Pentest webshop: wat kost het, wat test je en wat krijg je?

Een pentest voor je webshop kost geen vast bedrag. De prijs hangt af van scope, diepte en aantal rollen, en dat verschilt per shop enorm.

Ondernemers vragen ons vaak: "Wat kost een pentest?" Het eerlijke antwoord begint met een wedervraag: wat wil je getest hebben? Een shop met één checkout en een standaard thema is een ander project dan een B2B-portal met maatwerk-API's, een ERP-koppeling en drie klantrollen. In dit artikel leggen we uit waar de prijs uit bestaat, welke vormen van pentesten er zijn en wat je terug moet krijgen. Een overzicht van hoe wij dit aanpakken staat op /security/pentest.

Wat is een pentest, en wat is het niet?

Een penetratietest is een gecontroleerde aanval op je eigen systeem. Een tester probeert, met jouw toestemming, binnen te komen of data te bemachtigen. Hij gebruikt dezelfde technieken als een echte aanvaller en handmatig denkwerk, niet alleen tools.

Dat onderscheid is belangrijk. Een geautomatiseerde scan vindt bekende kwetsbaarheden en misconfiguraties. Een pentester combineert bevindingen, probeert logica te misbruiken en kijkt naar dingen die geen scanner snapt. Bijvoorbeeld: kan klant A de order van klant B bekijken? Kan ik een kortingscode oneindig hergebruiken? Het verschil tussen de varianten leggen we uit in pentest, security audit of vulnerability scan.

Een pentest is ook geen certificaat dat je veilig bent. Het is een momentopname: dit vond een tester in deze scope, in deze periode.

Black box, grey box en white box

De drie varianten verschillen in hoeveel de tester vooraf weet.

Voor de meeste webshops adviseren wij grey box. Je geeft de tester een gewoon klantaccount, een tweede klantaccount (voor het testen van toegang tot elkaars gegevens) en eventueel een beperkt admin-account. Zo besteedt hij zijn uren aan zoeken naar echte fouten, niet aan gokken.

Black box is zinvol als je wilt weten wat een anonieme aanvaller ziet, bijvoorbeeld bij een eerste meting. White box past bij maatwerk met veel eigen code, zoals een Laravel-portal. Daar vind je dingen die van buiten bijna onzichtbaar zijn.

Wat zit er in de scope?

Scope is de belangrijkste prijsfactor. Een webshop heeft meerdere aanvalsvlakken. Maak bewust een keuze.

• Checkout en betaalflow. Prijsmanipulatie, kortingscodes, voorraad, verzendmethodes, betaalstatus. Hier zit het geld.
• Klantaccounts. Registratie, inloggen, wachtwoordherstel, adresboek, orderhistorie. Hier zit het risico op accountovername en inzage in andermans gegevens. Zie ook broken access control en IDOR in webshops.
• API's. REST, GraphQL en koppelingen met ERP, PIM of marktplaatsen. Vaak slechter beveiligd dan de voorkant. Meer daarover in API-beveiliging voor e-commerce integraties.
• Admin. Rollen, rechten, 2FA, uploadfuncties, export van klantdata.
• Infrastructuur. Open poorten, services als Redis of OpenSearch, TLS-configuratie, staging-omgevingen. Hier zit veel misconfiguratie.
• Third-party scripts. Tag managers, chatwidgets, betaalscripts. Relevant voor skimmers; zie Magecart-skimmers detecteren.

Wil je alles testen? Dan wordt het duur. Een slimmer pad is om te beginnen met de onderdelen waar de meeste schade kan ontstaan: checkout, klantaccount en de API's die persoonsgegevens teruggeven.

Waar hangt de prijs van af?

Wij noemen hier geen vaste tarieven. Wel kunnen we de factoren benoemen die de prijs bepalen. Dat helpt je offertes vergelijken.

• Aantal testdagen. De kern. Een bescheiden shop vraagt grofweg enkele dagen testwerk, een complex platform kan een of meerdere weken kosten.
• Aantal rollen. Gast, klant, B2B-koper, B2B-manager, admin. Elke rol vermenigvuldigt het aantal scenario's.
• Hoeveel maatwerk. Standaard Magento of Shopify heeft minder onbekende code dan een shop met tientallen eigen modules.
• Aantal API's en koppelingen.
• Omgeving. Testen op staging is veiliger en vaak goedkoper in voorbereiding, maar alleen representatief als staging gelijk is aan productie.
• Diepte van de rapportage. Een samenvatting is sneller geschreven dan een rapport met reproduceerbare stappen en code-advies.
• Hertest. Wel of niet inbegrepen.

Als ruwe marktindicatie, uitdrukkelijk globaal en geen offerte: pentests voor webapplicaties lopen in de markt uiteen van enkele duizenden euro's voor een beperkte scope tot ruim boven de tienduizend voor omvangrijke platforms. Heb je een offerte die er ver buiten valt, vraag dan na wat erin zit. Een laag bedrag betekent vaak een scan met een rapport erboven. Een hoog bedrag kan prima kloppen bij veel rollen en maatwerk.

Hoe lang duurt het?

Reken op een proces in vier stappen.

1. Intake en scope (enkele dagen tot een week). Wat testen we, wanneer, met welke accounts, wie is aanspreekpunt?
2. Testen (enkele dagen tot een paar weken, afhankelijk van scope). In grey box overleggen we kort tijdens het testen als er iets kritieks opduikt.
3. Rapportage (enkele dagen). Bevindingen uitschrijven met bewijs.
4. Nabespreking en hertest. Je bespreekt de uitkomst, lost op, en laat de bevindingen controleren.

Plan een pentest niet vlak voor een grote campagne of release. Je wilt tijd hebben om te herstellen.

Wat krijg je terug? Een goed rapport

Een rapport is het product. Hier scheiden goede en slechte aanbieders zich. Een bruikbaar rapport bevat:

• Een management-samenvatting in gewone taal: wat is de algemene indruk, wat zijn de grootste risico's?
• Per bevinding: titel, beschrijving, impact, ernst, bewijs (requests, screenshots) en stappen om het te reproduceren.
• Een aanbeveling die een developer kan uitvoeren. "Valideer input" is geen aanbeveling. "Controleer in deze controller of de order bij de ingelogde klant hoort" wel.
• De scope en methodiek: wat is wel en niet getest, met welke rollen, in welke periode.
• Een duidelijke ernstclassificatie, bij voorkeur met CVSS en een toelichting op context. Hoe je dat leest, staat in een pentestrapport lezen.
• Een lijst met dingen die goed zijn. Die zijn nuttig om te weten wat je niet hoeft aan te raken.

Let op rapporten die vol staan met scannerresultaten zonder context, bevindingen zonder bewijs, of een lange lijst "informational" bevindingen om het dikker te laten lijken.

Hertest: vaak vergeten

Een pentest zonder hertest laat je met de vraag of de fixes werken. Spreek vooraf af of een hertest in de prijs zit, en binnen welke termijn. Wij raden aan om kritieke en hoge bevindingen altijd te laten hertesten. Lage bevindingen kun je vaak zelf verifiëren.

Wanneer is een pentest overkill?

Eerlijk is eerlijk: niet elke shop heeft er direct een nodig.

• Kleine Shopify-shop met standaard thema en weinig apps. Het platform neemt veel infrastructuur- en checkoutrisico weg. Een goede app-review en een nette toegang voor medewerkers leveren meer op. Zie wat Shopify regelt en wat jij.
• Een shop die nog basis-hygiëne mist. Is Magento verouderd, zijn patches niet geïnstalleerd, staat 2FA uit? Dan vindt een pentest vooral wat je al weet. Begin met een security audit en de Magento security checklist.

Een pentest loont wanneer je basis op orde is en je wilt weten wat een creatieve aanvaller nog vindt. Ook bij grote wijzigingen, zoals een nieuwe checkout, een B2B-portal of een nieuwe koppeling, is het een goed moment.

Wanneer is een pentest verplicht of gevraagd?

Soms dwingt een externe partij het af.

• PCI DSS vraagt om penetratietesten voor omgevingen binnen scope. Of en hoe dat voor jouw shop geldt, hangt af van hoe je betalingen verwerkt. Overleg dit met je QSA of betaalprovider. Meer context in PCI DSS 4.0 voor webshops.
• Grote klanten of retailers eisen soms een recent rapport in hun leveranciersproces.
• NIS2 kan van invloed zijn op je beveiligingsmaatregelen. Of je eronder valt lees je in NIS2 en je webshop. Dit is geen juridisch advies.

Hoe bereid je je voor?

Goede voorbereiding bespaart uren, en dus geld.

• Zorg voor een staging-omgeving die op productie lijkt, met testdata en geen echte klantgegevens.
• Maak testaccounts per rol aan en lever ze aan.
• Informeer je hosting en je WAF-beheerder. Anders blokkeert je eigen WAF de tester, of schrikt je monitoring zich een ongeluk.
• Wijs een contactpersoon aan die snel kan beslissen.
• Spreek af wat niet mag: denial of service, social engineering, productiedata wijzigen.
• Zet back-ups klaar.

Wie moet het doen?

Kies een tester die je platform kent. Een generiek pentestbureau vindt de standaard OWASP-zaken, maar kent niet altijd de eigenaardigheden van Magento: de admin-structuur, ACL-rollen, de REST- en GraphQL-laag, het sessiegedrag of de manier waarop extensies zich inhaken. Vraag ook naar de ervaring met e-commerce en naar een voorbeeldrapport (geanonimiseerd).

Een tweede vraag: wie lost op? Wij werken met een vast team en korte lijnen. Dezelfde mensen die bevindingen documenteren, praten direct met jou over de fix. Dat scheelt weken vergeleken met een rapport dat over de schutting wordt gegooid.

Veelgestelde vragen

Wat kost een pentest voor een webshop?

Dat hangt af van scope, aantal rollen, hoeveelheid maatwerk en rapportagediepte. Globaal loopt de markt uiteen van enkele duizenden euro's voor een beperkte scope tot ruim boven de tienduizend voor complexe platforms. Dit is een indicatie, geen offerte. Een goede aanbieder vraagt eerst naar je scope.

Is grey box beter dan black box?

Voor de meeste webshops wel. Met testaccounts kan de tester dieper in de functionaliteit kijken, waar de meeste fouten zitten, zoals toegang tot andermans orders. Black box laat zien wat een anonieme bezoeker kan bereiken, maar kost meer tijd voor minder diepgang.

Hoe vaak moet ik een pentest laten doen?

Minimaal na grote wijzigingen, zoals een nieuwe checkout, een portal of een grote koppeling. Veel bedrijven plannen daarnaast periodiek een test, vaak jaarlijks. Combineer dit met lopende patches en scans in een jaarplan.

Kan een pentest mijn webshop kapotmaken?

Het risico bestaat, vooral op productie. Daarom testen we bij voorkeur op een representatieve staging-omgeving en spreken we vooraf af wat niet mag, zoals denial of service. Zorg altijd voor een back-up.

Zit een hertest in de prijs?

Dat verschilt per aanbieder. Vraag het expliciet vooraf, inclusief de termijn waarbinnen je een hertest kunt aanvragen. Wij raden aan kritieke en hoge bevindingen altijd te laten hertesten.

Wil je weten wat een pentest voor jouw shop inhoudt? Bekijk onze pentest-aanpak of neem contact op. Je spreekt direct met degene die het werk doet.