. Een foto-app had de volledige toegang tot zijn opslagmap in de code staan, lezen en schrijven. Een app voor motorrijders had de gegevens van zijn berichtendienst erin zitten, met 100.000 gebruikers. Een app uitpakken vraagt geen kennis en gratis gereedschap.
Wat de checker doet: hij herkent opslagsleutels en verbindingsregels in je code, ook in mobiele projecten, en toont de waarde zelf nooit.
Bron: Symantec
1 minuutZo snel werd een testsleutel op GitHub gevonden en gebruikt. De meeste aanvallen kwamen binnen het uur. Comparitech
28,6 miljoenSleutels en wachtwoorden die in 2025 in openbare code terechtkwamen. Een derde meer dan het jaar ervoor. GitGuardian
64%Van de sleutels die in 2022 lekten, werkte begin 2026 nog steeds. Weghalen uit de code is niet hetzelfde als intrekken. GitGuardian
Wat deze gevallen gemeen hebben: het waren geen ingewikkelde aanvallen. Het waren standaardfouten die een geautomatiseerde controle van tevoren had kunnen aanwijzen.
03 / DE WERKWIJZE
Eén webadres. Vier bruikbare antwoorden.
- 01
Bepaal het doel
Vul een openbaar webadres in en bevestig dat het van jou is of dat je schriftelijk toestemming hebt.
- 02
Breng de site in kaart
We bekijken maximaal 25 pagina's van dezelfde site, houden ons aan robots.txt en laten zoekparameters, uitlogpagina's en risicovolle routes met rust.
- 03
Lees het bewijs
Elk resultaat scheidt wat er is waargenomen, hoe ernstig dat kan zijn en wat je zelf nog moet nakijken.
- 04
Los het op met context
Download het rapport of maak één afgeschermde, defensieve opdracht voor je programmeerassistent.
05 / WAT ER GECONTROLEERD WORDT
Nuttige dekking, zonder te doen alsof alles getest is.
Bekijk de volledige lijst met alle 59 controles en de norm waarop elke controle is gebaseerd
Veiligheid van buitenaf
- TLS en doorverwijzingen
- CSP en browserinstellingen
- Cookies en formulierverkeer
- Onveilige mix en externe scripts
- Foutmeldingen en lekkende sleutels
- Testpagina's en security.txt
- Basissignalen voor fraude en reputatie
Signalen in de code
- Ingebakken inloggegevens en privésleutels
- Injectiepunten voor SQL, shell en HTML
- SSRF, CORS en onveilige doorverwijzingen
- Zwakke versleuteling, willekeur en tokenopslag
- Onbegrensde AI-aanroepen en uploads
- Bedragen die de browser mag bepalen
- Transport- en opslagrisico's op mobiel
Waar nog mensen voor nodig zijn
- Inloggen, MFA en accountherstel
- Rechten op objecten en rollen
- Databaseregels en productietoegang
- Bedrijfslogica en gelijktijdigheid
- Afhankelijkheden en toeleverketen
- Logging, back-ups en incidentafhandeling
- Privacy en bewaartermijnen
06 / GEBOUWD OM TE VERDEDIGEN
De checker is zelf ook aan banden gelegd.
Een beveiligingsproduct mag geen aanvalsgereedschap worden. De openbare scan is met opzet passief en begrensd. De lokale scan uploadt nooit broncode.
- 01Geen actieve aanvallen
Geen inlogpogingen, geen wachtwoordkraken, geen injectie, geen poortscans en geen verzoeken die iets kapotmaken.
- 02Grenzen tegen SSRF
Interne netwerken, inloggegevens in webadressen, onveilige poorten, zoekparameters en onveilige doorverwijzingen worden geblokkeerd.
- 03Rapport zonder geheimen
Wordt er een sleutelpatroon gevonden, dan komt de waarde zelf nooit terug in het rapport, op het scherm of in de opslag.
- 04Kosten in de hand
Quota per host, gelijktijdigheidslimieten, vaste maximale groottes en tijdslimieten beperken misbruik en oplopende kosten.
- 05Eerlijk over de grenzen
Inloggen, rechten, infrastructuur en bedrijfslogica die niet bewezen zijn, blijven gemarkeerd voor handmatige controle.
- 06Diepe scans alleen na bevestiging
Een scan over meerdere pagina's start pas als het account via DNS of een bestand op het domein heeft aangetoond dat het domein van hem is.
07 / PRIJZEN
Koop scans. Houd het rapport.
Een credit wordt pas afgeschreven na een geslaagde openbare scan. Pakketten zijn eenmalige aankopen, geen abonnement. Lokale broncodescans zijn gratis.
2 websitescans gratisna bevestiging van je e-mailadres
Geen abonnementlater koop je alleen scans als je ze nodig hebt
Start met je gratis scans
GEBRUIKTE STANDAARDEN
Gebaseerd op erkende standaarden, niet op een zelfbedacht "AI-veilig" stempel.
- OWASP ASVS 5.0Technische beveiligingseisen
- OWASP WSTGTestgebieden en bewijs voor websites
- OWASP API Top 10:2023Rechten, verbruik en SSRF
- NIST SSDF 1.1Veilig ontwikkelen en toeleverketen