Pentest, security audit of vulnerability scan: wat heb je nodig?

Een scan zoekt bekende gaten, een audit controleert je inrichting en een pentest probeert echt binnen te komen. Je hebt meestal een combinatie nodig, geen losse keuze.

Wij horen de drie termen door elkaar gebruiken. Ondernemers bestellen "een pentest" en krijgen een scanrapport. Of ze vragen een audit en verwachten dat iemand de shop aanvalt. Dat leidt tot teleurstelling en geld naar het verkeerde middel. Hieronder leggen we uit wat elk middel doet, wat het kost in tijd en inzet, en hoe je ze in een jaar combineert.

De korte versie

Deze kolommen zijn bewust algemeen. De werkelijke inzet hangt af van je shop. Lees voor prijsfactoren onze uitleg over wat een pentest kost.

Vulnerability scan: de rookmelder

Een vulnerability scan draait een tool tegen je shop of server. De tool vergelijkt versies en gedrag met een database van bekende problemen. Denk aan een verouderde PHP-versie, een ontbrekende security header, een open poort of een bekend kwetsbare bibliotheek.

Sterk punt: snel, herhaalbaar en goedkoop. Je kunt hem wekelijks draaien.

Zwak punt: een scanner snapt je bedrijfslogica niet. Hij ziet niet dat klant A de factuur van klant B kan downloaden door een nummer in de URL te veranderen. Hij levert ook false positives op en meldt dingen die in jouw context niet relevant zijn. Je moet de uitkomst dus kunnen beoordelen.

Voorbeelden in ons werkveld:

• Adobe's gratis Security Scan Tool voor Magento, bereikbaar via je Adobe Commerce-account.
• Commerciële malwarescanners zoals Sansec eComscan.
• composer audit voor bekende kwetsbaarheden in je PHP-dependencies.
• Algemene scanners voor poorten, TLS en headers.

Een scan is een goede eerste stap en een goede dagelijkse gewoonte. Het is geen pentest. Een rapport met alleen scannerresultaten noemen we gewoon een scanrapport.

Security audit: de keuring

Een security audit kijkt naar hoe je shop is ingericht en onderhouden. Een specialist loopt systematisch een checklist door en beoordeelt de uitkomst. Bij Magento kijkt dat naar onder andere:

• Versie en patchstatus van core en extensies.
• Admin: 2FA, rollen, aangepaste admin-URL, IP-beperking.
• Bestandsrechten, deploy-proces, env.php en geheimen.
• Configuratie van webserver, PHP, Redis, OpenSearch en database.
• Third-party scripts en CSP.
• Logging, back-ups en een herstelplan.

Wat precies wordt gecontroleerd, lees je in wat er bij een Magento security audit wordt gecontroleerd. Onze aanpak staat op /security/audit.

Sterk punt: je krijgt een breed beeld, met nadruk op wat je zelf kunt verbeteren. Een audit vindt ook zaken die een aanval niet direct laat zien, zoals ontbrekende back-ups of een deploy-key die te veel mag.

Zwak punt: een audit toetst of dingen goed staan, niet of ze te omzeilen zijn. Een perfecte checklist kan nog steeds een logische fout in de checkout bevatten.

Pentest: de inbraakpoging

Een pentest probeert te doen wat een aanvaller zou doen. De tester kiest een doel (data van andere klanten, admin-toegang, gratis bestellen) en zoekt een route. Hij combineert kleine bevindingen tot een echte aanval. Een bevinding die op zichzelf laag lijkt, kan samen met een tweede een kritiek pad vormen.

Sterk punt: het geeft bewijs. Je weet niet alleen dat er een theoretisch gat is, maar ook wat het oplevert. Dat helpt bij prioriteren. Hoe je zo'n rapport leest, staat in een pentestrapport lezen.

Zwak punt: het is duur per uur, beperkt in scope en het is een momentopname. Een pentest van vorige maand zegt weinig over de patch die vandaag niet is geïnstalleerd.

Meer over onze aanpak: /security/pentest.

Een voorbeeld: dezelfde shop, drie uitkomsten

Stel, een Magento-shop met een B2B-portal en een eigen ERP-koppeling.

• De scan meldt een verouderde bibliotheek, een ontbrekende header en een open poort die niet gebruikt wordt.
• De audit meldt dat een extensie al maanden geen update kreeg, dat een oud admin-account nog actief is en dat back-ups nooit zijn teruggezet.
• De pentest toont dat een B2B-koper via een API-call de bestellingen van een ander bedrijf kan ophalen.

Dit is een illustratief voorbeeld, geen klantcase. Het punt: elk middel vindt iets anders. Alleen de pentest vindt de ernstigste fout, omdat die in de logica zit. Zie broken access control in webshops.

Welk middel wanneer?

Een vuistregel op basis van je situatie.

Je hebt nog nooit naar security gekeken. Begin met een scan en een audit. Een pentest vindt dan vooral wat je al weet, tegen een hoger tarief. Gebruik de Magento 2 security checklist als startpunt. Je basis staat en je wilt zekerheid. Plan een pentest, bij voorkeur grey box met testaccounts. Zie wat een pentest kost voor de aanpak. Je lanceert iets nieuws. Nieuwe checkout, nieuw portal, nieuwe koppeling: laat het testen vóór of kort na de livegang. Een audit van de inrichting hoort daar ook bij. Je moet voldoen aan een eis. PCI DSS, een leverancierstoets van een grote klant of NIS2 kunnen specifieke vormen van testen of scannen vragen. Check de eis zelf en overleg met je QSA of betaalprovider. Context: PCI DSS 4.0 voor webshops en NIS2 en je webshop. Geen juridisch advies. Je shop draait op Shopify met weinig apps. Dan is een pentest zelden de eerste investering. Platform en checkout zijn grotendeels de zorg van Shopify. Review je apps en toegang. Zie wat Shopify regelt en wat jij.

Een jaarplan dat werkt

Combineer de middelen. Een opzet die wij vaak adviseren:

1. Doorlopend. Patches installeren zodra ze er zijn. Zie security patches zonder downtime. composer audit in je pipeline. Monitoring op wijzigingen en inlogpogingen.
2. Maandelijks of per kwartaal. Scan op infrastructuur en kwetsbare packages. Beoordeel de uitkomst, niet alleen de lijst.
3. Jaarlijks. Security audit van configuratie, rollen, extensies en processen.
4. Jaarlijks of bij grote wijzigingen. Pentest op de onderdelen met de meeste impact: checkout, accounts, API's.
5. Na elke test. Hertest van kritieke en hoge bevindingen.
6. Voorbereiding op een incident. Een plan voor als het toch misgaat. Zie incident response en monitoring.

Dit past op de meeste middelgrote webshops. Bij een kleine shop volstaat vaak een lichtere variant: patchen, scannen, en eens per jaar een audit.

Wie voert het uit?

Sommige taken doe je zelf of met je hostingpartner. Een scan kan je beheerder draaien. Patches installeert je ontwikkelaar. Een audit en een pentest laat je bij voorkeur door een onafhankelijke specialist doen die het platform kent.

Overweeg dat degene die je shop bouwt of onderhoudt zijn eigen werk minder kritisch beoordeelt. Dat is geen onwil, maar menselijk. Daarom is een tweede paar ogen waardevol. Wij combineren dat met korte lijnen: je spreekt direct met degene die test én met degene die fixt, zonder projectmanager ertussen.

Waar je op moet letten bij offertes

• Staat in de offerte welke methode wordt gebruikt? "Pentest" op basis van enkel een tool is een scan.
• Wordt er handmatig getest?
• Zijn de rollen en scope duidelijk?
• Is er een hertest?
• Krijg je een rapport met reproduceerbare stappen en praktische aanbevelingen?
• Heeft de aanbieder ervaring met jouw platform?

Een lage prijs voor een "pentest" is vaak een scan. Dat hoeft niet erg te zijn, zolang je weet wat je koopt.

Veelgestelde vragen

Is een vulnerability scan genoeg voor mijn webshop?

Voor een basisniveau helpt een scan goed, vooral om bekende problemen vroeg te zien. Maar een scan vindt geen logische fouten, zoals toegang tot andermans orders. Gebruik hem als aanvulling, niet als vervanging van een audit of pentest.

Wat is het verschil tussen een security audit en een pentest?

Een audit controleert of je inrichting en processen kloppen, zoals patches, rollen en configuratie. Een pentest probeert actief binnen te komen en toont wat een aanvaller kan bereiken. Een audit is breder, een pentest dieper.

Hoe vaak moet ik elk middel inzetten?

Scans doorlopend of periodiek, een audit meestal jaarlijks, en een pentest jaarlijks of na grote wijzigingen. Pas het ritme aan op het risico van je shop en eventuele eisen van betaalpartijen of klanten.

Met welk middel begin ik?

Met een scan en een audit, zodat de basis op orde komt. Daarna levert een pentest meer op, omdat de tester niet tijd verspilt aan problemen die je al had kunnen vinden.

Kan ik alles zelf doen?

Scans en patches grotendeels wel. Voor een audit en pentest is een onafhankelijke blik waardevol, omdat je blinde vlekken hebt voor je eigen inrichting.

Twijfel je welk middel past? Neem contact op en vertel kort wat voor shop je hebt. Wij adviseren eerlijk, ook als de conclusie is dat je nog geen pentest nodig hebt. Meer over onze diensten: /security.