# API-beveiliging: de OWASP API Top 10 en een checklist voor koppelingen

Gepubliceerd: 11 oktober 2026 · 7 min leestijd

Door [Tekin Uslu](https://www.linkedin.com/in/tekinuslu/) · Digitaalnu

API-beveiliging draait om de vraag wie via een koppeling welke gegevens en functies mag gebruiken. Een API is volgens MDN een set functies en regels binnen een softwareprogramma waarmee je via software kunt samenwerken met dat programma, in tegenstelling tot een scherm voor mensen. Voor het beoordelen van de risico's bestaat de OWASP API Security Top 10, waarvan de lijst op api-security.owasp.org per 11 oktober 2026 de editie 2023 is. Dit artikel legt de tien risico's uit in gewone taal en eindigt met een checklist die je kunt gebruiken bij elke nieuwe koppeling.

In dit artikel

1. Wat is een API en waarom heb je er mee te maken?
2. Welke tien risico's staan in de OWASP API Security Top 10?
3. Wat betekenen de autorisatierisico's voor jouw koppelingen?
4. Hoe gebruik je OpenAPI en ASVS om koppelingen te toetsen?
5. Welke checklist gebruik je bij een nieuwe koppeling?
6. Een koppeling laten bouwen of controleren

## Wat is een API en waarom heb je er mee te maken?

Je gebruikt API's waarschijnlijk al zonder het zo te noemen. Een webshop die orders doorgeeft aan je boekhoudpakket, een portaal dat gegevens ophaalt uit je CRM en een mobiele app die met een server praat: dat zijn koppelingen via een API. Het verschil met een webpagina is dat er geen mens aan het scherm zit. Een andere computer stuurt verzoeken en krijgt gegevens terug. Daardoor is een API ook een directe ingang naar je data, en kan een aanvaller de functies rechtstreeks aanroepen, buiten de schermen om.

Twee termen kom je tegen in offertes. REST is volgens MDN een groep ontwerpbeperkingen voor softwarearchitectuur die leidt tot efficiënte, betrouwbare en schaalbare gedistribueerde systemen. OpenAPI is volgens de OpenAPI Initiative een open standaard om je API's te beschrijven in een JSON- of YAML-document, en een specificatietaal voor HTTP-API's die niet is gebonden aan de programmeertaal waarin de API is gemaakt. Een beschrijving in OpenAPI is voor jou als opdrachtgever een inventaris: je ziet welke functies bestaan, wat ze verwachten en wat ze teruggeven.

## Welke tien risico's staan in de OWASP API Security Top 10?

Volgens OWASP staan op plek 1 tot en met 5 van de API Security Top 10 uit 2023 Broken Object Level Authorization, Broken Authentication, Broken Object Property Level Authorization, Unrestricted Resource Consumption en Broken Function Level Authorization. In onze eigen woorden: een gebruiker kan gegevens van een ander opvragen, het inloggen is te zwak, een gebruiker kan velden zien of wijzigen die verborgen horen te zijn, de API zet geen grens aan het gebruik van middelen, en gewone gebruikers kunnen beheerfuncties aanroepen. Controleer zelf op api-security.owasp.org of er inmiddels een nieuwere editie is.

Op plek 6 tot en met 10 staan Unrestricted Access to Sensitive Business Flows, Server Side Request Forgery, Security Misconfiguration, Improper Inventory Management en Unsafe Consumption of APIs. Ook hier volgt onze eigen uitleg. Sensitive Business Flows gaat over processen als bestellen of inschrijven, die zonder grenzen kunnen worden misbruikt. Server Side Request Forgery betekent dat een server wordt aangezet tot verzoeken die de aanvaller zelf niet mag doen. Improper Inventory Management gaat over het ontbreken van overzicht: welke API's en versies bestaan er eigenlijk nog? Unsafe Consumption of APIs gaat over te veel vertrouwen in gegevens van andere systemen.

## Wat betekenen de autorisatierisico's voor jouw koppelingen?

Neem het eerste risico, API1. OWASP schrijft dat objectniveau-autorisatiecontroles moeten worden overwogen in elke functie die via een ID van de gebruiker bij een databron komt. Een eigen voorbeeld: een klant opent zijn factuur op een adres als /facturen/1042. Past hij het nummer aan en ziet hij de factuur van een ander, dan ontbreekt die controle. Het scherm toont dat nergens, de fout zit in de server. Vraag je bouwer daarom hoe per verzoek wordt gecontroleerd of de ingelogde gebruiker bij dit specifieke object mag, en of dat wordt getest.

Vier van de vijf eerste plekken in de lijst gaan over inloggen of over rechten. Broken Authentication gaat over het inloggen zelf, waarover je meer leest in het artikel over [wachtwoorden en inloggen veilig bouwen](https://digitaalnu.nl/blog/wachtwoorden-en-inloggen-veilig-bouwen). Broken Object Property Level Authorization en Broken Function Level Authorization gaan over wat een ingelogde gebruiker mag zien en doen: welke velden, welke functies. Een gewone klant hoort bijvoorbeeld geen beheerfunctie te kunnen aanroepen door het adres te raden. Laat een rolmatrix opstellen waarin staat welke rol welke functie mag gebruiken, en laat testen of dat ook klopt.

Unrestricted Resource Consumption klinkt technisch, maar het raakt je portemonnee. OWASP schrijft dat succesvolle aanvallen kunnen leiden tot denial of service of tot hogere operationele kosten. Een API zonder grenzen aan het aantal verzoeken kan uitvallen, en een koppeling die betaalde diensten van derden aanroept kan ongemerkt kosten laten oplopen. Vraag welke limieten er gelden per gebruiker en per koppeling, wie een melding krijgt bij afwijkend gebruik en of er een bovengrens is op wat een enkel verzoek mag opvragen. Dat geldt ook voor koppelingen met AI-diensten, zoals bij [AI-integraties](https://digitaalnu.nl/diensten/ai-integraties).

## Hoe gebruik je OpenAPI en ASVS om koppelingen te toetsen?

OpenAPI en de Application Security Verification Standard (ASVS) vullen elkaar aan. Volgens OWASP biedt het ASVS-project een basis voor het testen van technische beveiligingsmaatregelen van webapplicaties en geeft het ontwikkelaars een lijst met eisen voor veilige ontwikkeling. Per 11 oktober 2026 noemt OWASP versie 5.0.0 als nieuwste stabiele versie. De OpenAPI-beschrijving laat zien wat er bestaat, het ASVS laat zien waaraan het moet voldoen. Samen geven ze een testbare afspraak: deze functies, getoetst tegen deze eisen. Dat maakt Improper Inventory Management ook minder abstract.

Het NCSC wijst erop dat veel webapplicaties persoonsgegevens of andere gevoelige informatie verwerken, en een API is de weg waarlangs die gegevens bewegen. Het NCSC publiceert sinds 2012 ICT-beveiligingsrichtlijnen voor webapplicaties en schrijft dat afnemers en leveranciers die kunnen inzetten bij het bepalen van aan- en uitbestedingen, toezicht en onderlinge afspraken. Gebruik de lijst van OWASP dus samen met die richtlijnen als basis voor de afspraken over een koppeling: wat is de maatstaf, wie is verantwoordelijk en hoe laat je zien dat aan de afspraak is voldaan?

## Welke checklist gebruik je bij een nieuwe koppeling?

Een checklist voor elke nieuwe koppeling begint bij het overzicht. Is de koppeling beschreven, bij voorkeur in een OpenAPI-document, en weet je welke versies nog in gebruik zijn? Wie mag de koppeling gebruiken, en hoe loggen systemen of mensen in? Welke gegevens gaan erdoorheen, en is dat niet te veel? Krijgt elke functie een controle op rechten, per object en per functie? Zijn er grenzen aan het aantal verzoeken en aan de omvang van een antwoord? Schrijf de antwoorden op. Een koppeling zonder antwoord op deze vragen is niet af, ook al werkt ze.

Het tweede deel van de checklist gaat over foutsituaties en vertrouwen. Wat krijgt een aanroeper te zien als er iets misgaat: geeft de foutmelding intern gedrag prijs? Wordt gelogd wie wat opvroeg, zodat je bij een incident kunt terugkijken? Hoe wordt omgegaan met gegevens die je van een andere API ontvangt: worden die gecontroleerd voordat ze worden gebruikt of opgeslagen? Zijn de instellingen van de server en de sleutels voor de koppeling beheerd, en wie kan ze vervangen? Wie krijgt een bericht als een koppeling afwijkend gedrag vertoont? Naar onze lezing sluiten deze vragen aan bij de categorieën Security Misconfiguration en Unsafe Consumption of APIs; het zijn onze vragen, niet die van OWASP.

Het derde deel gaat over afspraken met de leverancier. Leg vast welke lijst je als maatstaf neemt, bijvoorbeeld de OWASP API Security Top 10 uit 2023, en wie verantwoordelijk is voor updates en voor het intrekken van toegang als een medewerker of leverancier vertrekt. Vraag wanneer de lijst met koppelingen wordt nagelopen en wie dat doet. Laat een proefaanval of toets uitvoeren voordat je een koppeling met gevoelige gegevens in productie neemt, en vraag het resultaat schriftelijk. Een beveiligingstest is een momentopname, dus plan ook een herhaling bij grote wijzigingen.

## Een koppeling laten bouwen of controleren

Digitaalnu bouwt koppelingen als onderdeel van [webapplicaties](https://digitaalnu.nl/diensten/webapplicaties) en [maatwerk software](https://digitaalnu.nl/diensten/maatwerk-software), tegen een vaste prijs. Een webapplicatie start vanaf €2.000 per project, en de code en data zijn voor 100% van jou. Heb je al een koppeling en wil je weten of die deugt, gebruik dan de checklist hierboven als agenda voor het gesprek met je huidige leverancier. Meer over de bredere lijst voor webapplicaties lees je in [de OWASP Top 10 uitgelegd voor MKB](https://digitaalnu.nl/blog/owasp-top-10-uitgelegd-voor-mkb).

## Startprijzen van Digitaalnu

| Dienst | Vanaf | Doorlooptijd |
| --- | --- | --- |
| Website voor vakmensen | €750 per project | 2 weken |
| Webshop op maat | €2.500 per project | ongeveer 6 weken |
| Webapplicatie of maatwerk software | €2.000 per project | ongeveer 6 weken |
| Mobiele app | €5.000 per project | ongeveer 6 weken |
| WordPress-onderhoud | €45 per maand | doorlopend |
| Managed hosting | €25 per maand | doorlopend |

Vaste prijs vooraf, geen maximumbedrag: de definitieve prijs volgt na een gratis intakegesprek.

## Veelgestelde vragen

### Wat is een API?

Volgens MDN is een API (Application Programming Interface) een set functies en regels binnen een softwareprogramma waarmee je via software met dat programma kunt werken, in tegenstelling tot een scherm voor mensen. Een koppeling tussen je webshop en je boekhouding loopt bijvoorbeeld via een API.

### Welke editie van de OWASP API Security Top 10 is er?

De lijst die OWASP op api-security.owasp.org toont, is de editie 2023. Controleer op die site of er sinds 11 oktober 2026 een nieuwere editie is verschenen. Noem in afspraken met een leverancier altijd het jaartal van de lijst.

### Wat is Broken Object Level Authorization?

Het is risico API1:2023. OWASP schrijft dat objectniveau-autorisatiecontroles moeten worden overwogen in elke functie die via een ID van de gebruiker bij een databron komt. In onze eigen woorden: zonder die controle kan iemand een ID aanpassen en gegevens van een ander ophalen.

### Waarom staat onbeperkt resourceverbruik in de lijst?

OWASP schrijft bij API4:2023 dat succesvolle aanvallen kunnen leiden tot denial of service of tot hogere operationele kosten. Een API zonder grenzen aan verzoeken kan dus uitvallen of geld kosten, bijvoorbeeld als de koppeling betaalde diensten van derden gebruikt.

### Wat is OpenAPI en waarom vraag ik ernaar?

OpenAPI is volgens de OpenAPI Initiative een open standaard om API's te beschrijven in een JSON- of YAML-document, onafhankelijk van de programmeertaal. Met zo'n beschrijving heb je een overzicht van alle functies van een koppeling en kun je die laten toetsen.

## Waar dit op gebaseerd is

- MDN Web Docs (Mozilla): [API - Glossary | MDN](https://developer.mozilla.org/en-US/docs/Glossary/API), geraadpleegd op 11 oktober 2026.
  > “An API (Application Programming Interface) is a set of features and rules that exist inside a software program (the application) enabling interaction with it through software - as opposed to a human user interface.”
- MDN Web Docs (Mozilla): [REST - Glossary | MDN](https://developer.mozilla.org/en-US/docs/Glossary/REST), geraadpleegd op 11 oktober 2026.
  > “REST (Representational State Transfer) refers to a group of software architecture design constraints that bring about efficient, reliable and scalable distributed systems.”
- OpenAPI Initiative (Linux Foundation): [What is OpenAPI? - OpenAPI Initiative](https://www.openapis.org/what-is-openapi), geraadpleegd op 11 oktober 2026.
  > “It is an open standard for describing your APIs, allowing you to provide an API specification encoded in a JSON or YAML document.”
  > “It is a specification language for HTTP APIs that defines structure and syntax in a way that is not wedded to the programming language the API is created in.”
- OWASP Foundation: [OWASP Top 10 API Security Risks - 2023](https://api-security.owasp.org/editions/2023/en/0x11-t10/), geraadpleegd op 11 oktober 2026.
  > “API1:2023 Broken Object Level Authorization API2:2023 Broken Authentication API3:2023 Broken Object Property Level Authorization API4:2023 Unrestricted Resource Consumption API5:2023 Broken Function Level Authorization”
  > “API6:2023 Unrestricted Access to Sensitive Business Flows API7:2023 Server Side Request Forgery API8:2023 Security Misconfiguration API9:2023 Improper Inventory Management API10:2023 Unsafe Consumption of APIs”
  > “Object level authorization checks should be considered in every function that accesses a data source using an ID from the user.”
  > “Successful attacks can lead to Denial of Service or an increase of operational costs.”
- OWASP Foundation: [OWASP Application Security Verification Standard (ASVS)](https://owasp.org/projects/asvs), geraadpleegd op 11 oktober 2026.
  > “The OWASP Application Security Verification Standard (ASVS) Project provides a basis for testing web application technical security controls and also provides developers with a list of requirements for secure development.”
  > “Get the latest stable version of the ASVS (5.0.0) from the Downloads page.”
- Nationaal Cyber Security Centrum (NCSC): [ICT beveiligingsrichtlijnen voor webapplicaties | NCSC](https://www.ncsc.nl/webapplicaties/ict-beveiligingsrichtlijnen-webapplicaties), geraadpleegd op 11 oktober 2026.
  > “Sinds 2012 publiceert het NCSC ICT-beveiligingsrichtlijnen voor webapplicaties.”
  > “Zowel afnemers als leveranciers kunnen deze richtlijnen inzetten bij het bepalen van aan- en uitbestedingen, toezicht en onderlinge afspraken.”
  > “Webapplicaties verwerken vaak persoonsgegevens of andere gevoelige informatie.”

## Over de auteur

Tekin Uslu is oprichter van Digitaalnu en van moederbedrijf DigiHand (Haarlem, sinds 2009). Hij werkt sinds 2006 in data engineering, geo-informatie en IT-architectuur. [Meer over Tekin Uslu →](https://digitaalnu.nl/over-ons/tekin-uslu)

Wil je hier meer over weten?

Neem contact op voor een vrijblijvend gesprek of bekijk onze diensten.

[Plan een gratis gesprek](https://digitaalnu.nl/contact) · [Bekijk onze webapplicatie-dienst →](https://digitaalnu.nl/diensten/webapplicaties)

## Gerelateerde diensten

- [Webapplicaties op maat →](https://digitaalnu.nl/diensten/webapplicaties)
- [Maatwerk software →](https://digitaalnu.nl/diensten/maatwerk-software)
- [AI-integraties →](https://digitaalnu.nl/diensten/ai-integraties)

## Meer over apps, ai en maatwerk software

- [Wachtwoorden en inloggen veilig bouwen: wat NIST en OWASP adviseren](https://digitaalnu.nl/blog/wachtwoorden-en-inloggen-veilig-bouwen)
- [Klantportaal beveiligen: checklist voor rollen, logging en AVG](https://digitaalnu.nl/blog/klantportaal-beveiliging-checklist)
- [Wat kost een klantportaal? SaaS en maatwerk doorgerekend](https://digitaalnu.nl/blog/klantportaal-laten-bouwen)

Laatst bijgewerkt: 11 oktober 2026

## Contact

- Telefoon: 023 230 21 42
- E-mail: info@digitaalnu.nl
- Bezoekadres: Wateringweg 1 A03, 2031 EK Haarlem
- KVK: 34315122
- Contactpagina: https://digitaalnu.nl/contact

---

Bron: https://digitaalnu.nl/blog/api-beveiliging-owasp-api-top-10