PENLAB
AI-drevet sikkerhedsscanner til moderne webapps
Scan dit site, opdag endpoints, test auth-flows, find datalæk og miskonfigurationer. Få risikoscorer på tværs af 21 kategorier med 275+ checkpoints, finansiel konsekvensanalyse, GDPR-dokumentation og copy-paste AI-rettelser.
Sikkerhed i tal
Realtidsdata fra PenLab-platformen — hver scanning gør nettet sikrere.
Bygget til dem der shipper hurtigt
PenLab hjælper dig med at finde de reelle risici før angribere eller kunder gør det.
Indie-grundlæggere og små teams der shipper ugentligt
Bureauer der leverer kundesites og webapps
"Vibecoded" projekter bygget med AI-værktøjer (Lovable, Bolt osv.)
Next.js/Vercel-stacks med NextAuth, API-routes, edge functions
Supabase/Firebase-projekter hvor RLS/regler og storage ofte er forkonfigureret
Apps der bruger tredjeparts-formularer og automationsværktøjer (Zapier, HubSpot, Typeform)
Uanset din stack — vi finder hullerne
Fra one-page Shopify-butikker til enterprise-portaler. PenLab tilpasser sin scanning til din teknologi.
SHOPIFY WEBSHOPS
E-COMMERCECustom temaer, tredjeparts-apps, checkout-scripts og betalingsintegrationer — alt der håndterer kundedata og penge.
WORDPRESS SITES
CMSPlugins, formularer, login-sider og REST-API'er. WordPress driver 40% af nettet — og er det mest angrebne CMS.
AI-BYGGEDE PROJEKTER
VIBE-CODEDSites bygget med Lovable, Bolt, v0 eller Cursor. Hurtig prototyping = ofte manglende auth, åbne endpoints og eksponerede nøgler.
NEXT.JS / REACT APPS
MODERNE STACKServer actions, API-routes, middleware auth, edge functions — moderne stacks med mange skjulte angrebsflader.
SAAS-PLATFORME
B2B / B2CBrugerregistrering, roller, billing, multi-tenancy. PenLab tester IDOR, privilege escalation og datalæk på tværs af tenants.
DJANGO / LARAVEL / RAILS
BACKEND-FRAMEWORKSTraditionelle server-renderede apps med ORM, sessions og template engines. Vi tester CSRF, SQL injection og auth-bypasses.
HEADLESS CMS FRONTENDS
JAMstackStrapi, Sanity, Contentful frontends med API-keys i klientkoden, preview-endpoints og ukrypterede webhooks.
INTERNE TOOLS & DASHBOARDS
INTERNAdmin-paneler, back-office og interne dashboards bygget med Retool, Appsmith eller custom React. Ofte bag svag auth.
ENTERPRISE PORTALER & API'ER
ENTERPRISEKundeportaler, partner-API'er og microservices. PenLab scanner endpoint-matrix, rate limiting, CORS og token-validering.
PenLab scanner ikke bare sider. Den kortlægger hele din angrebsflade.
275+ checkpoints på tværs af 21 kategorier — fra endpoint-opdagelse til GDPR-dokumentation.
ENDPOINT-KATALOG
KERNEFinder og registrerer hvert API-endpoint og metode ved hjælp af statisk analyse + runtime-netværksopsamling. Tester GET/POST/PUT/PATCH/DELETE/OPTIONS pr. endpoint.
AUTH PROBE INTELLIGENCE
Opretter automatisk testkonti, prober JWT-tokens, tester IDOR og privilege escalation, finder admin-paneler og analyserer login-flows på tværs af alle auth-udbydere.
DATALÆK-DETEKTION
Finder eksponerede databaserækker, credentials, storage-filer, PII, debug-endpoints, server actions og interne IP-adresser — med anonymiserede previews.
ADGANGSKONTROL & DATA-EKSPONERING
Opdager for bred adgang, usikre data-returneringer, storage-eksponering, RLS-fejl og fejl i privatlivs-håndhævelse.
FINANSIEL KONSEKVENSANALYSE
Estimerer potentielle tab i USD/DKK baseret på fundne sårbarheder med scenarie-opdeling per trusselstype.
GDPR-OVERHOLDELSESBEVISER
Genererer dokumentation for tekniske foranstaltninger under GDPR Art. 32 — klar til Datatilsynet med dækning af refererede artikler.
OWASP WSTG-DÆKNING
Følger OWASP Web Security Testing Guide v4.2 med automatiseret dækning og rapporterer nøjagtigt hvilke WSTG-tests der er kortlagt og evalueret.
STORAGE & UPLOAD-SIKKERHED
Flagger offentlige buckets, listing-eksponering, signed URL-tilstand, upload-restriktioner, Firebase public read/write og metadata-risici.
FEJLKONFIG & HÆRDNING
Sikkerhedsheadere, CORS-tilstand, debug-signaler, sourcemaps, fejl-lækning, caching af privat data og cookie-compliance.
FORSYNINGSKÆDE & HEMMELIGHEDER
Scanner JS-bundles for API-nøgler, tokens og hemmeligheder. Identificerer synlige afhængigheder med versioner så angribere kan CVE-opslag.
GENTEST-SAMMENLIGNING
Kør igen efter rettelser og få en før/efter-diff med scoredelta, rettede problemer, nye problemer og uændrede checks.
FULD PROBE AUDIT TRAIL
Komplet log over hver HTTP-forespørgsel scanneren foretog — med tidslinje, headers, response bodies og fase-opdeling. Total gennemsigtighed.
9 agenter. Én scanning.
PenLab kører parallelle AI-agenter der undersøger din applikation fra alle vinkler — samtidigt.
21 kategori-risikoscorer du rent faktisk kan stole på
PenLab producerer en 0-10 risikoscore per kategori (0 stærk, 10 eksponeret) med tillidsindikatorer baseret på hvad der var observerbart i scanningen.
GRATIS BRUGERE SER: SCORER + ANTAL FEJLEDE CHECKPOINTS PER KATEGORI + REDIGEREDE BEVIS-RESUMÉER.
Fra URL til sikkerhedsplan på minutter
INDTAST DIN URL
Angiv din app-URL og valgfri testlogin-oplysninger. PenLab håndterer resten.
STATISK ANALYSE & ASSET-OPDAGELSE
PenLab downloader HTML, JS-bundles, finder endpoints, formularer, teknologier og tredjeparts-integrationer.
AUTH & BAAS RECON
Prober auth-udbydere (Supabase, Firebase, NextAuth, Clerk, Auth0), opretter automatisk testkonti og analyserer sessions.
ENDPOINT MATRIX & DATALÆK
Tester HTTP-metoder pr. endpoint, finder debug-endpoints, server actions, datalæk og ubeskyttede mutationer.
STACK-SPECIFIKKE CHECKS
Kører platform-adaptere: middleware bypass, Supabase RLS, Firebase regler, public buckets og JWT-angreb.
SCORING & RAPPORT
275+ checkpoints scorer 21 kategorier. Genererer rapport med fund, beviser, finansiel konsekvens, GDPR-dokumentation og copy-paste AI-rettelser.
EKSPORTER & GENTEST
Eksporter som JSON, CSV, Excel, Markdown eller compliance-rapport (GDPR, OWASP, ISO 27001, SOC 2). Kør igen efter rettelser og få en før/efter-diff.
HVAD PENLAB FANGER
Rigtige eksempler på sikkerhedsproblemer fundet på tværs af moderne webapps — med beviser, angrebsscenarier og rettelser.
Supabase RLS-regler tillader kryds-konto dataadgang
Row Level Security mangler eller er for bred — autentificerede brugere kan læse andre brugeres data via direkte API-kald.
Databaserækker eksponeret via ubeskyttet endpoint
PenLab fandt 2.400+ brugerrækker tilgængelige uden autentificering — inkl. e-mails, navne og betalingsdata.
JWT-token kan omgå signaturverifikation
Algorithm confusion-angreb tillader token-forfalskning. PenLab oprettede en testkonto og verificerede eskalering til admin.
Firebase Storage bucket er offentlig tilgængelig
350+ filer kan downloades uden login — inkl. bruger-uploads, kontrakter og interne dokumenter.
API-nøgler og service-tokens i JS-bundle
Supabase service_role key fundet i klient-side JavaScript. Giver fuld admin-adgang til databasen.
Server actions tilgængelige uden autentificering
Next.js server actions til sletning og opdatering er callable uden session — muliggør destruktive operationer.
IDOR på bruger-profil endpoint
Ændring af bruger-ID i request returnerer andre brugeres profiler og private data. Testet med automatisk oprettet konto.
Manglende rate limiting på login-endpoint
Ingen lockout eller rate limit efter 100+ mislykkede login-forsøg. Brute force er trivielt.
Alt bevis er anonymiseret. PenLab gemmer aldrig lækket PII.
Bygget til ansvarlig scanning
INGEN PII-LAGRING
Fund gemmer kun metadata, tællinger og anonymiserede beviser. Aldrig rigtige brugerdata.
SIKKER SOM STANDARD
Ingen destruktive operationer. Dry-run mode på alle farlige tests.
FULD GENNEMSIGTIGHED
Komplet probe audit trail — se hver HTTP-forespørgsel scanneren foretog med headers og response.
AUTOMATISK OPRYDNING
Testkonti oprettet under scanning slettes automatisk. Oprydningsrapport inkluderet.
GDPR-DOKUMENTATION
Genererer compliance-beviser under GDPR Art. 32 klar til Datatilsynet.
OMFANGSBEGRÆNSET
Scanninger fokuserer kun på det angivne domæne. Rate-limited for at undgå belastning.
GENTEST-TILSTAND
Kør igen efter rettelser og få en før/efter-diff med scoredelta.
En scanning. En pris. Ingen abonnement.
Betal en gang, få din rapport. Ingen bindinger eller skjulte gebyrer.
HURTIG SCANNING
Bedst til: Et hurtigt overblik over de mest kritiske risici
Ingen dybe løsningsforslag eller compliance-eksport inkluderet
FULD RAPPORT
Bedst til: Grundlæggere og teams der bygger med AI-værktøjer
ENTERPRISE
Bedst til: Teams der vil have en ekspert med på sidelinjen
Ofte stillede spørgsmål
KEND DIN REELLE SIKKERHEDSTILSTAND
Før dine brugere gør det.
Scorer på minutter. Rettelser når du er klar.