OWASP Top 10:2025 voor webshops: wat betekent elke categorie?

De OWASP Top 10 is de meest geciteerde lijst van webrisico's. In de editie 2025 staat bovenaan Broken Access Control en op plek 3 Software Supply Chain Failures. Dat zegt meer over webshops dan het lijkt: de grootste risico's zitten zelden in een aanvalspatroon dat een firewall ziet.

Dit artikel loopt de tien categorieën langs, in webshoptaal. Per categorie zie je wat het in jouw shop betekent en of een WAF zoals Cloudflare helpt. Het bredere kader staat op onze security-pagina.

Wat is de OWASP Top 10?

Het is een bewustwordingsdocument van het Open Worldwide Application Security Project. Het rangschikt de meest kritieke categorieën van beveiligingsrisico's voor webapplicaties. Het is geen norm waarvoor je gecertificeerd wordt. Het is wel de taal die auditors, hostingpartijen en WAF-leveranciers gebruiken.

De editie 2025 bevat deze tien categorieën:

De categorieën in webshoptaal

A01 Broken Access Control

De klant mag alleen zijn eigen gegevens zien. Als een ordernummer in de URL genoeg is om andermans factuur te openen, is dat dit probleem. Het zit in de applicatie. Een WAF ziet een normaal request.

A02 Security Misconfiguration

Een open staging-omgeving, debug-uitvoer op productie, standaardwachtwoorden, schrijfbare mappen. Veel hiervan vang je met een security check. Een WAF dekt een klein deel.

A03 Software Supply Chain Failures

Extensies, Composer-packages, thema's en scripts van derden. Eén besmette update bereikt al je shops tegelijk. Hier helpt een WAF nauwelijks. Dit vraagt extensiebeleid en dependency-controle.

A04 Cryptographic Failures

Wachtwoorden zonder goede hash, TLS-instellingen die achterlopen, gevoelige data in logs. Voor TLS stel je de SSL/TLS-modus goed in. De rest zit in je applicatie.

A05 Injection

SQL-injectie, cross-site scripting en commando-injectie. Dit is waar een WAF het meest voor doet. Cloudflares OWASP-set koppelt regelgroepen aan deze aanvalsklassen: SQL-injectie, XSS, remote code execution, path traversal, SSRF en onveilige deserialisatie. Een WAF is hier een vangnet. De fix hoort in de code.

A06 Insecure Design

Een kortingscode die je onbeperkt kunt stapelen. Een retourflow die misbruikt wordt. Dat is geen bug in een regel code, het is een gat in het ontwerp. Dit vraagt nadenken vooraf.

A07 Authentication Failures

Zwakke wachtwoorden, geen 2FA, credential stuffing op klantaccounts. Hier helpt een WAF wel: rate limiting op login en bot-bescherming dempen de bulkaanvallen. Voor je admin geldt: 2FA en IP-beperking.

A08 Software or Data Integrity Failures

Code of data die je vertrouwt zonder te controleren. Denk aan scripts van derden die ongemerkt veranderen. Dat is het mechanisme achter veel skimmers.

A09 Security Logging and Alerting Failures

Als je een inbraak pas na weken ziet, heeft de aanvaller weken. Zorg voor logging die je terug kunt zoeken en alerts die iemand bereiken. Zie monitoring en incident response.

A10 Mishandling of Exceptional Conditions

Wat gebeurt er als iets misgaat? Een foutmelding met stacktrace, of een systeem dat bij een fout "open" valt. Test je foutpaden net zo serieus als je goede paden.

Wat dit betekent voor je WAF-keuze

Een WAF raakt vooral A05 en deels A07. De rest vraagt werk aan je applicatie, je processen en je hosting. Dat is geen reden om geen WAF te gebruiken. Het is een reden om hem niet als hoofdverdediging te zien.

Zo gebruik je de lijst in je eigen werk

De OWASP Top 10 is een bewustwordingsdocument, geen checklist die je afvinkt. Wie hem als checklist gebruikt, denkt na een uur dat alles in orde is. De lijst is nuttiger als gespreksstarter: per categorie stel je een concrete vraag aan je eigen shop.

Wat een WAF wel en niet kan

Een WAF kijkt naar verkeer, niet naar logica. Dat bepaalt wat hij kan afdekken.

Een WAF helpt vooral bij:

• Bekende aanvalspatronen in verzoeken (A05 Injection, deels A02 Misconfiguration)
• Geautomatiseerd misbruik van bekende kwetsbaarheden, zolang er een regel voor bestaat
• Het afschermen van paden die je niet publiek wilt hebben

Een WAF helpt weinig of niet bij:

• Kapotte autorisatie, zoals een klant die andermans bestelling opent (A01). Het verzoek ziet er volkomen normaal uit.
• Misbruik van bedrijfslogica (A06). Een kortingscode die tien keer wordt ingewisseld, is een legitiem verzoek.
• Een gecompromitteerde extensie of afhankelijkheid (A03, A08). De kwaadaardige code draait binnen je eigen omgeving.
• Zwakke logging (A09). Dat is jouw verantwoordelijkheid.

Hieruit volgt dat een WAF waardevol is als laag, maar nooit als hoofdverdediging. De lagen eronder, namelijk goede code, patchen, rechtenbeheer en monitoring, doen het echte werk.

Drie dingen die je deze week kunt doen

1. Neem A01 en A07 serieus. Test met twee klantaccounts of je andermans gegevens kunt zien, en controleer of je beheerders 2FA hebben. Dat kost een middag en dekt de twee categorieën waar webshops het vaakst op falen.
2. Maak een lijst van je extensies en pakketten. Met versie, leverancier en laatste update. Dat is je A03-inventaris. Zie ook Magento-extensies en supply chain-risico.
3. Kijk wat je logt. Vraag jezelf: als een beheerder om 03:00 honderd bestellingen exporteert, merk je dat dan? Zo niet, dan heb je een A09-gat.

Waarom de lijst verandert

De Top 10 wordt periodiek herzien op basis van data en input uit de community. Categorieën verschuiven en worden samengevoegd of hernoemd. Voor jou betekent dat niet dat je je aanpak steeds moet omgooien. De kern blijft: toegang goed regelen, configuratie schoon houden, afhankelijkheden beheren, en zorgen dat je merkt wat er gebeurt. Wil je weten hoe wij deze lagen invullen voor webshops? Zie webshop security.