Wij testen Mendix.
Ook voor Mendix zelf

Sinds 2015 testen we de beveiliging van Mendix-applicaties en het platform zelf. Als officiële pentestpartner van Mendix weten we hoe het platform zich ontwikkelt en waar applicaties in de praktijk kwetsbaar worden.

Low-code lost niet alles op

Mendix maakt het eenvoudiger om snel applicaties te bouwen, maar low-code neemt de beveiligingsrisico’s voor ontwikkelaars en securityteams niet weg.

Je Mendix-app gaat live. Maar is die ook getest?

Security wordt vaak pas aan het einde van de ontwikkeling getest. Kwetsbaarheden die boven water komen, kosten meer tijd om op te lossen en kunnen de livegang vertragen.

Ontwikkelaars bouwen productieapplicaties zonder beveiligingsachtergrond

Mendix maakt software bouwen toegankelijker, maar niet elke ontwikkelaar leert denken als een aanvaller. Zo kunnen securityfouten ongemerkt in een applicatie terechtkomen.

Je dependencies blijven veranderen

Je Mendix-applicatie blijft zich ontwikkelen met nieuwe functionaliteiten, Marketplace-modules, Java-libraries en API- en SSO-koppelingen. Marketplace-modules zijn daarbij afhankelijk van andere componenten en libraries, waardoor updates, wijzigingen en configuratiefouten nieuwe securityrisico’s in je applicatie kunnen introduceren.

AI voegt een nieuw aanvalsoppervlak toe

AI-agents worden steeds vaker onderdeel van Mendix-applicaties en brengen nieuw gedrag, nieuwe datastromen en aanvalspaden met zich mee. De vraag is of jouw securityaanpak hetzelfde tempo bijhoudt.

Waarom The S-Unit voor Mendix

Mendix-security vraagt om meer dan algemene pentestkennis. Wij testen zowel het platform zelf als de applicaties die erop gebouwd worden, en zien in honderden pentesten waar het in de praktijk misgaat. Die kennis zetten we in voor jouw applicatie en delen we met de Mendix-community.

Wij testen Mendix voordat jij het gebruikt

Als officiële pentestpartner van Mendix (pen)testen we het platform sinds 2015. We testen nieuwe releases voordat ze live gaan. Dat geeft ons diepgaand inzicht in hoe Mendix werkt en waar security tekortschiet.

The S-Unit Mendix Top 10-kwetsbaarheden

The S-Unit Mendix Top 10 komt voort uit jarenlange ervaring met het (pen)testen van Mendix-applicaties. De lijst benoemt de beveiligingsfouten die we het vaakst vinden.

We delen wat we leren

Wat we vinden, geven we terug aan de community door onze praktijkervaring te verwerken in trainingen, CTF’s en kennisdeling. Zo dagen we anderen uit om zelf kwetsbaarheden te vinden en veiliger te bouwen.

Stel je Mendix-beveiliging op de proef

Mendix security review

Krijg inzicht in de securityrisico’s van jouw Mendix-applicatie, zonder de diepgang van een volledige pentest. Een snelle manier om te zien waar je security staat en wat aandacht nodig heeft.

Mendix-pentesten

We testen jouw Mendix-applicatie op de kwetsbaarheden uit The S-Unit Mendix Top 10 en kijken verder: welke kwetsbaarheden kan een aanvaller specifiek binnen jouw applicatie misbruiken?

Mendix Security Trainingen

Ontwikkel je Mendix-securitykennis van Fundamentals tot Expert. In onze hands-on trainingen werk je met kwetsbaarheden uit The S-Unit Mendix Top 10 en leer je vanuit het perspectief van een aanvaller hoe je deze herkent en voorkomt. Voor ervaren developers is er daarnaast een Masterclass om bestaande kennis op te frissen en scherp te houden.

Ontdek The S-Unit Top 10 Mendix-kwetsbaarheden

Na meer dan 10 jaar en honderden Mendix-pentesten weten we waar security vaak tekortschiet. Geïnspireerd door OWASP Top 10 bundelden we onze bevindingen in The S-Unit Mendix Top 10: kwetsbaarheden die volgens ons elk Mendix-team moet herkennen.

TSU-01: Onveilige gebruikersrollen

Een modulerol kan correct zijn geconfigureerd, maar door een verkeerde koppeling aan een gebruikersrol alsnog onbedoelde toegang geven.

TSU-02: Onveilige toegang tot entiteiten

De regel voor entiteitstoegang is onjuist geconfigureerd, waardoor gegevens toegankelijk kunnen zijn ongeacht de gebruikersrol waaraan de regel is gekoppeld.

TSU-03: Onveilige microflows

Door onveilige microflow-implementaties kan het gedrag van de applicatie door een aanvaller worden gemanipuleerd.

TSU-04: Onveilige gepubliceerde integraties

Via onvoldoende beveiligde gepubliceerde integraties kunnen externe gebruikers of aanvallers toegang krijgen tot gevoelige gegevens of functionaliteiten.

Wij dagen de Mendix-community uit

De Mendix CTF is een Capture The Flag-wedstrijd die volledig draait om het hacken van Mendix-applicaties. De competitie brengt developers en securityliefhebbers van over de hele wereld samen. Door zelf op zoek te gaan naar kwetsbaarheden, ontdek je hoe een aanvaller naar een Mendix-applicatie kijkt en waar securityrisico’s ontstaan.

deelnemers
wereldwijd

landen

Een Mendix CTF voor jouw organisatie

Wil je jouw eigen developers uitdagen? We organiseren ook organisatiespecifieke Mendix CTF’s, afgestemd op jouw team en leerdoelen. Zo laat je developers in een praktische setting ervaren hoe kwetsbaarheden in Mendix-applicaties ontstaan en hoe ze deze kunnen herkennen.

Getest in de echte wereld

We werken voor organisaties waar security niet mag falen.

targenio

targenio koppelt AI-agents aan bedrijfskritische systemen en wilde weten of het groeiende platform bestand was tegen realistische aanvallen.

Het assessment testte het platform aan de hand van realistische aanvalsscenario’s en leverde het developmentteam duidelijke, toepasbare inzichten op. De resultaten gaven targenio een beter beeld van waar securityrisico’s binnen de SDLC ontstaan en hoe het eerder aanpakken daarvan kostbare aanpassingen in een later stadium kan voorkomen.

Bingy

Bingy werkt met gevoelige welzijnsdata en had onafhankelijk bewijs nodig dat het platform veilig was om aan klanteisen te voldoen en verdere groei te ondersteunen.

Binnen twee weken werd de pentest uitgevoerd en het rapport opgeleverd, waarbij werd bevestigd dat er geen grote kwetsbaarheden waren gevonden. De resultaten gaven Binqy onafhankelijke validatie van de security en hielpen om pentesten een terugkerend onderdeel van de securitystrategie te maken. Daarmee ondersteunt het zowel het vertrouwen van klanten als de weg naar ISO 27001-certificering.

“The S-Unit combineert inhoudelijke expertise met een pragmatische aanpak. Ze denken kritisch mee, communiceren helder en vertalen hun bevindingen naar concrete verbeteringen waar we direct mee aan de slag kunnen. Een prettige manier die ons helpt onze informatiebeveiliging verder te versterken. En minstens zo belangrijk: dankzij hen slaap ik een stuk beter!”

Firas Daoud

TAF – CTO

“The S-Unit begreep vanaf het begin wat we wilden bereiken, ook al was de weg naartoe nog niet helemaal duidelijk. Ze namen ons mee in hun aanpak, dachten vooruit en schakelden snel wanneer dat nodig was. We konden erop vertrouwen dat het goed kwam, zonder voortdurend te hoeven bijsturen. Die manier van samenwerken is heel erg prettig.”

Martijn Korevaar

Gemeente Rotterdam – IT Risk & Compliance Manager

“Wij zijn professioneel geholpen met een pentest van een breed applicatielandschap. Ondanks de vele verschillende functionaliteiten in ons landschap was de test snel en volledig.”

Daan van der Ham

Lead techniek - PO-VO Raad

Jouw aanspreekpunt

“Mendix maakt het eenvoudiger om applicaties te bouwen, maar security blijft de verantwoordelijkheid van de developer. Begrijpen hoe een aanvaller misbruik kan maken van wat je bouwt, is onderdeel van veilig ontwikkelen.”

Dirk van Veen

Oprichter en Lead Pentester

Onze Mendix samenwerkingen

Breng je Mendix security
naar een hoger niveau

Van inzicht in kwetsbaarheden tot veiliger ontwikkelen: we helpen je Mendix security te versterken op de plekken waar dat nodig is.

Wij testen Mendix. Ook voor Mendix zelf