Magento 1 of OpenMage in 2026: dit is je security-risico

Magento 1 kreeg zijn laatste officiële patch in juni 2020. Wie in 2026 nog op M1 draait, heeft al ruim vijf jaar geen vendor-security-updates meer.

Dit artikel beschrijft eerlijk wat dat betekent, wat OpenMage wel en niet oplost, en welke opties je realistisch hebt.

Waar staan we: Magento 1 is end of life

Adobe heeft Magento 1 op 30 juni 2020 beëindigd. Sindsdien:

• geen officiële security-patches;
• geen kwaliteitsupdates;
• geen ondersteuning voor nieuwe PHP-versies;
• steeds minder extensies die nog worden onderhouden.

Een shop die nog op M1 draait, draait dus op een basis waar bekende kwetsbaarheden niet meer officieel worden gerepareerd. Elke nieuwe ontdekking blijft staan, tenzij de community of jijzelf er een oplossing voor maakt.

OpenMage: wat is het?

OpenMage is een community-fork van Magento 1, onder de naam OpenMage LTS. Vrijwilligers en bedrijven blijven bugs en beveiligingsproblemen repareren en houden de code werkend op nieuwere PHP-versies.

Dat is echt waardevol. Voor een shop die niet direct kan migreren, is OpenMage veel beter dan een ongepatchte Magento 1.9. Maar wees eerlijk over de beperkingen.

Wat OpenMage oplost

• Het kernproject blijft security-fixes ontvangen.
• Er is een actieve gemeenschap die problemen meldt en oplost.
• Compatibiliteit met modernere PHP-versies dan de laatste officiële M1-release.

Wat OpenMage niet oplost

• Extensies. De meeste M1-extensies worden niet meer onderhouden. Een kwetsbare extensie blijft kwetsbaar, ook op OpenMage. Bij audits zit het risico vaak daar.
• Maatwerk. Oude custom modules bevatten nog code uit 2012 tot 2016, met bekende patronen als onveilige SQL-queries en ontbrekende output-escaping.
• Een afhankelijkheid van vrijwilligers. Het project staat of valt met de community. Dat gaat goed, maar je hebt geen SLA en geen leverancier om op aan te spreken.
• De hele omgeving. Een server met een verouderde PHP-versie, MySQL en OS blijft een probleem. De combinatie "OpenMage op PHP 5.x" is eigenlijk een M1-shop met een mooiere naam.
• Je eigen patchdiscipline. OpenMage-releases moeten ook daadwerkelijk worden doorgevoerd. Een OpenMage van drie jaar geleden is ook verouderd.

De concrete risico's

1. Kwetsbaarheden zonder officiële oplossing

Een M1-shop is een bekend doelwit. Aanvallers hoeven niet te zoeken naar nieuwe lekken: er is een grote hoeveelheid bekende technieken, en de shops zijn vaak makkelijk te herkennen.

2. Skimmers en malware

Magecart-aanvallen op M1-shops komen veel voor. Een verouderde extensie of een open admin is voldoende. Een skimmer kan maanden onopgemerkt blijven, zeker zonder monitoring. Zie Magecart-skimmers detecteren en skimmers in je database.

3. PCI DSS en betaalpartners

PCI DSS verwacht dat je systemen met bekende kwetsbaarheden tijdig patcht en dat je software ondersteund is. Met ongepatchte software is dat lastig aan te tonen. Bovendien eist PCI DSS 4.0 controle over scripts op de betaalpagina (eisen 6.4.3 en 11.6.1, verplicht sinds 31 maart 2025). Magento 2.4.7 heeft daar standaard CSP en SRI voor. Op M1 moet je het zelf bouwen. Wat dit voor jouw situatie betekent, bespreek je met je QSA of betaalprovider. Dit is geen juridisch advies. Meer lees je in PCI DSS 4.0 voor webshops.

4. AVG en aansprakelijkheid

Je moet persoonsgegevens passend beveiligen. Bij een datalek op een verouderd systeem is "we wisten dat het oud was" geen sterke uitgangspositie. Een datalek met risico voor betrokkenen meld je binnen 72 uur bij de Autoriteit Persoonsgegevens. Hoe dat gaat, lees je in datalek melden.

5. Techniek die langzaam verdwijnt

Hosters stoppen met oude PHP-versies. Betaalproviders stoppen met oude API's en TLS-versies. Koppelingen met bezorgers en marktplaatsen worden vernieuwd. Elke keer dat dat gebeurt, moet je shop meebewegen en dat wordt steeds duurder. Je koopt geen tijd, je leent hem tegen rente.

Hoe kwetsbaar ben je? Een snelle zelftest

Beantwoord deze vragen eerlijk:

• Welke PHP-versie draait er, en is die nog ondersteund?
• Welke OpenMage- of M1-versie draait er, en wanneer is die voor het laatst bijgewerkt?
• Hoeveel extensies staan er, en welke worden nog onderhouden?
• Is de admin bereikbaar vanaf het hele internet?
• Heb je 2FA op de admin?
• Is er een monitor op bestandswijzigingen?
• Wanneer heb je voor het laatst een back-up teruggezet?
• Weet je wie er allemaal een adminaccount heeft?

Meer dan twee keer "geen idee"? Dan is dat het antwoord. Laat de shop doorlichten met een security audit.

Je opties

Er zijn grofweg vier realistische routes.

Optie 1: Brug met OpenMage en hardening

Heb je nu geen ruimte of budget om te migreren? Dan is dit een verdedigbare tussenstap, mits je het serieus doet:

1. Naar de laatste OpenMage-release en een ondersteunde PHP-versie.
2. Alle extensies inventariseren; alles wat niet meer onderhouden wordt, vervangen of verwijderen.
3. Admin afschermen met IP-allowlist of VPN, sterke wachtwoorden en, waar het kan, een extra authenticatielaag.
4. WAF ervoor, zie WAF en botbescherming.
5. Monitoring op bestandswijzigingen en een scan op skimmers.
6. Betaalpagina: laat de kaartinvoer bij de PSP met een gehoste pagina of iframe.
7. Een datum voor de migratie in de agenda, niet "ooit".

Het is een brug. Bouw er geen huis op.

Optie 2: Migreren naar Magento 2

Magento 2 is een andere architectuur, geen upgrade. Data kun je migreren, thema en extensies niet. Met Hyvä krijg je een snelle, moderne frontend. Bekijk Magento voor wat wij doen. Een Magento 2-shop vraagt wel doorlopend onderhoud: patches, extensie-updates, monitoring. Zonder dat krijg je dezelfde situatie over een paar jaar. Zie ons artikel over Magento-versies en end of support.

Optie 3: Migreren naar Shopify

Voor veel shops die M1 hebben omdat dat in 2013 de beste keuze was, is Shopify nu een eerlijk alternatief. Shopify regelt hosting, patches en een groot deel van de beveiliging. Jij blijft verantwoordelijk voor apps, toegang en je eigen processen. Lees wat Shopify regelt en wat jij doet. Het past minder goed bij zwaar maatwerk in prijslogica, B2B-structuren of specifieke ERP-koppelingen. Bekijk Shopify.

Wij zeggen het ook eerlijk als Shopify de betere keuze is dan Magento. Wij werken met beide, dus we hebben geen belang bij de ene.

Wat kost wachten?

Niemand kan je vooraf een bedrag noemen, en wij verzinnen er geen. Wel kun je de rekening opbouwen:

• de kosten van een hack: schoonmaken, onderzoek, omzetverlies, mogelijk een melding en klantcommunicatie;
• betaalproviders die extra eisen stellen of de samenwerking beëindigen;
• steeds duurdere "noodpatches" voor koppelingen die breken;
• het verlies van vertrouwen als klantgegevens uitlekken.

Zet daar de migratie naast. Een migratie is een bekende, planbare uitgave. Een incident is het niet.

Hoe pak je een migratie aan zonder alles om te gooien?

1. Inventarisatie. Welke functies gebruik je echt? Welke extensies, welke koppelingen, welke custom code?
2. Opschonen. Veel M1-shops dragen jaren aan ongebruikte producten, regels en modules mee. Niet alles hoeft mee.
3. Kiezen. Magento 2 + Hyvä of Shopify, op basis van functionaliteit en beheerlast, niet op smaak.
4. Data migreren en testen. Producten, klanten, bestellingen, redirects.
5. SEO beschermen. Redirect-map, canonicals, sitemap. Een migratie die je rankings kost, is geen succes.
6. Parallel testen en live. Met een terugvalplan.
7. M1 definitief uitzetten. Niet laten staan "voor de zekerheid". Een vergeten oud systeem blijft een aanvalsdoel.

Veelgestelde vragen

Is OpenMage veilig genoeg om op te blijven draaien?

Als tijdelijke brug, met een bijgewerkte versie, ondersteunde PHP, opgeschoonde extensies en goede afscherming van de admin: verdedigbaar. Als eindoplossing niet. Het risico zit vooral in verouderde extensies, maatwerk en de omgeving, niet alleen in de kern.

Krijg ik problemen met PCI DSS op Magento 1?

Dat kan. PCI DSS verwacht tijdig patchen en controle over scripts op de betaalpagina. Met een niet meer ondersteunde basis is dat lastig aan te tonen. Hoe het uitpakt hangt af van je betaalopzet en validatieniveau. Bespreek het met je QSA of betaalprovider.

Wat is sneller: migreren naar Magento 2 of naar Shopify?

Shopify is bij standaardprocessen vaak sneller. Magento 2 loont bij complexe catalogi, B2B en maatwerk. Het hangt af van wat jouw shop doet. Wij adviseren op basis van je functionaliteit, niet op wat we het liefst bouwen.

Kan ik mijn M1-extensies meenemen?

Nee. De architectuur is anders. Voor elke extensie zoek je een M2- of Shopify-equivalent, of je laat functionaliteit bouwen. Dat is ook een kans om extensies te schrappen die je niet meer gebruikt.

Wat doe ik als mijn M1-shop vermoedelijk al gehackt is?

Ga uit van het ergste en volg het stappenplan: Magento 2 gehackt, wat nu en onze pagina gehackt. De principes zijn voor M1 vergelijkbaar: isoleren, bewijs bewaren, schoonmaken, dichten en wachtwoorden vervangen.

Zit je nog op Magento 1 of OpenMage en wil je weten wat het verstandigste pad is? Wij beoordelen je shop, geven een eerlijk advies tussen Magento en Shopify, en bouwen of migreren het zelf, met een vast team en direct contact. Neem contact op via /contact of lees eerst over Magento security.