Webshop security: voorkomen, ontdekken, herstellen
Een gehackte checkout kost je klanten, omzet en vertrouwen. Dit is de hub voor alles wat wij weten over het beveiligen van Magento-, Shopify- en Laravel-webshops: van patchbeleid tot incident response.
Kritieke Magento-kwetsbaarheden worden snel misbruikt. Een vast patchritme is je beste verdediging.
Aanvallers richten zich op betaalpagina’s en scripts van derden. Daar begint effectieve detectie.
Elk platform heeft een eigen aanvalsoppervlak en een eigen verdeling van verantwoordelijkheid.
Bij een incident praat je met de senior developer die je shop kent, niet met een ticketsysteem.
Hoe webshops echt worden gehackt
Bijna elke inbreuk die we tegenkomen valt in een van deze zes categorieën. Per route zie je hoe aanvallers werken en waar je verdediging begint.
Niet-gepatchte kwetsbaarheden
Zodra er een advisory of patch verschijnt, scannen aanvallers massaal naar shops die de fix nog niet hebben. Bij kritieke Magento-lekken zit tussen publicatie en misbruik vaak maar een paar dagen.
Kwetsbare extensies van derden
Een extensie draait met dezelfde rechten als de kern van je shop. Eén onderhouden-niet-meer module is genoeg voor code-uitvoering of een open uploadpunt.
Skimmers op de checkout
Kwaadaardige JavaScript op de betaalpagina leest kaartgegevens mee terwijl de klant typt. De shop blijft gewoon werken, dus je merkt het vaak pas via je betaalprovider.
Gekaapte admin-accounts
Phishing, hergebruikte wachtwoorden en oud-medewerkers met nog actieve toegang. Eenmaal in de admin kan een aanvaller code of betaalinstellingen aanpassen.
Geautomatiseerd misbruik
Carding met gestolen kaarten, credential stuffing op klantaccounts en scrapers die je server belasten. Het zijn bots, geen gerichte aanvallen.
Supply chain en werkplek
Gecompromitteerde packages, gelekte CI-secrets of een besmette ontwikkelaarslaptop geven toegang tot productie zonder dat de shop zelf kwetsbaar is.
Wat wij voor je doen
Security patches & updates
Magento security patches en 2.4.x-updates installeren we gecontroleerd, met tests op staging en zonder onnodige downtime.
Magento support →Security check van je shop
We lopen versie- en patchniveau, extensies, admin-toegang, serverconfiguratie en betaalpagina’s na en leveren een prioriteitenlijst.
Wat een audit omvat →Hack- en malware-herstel
Is je shop gecompromitteerd? We zoeken de ingang, ruimen op, herstellen vanuit schone data en dichten het gat.
Eerste 24 uur →Laravel & Filament hardening
Maatwerkapplicaties en backoffices inrichten volgens productie-best-practices: autorisatie, secrets, uploads en dependency-beheer.
Laravel checklist →Hosting & WAF
Juiste serverstack, firewall- en bot-regels en een CDN-strategie die schadelijk verkeer eruit houdt zonder klanten te blokkeren.
Hosting →Compliance-vragen
PCI DSS, AVG en NIS2 raken je webshop. We vertalen de eisen naar concrete technische maatregelen (geen juridisch advies).
PCI DSS 4.0 →Zo pakken we een security check aan
Geen rapport van honderd pagina’s dat in een la verdwijnt. Je krijgt een lijst waar je morgen mee verder kunt.
- 1
Inventariseren
Platformversie en patchniveau, extensies, hosting, toegangen, betaalflow en scripts van derden. Eerst weten wat er staat.
- 2
Analyseren
Configuratie en code-review op de risicovolle plekken, malware-scan, dependency-controle, serverinstellingen en admin-rechten.
- 3
Prioriteren
Elk punt krijgt een risico en een inspanning. Je ziet wat vandaag moet, wat deze maand kan en wat bewust blijft liggen.
- 4
Oplossen
Patches, hardening, WAF- en CSP-regels, gecontroleerd uitgerold via staging en met een terugvalplan.
- 5
Borgen
Monitoring, alerts en een patchritme, zodat de shop veilig blijft en niet alleen op de dag van de check.
Wat we controleren, per laag
Een shop is zo sterk als de zwakste laag. Dit is waar we per laag naar kijken.
Applicatie
- Patchniveau tegenover de laatste release
- Versie nog binnen support
- Custom code op injectie en autorisatie
- Developer- en debugmodus uit op productie
- REST- en GraphQL-endpoints beperkt tot wat nodig is
Extensies & dependencies
- Overzicht met eigenaar per extensie
- Wordt de extensie nog onderhouden?
- Composer audit en lockfile onder versiebeheer
- Ongebruikte modules verwijderd
- Geen code buiten de repository geüpload
Admin & toegang
- 2FA voor alle admins
- Toegang beperkt op IP of via VPN
- Rollen met minimale rechten
- Offboarding van oud-medewerkers en bureaus
- API-tokens en sleutels geroteerd
Server & hosting
- Bestandsrechten en schrijfbare mappen
- Database, OpenSearch en Redis niet publiek bereikbaar
- SSH met sleutels, geen wachtwoorden
- Back-ups die daadwerkelijk getest zijn
- Logging die je kunt terugzoeken
Checkout & betalingen
- Content Security Policy en Subresource Integrity
- Inventaris van scripts op de betaalpagina
- Hosted fields of iframe van de betaalprovider
- Detectie van wijzigingen op betaalpagina’s
- PCI-scope zo klein mogelijk
Data & compliance
- Alleen bewaren wat je nodig hebt
- Bewaartermijnen voor logs en bestellingen
- Een datalekprocedure die iemand kent
- Verwerkersovereenkomsten op orde
- PCI DSS en NIS2 vertaald naar maatregelen
Wie is waarvoor verantwoordelijk?
Het platform bepaalt hoeveel je zelf moet regelen. Dit is de verdeling in grote lijnen.
| Onderdeel | Magento | Shopify | Laravel |
|---|---|---|---|
| Platform- en frameworkpatches | Jij of je onderhoudspartner | Shopify | Jij (framework en packages) |
| Hosting en serverbeveiliging | Hostingpartij en jij samen | Shopify | Jij of je hostingpartij |
| Extensies, apps en packages | Jij | Jij (app-rechten en keuze) | Jij |
| Scripts en pixels op de betaalpagina | Jij | Jij (thema en pixels) | Jij |
| Admin- en staff-accounts | Jij | Jij | Jij |
| Back-ups en herstel | Jij met je hostingpartij | Jij (themacode en exports) | Jij |
Samengevat: bij Shopify ligt het platformwerk bij Shopify. Bij Magento en Laravel regel je het zelf of laat je het door je onderhoudspartner doen.
Recente kwetsbaarheden die we hebben uitgewerkt
Wanneer er een kritiek lek verschijnt, schrijven we uit wat het is, wie geraakt wordt en wat je doet.
Blockstrap (CVE-2026-103849): wat Magento-shops moeten doen
Kritieke kwetsbaarheid in Magento en Adobe Commerce: wat het is, wie geraakt wordt en welke stappen je zet.
Lees verder →StyleSmuggler (CVE-2026-75650): wat moet je nu doen?
Actief misbruikte kwetsbaarheid met een noodpatch: de aanpak en wat je moet controleren.
Lees verder →Magento 2 security patches installeren zonder downtime
Hoe je patches installeert zonder dat je shop plat gaat.
Lees verder →Als het misgaat: de eerste uren
In een incident telt volgorde. Dit is hoe wij het aanpakken, uitgebreid beschreven in onze gids.
- 1
Beperk de schade
Checkout of shop offline of in onderhoudsmodus als er kaartdata gevaar loopt.
- 2
Zet bewijs veilig
Snapshot van bestanden, database en logs voordat je iets opruimt.
- 3
Vind de ingang
Zonder de ingang te dichten komt de aanvaller terug. Eerst begrijpen, dan opruimen.
- 4
Herstel vanuit schone data
Kernbestanden en code vanuit versiebeheer, geen handmatig geplozen malware.
- 5
Roteer alle sleutels
Wachtwoorden, API-tokens, database- en betaalsleutels vervangen.
- 6
Meld en leer
Betaalprovider informeren en beoordelen of een datalek binnen 72 uur gemeld moet worden bij de Autoriteit Persoonsgegevens.
Doe de snelle check
Acht vragen. Antwoord je op meer dan twee “nee” of “weet ik niet”, dan is een security check de moeite waard.
- 1Draait je shop op een versie die nog security-updates krijgt?
- 2Staat 2FA aan voor elk admin-account?
- 3Weet je precies welke scripts er op je betaalpagina draaien?
- 4Wordt elke geïnstalleerde extensie nog onderhouden?
- 5Is je admin niet voor het hele internet bereikbaar?
- 6Heb je een back-up die je daadwerkelijk hebt teruggezet?
- 7Krijg je een melding als er bestanden op de server wijzigen?
- 8Weet je wie er ingrijpt als het om 02:00 misgaat?
Alle gidsen
Magento security
- ›Magento 2 Security Checklist 2026: 25 Punten
- ›Magento security audit: wat wordt er gecontroleerd?
- ›Magento admin beveiligen: 2FA, IP-filter en rollen
- ›Magento 2 security patches installeren zonder downtime
- ›Magento 2 updatestrategie — zo blijf je veilig en actueel
- ›Magento 2.4 versies en end-of-support: wat draai je veilig?
- ›Magento extensies veiligheid: het supply chain risico
- ›Blockstrap (CVE-2026-103849): wat Magento-shops moeten doen
- ›StyleSmuggler (CVE-2026-75650): wat moet je nu doen?
Aanvallen herkennen en afslaan
Incident response
Shopify & Laravel
Veelgestelde vragen
Gerelateerde pagina’s
Weet je zeker dat je shop veilig is?
Plan een vrijblijvend gesprek. We kijken naar je versie, patchniveau, extensies en hosting en vertellen je eerlijk waar de risico’s zitten.