Pentest voor je webshop, API of portal
Een pentest laat zien wat een aanvaller met je shop kan doen, niet alleen wat een scanner denkt. Wij testen checkout, klantaccounts, API's en admin met dezelfde kennis waarmee we Magento, Shopify en Laravel bouwen. Je krijgt bewijs, prioriteiten en een hertest.
- Handmatig testen, niet alleen scannen
- Rapport met CVSS en bewijs
- Hertest na het oplossen
Een pentest is een gecontroleerde aanval
Bij een penetratietest proberen we binnen afgesproken grenzen in te breken. We zoeken niet alleen naar kwetsbaarheden, we laten zien of ze uit te buiten zijn en wat de impact is. Dat maakt het verschil tussen een lijst met waarschuwingen en een lijst met echte problemen.
Webshops zijn een eigen soort doelwit. Het geld zit in de checkout, de data zit in klantaccounts en orders, en de toegang zit in admin en API-koppelingen. Een generieke pentest mist vaak de logica van een bestelflow. Wij kennen die flows, omdat we ze bouwen.
We testen Magento- en Hyvä-shops, Shopify-apps en headless-frontends, en Laravel-portals en API's. Eerlijk vooraf: een pentest is een momentopname. Hij vervangt geen patchritme of monitoring.
Black box, grey box of white box
Hoeveel weten wij vooraf? Dat bepaalt wat de test oplevert.
| Type | Wat we vooraf krijgen | Sterk in | Minder sterk in |
|---|---|---|---|
| Black box | Alleen de URL, zoals een willekeurige aanvaller. | Laat zien wat van buitenaf zichtbaar en aanvalbaar is. | Kost veel tijd aan verkenning; diepe logica en verborgen endpoints blijven vaak buiten zicht. |
| Grey box | Testaccounts met verschillende rollen, documentatie en meestal code-inzage. | Access control tussen rollen, betaalflow, API's. Beste verhouding tussen tijd en resultaat. | Minder realistisch als simulatie van een volledig onbekende aanvaller. |
| White box | Volledige toegang tot code, configuratie en architectuur. | Vindt het meeste, inclusief problemen die je van buitenaf niet ziet. | Meer tijd nodig; voelt soms als een code-audit met extra testwerk. |
Waarom we bij maatwerk meestal grey box adviseren
Bij een standaard Magento-shop zonder veel maatwerk zit het risico vooral in versies, extensies en configuratie. Dat vind je ook met een audit, en sneller.
Bij maatwerk ligt dat anders. Een eigen B2B-module, een custom API of een Laravel-portal heeft logica die alleen in jouw code bestaat. Daar zitten de fouten die ertoe doen: een endpoint dat niet checkt of een order van jou is, een prijsberekening die je kunt manipuleren.
Met testaccounts en code-inzage vinden we die fouten gericht. Zonder code-inzage besteden we een deel van het budget aan raden wat er achter een endpoint gebeurt. Een grey-box pentest met code-inzage levert bij maatwerk daarom vaak het meeste op per bestede dag.
Wat we testen in een webshop
De scope stemmen we vooraf af. Dit zijn de onderdelen die we meestal meenemen.
Checkout en betaling
- Manipulatie van prijzen, kortingen en verzendkosten
- Betaalcallbacks en wat er gebeurt bij time-outs of fouten
- Scripts op de betaalpagina, CSP en SRI
- Guest checkout en misbruik van gastwinkelwagens
Klantaccounts
- IDOR op orders, facturen, adressen en retouren
- Login, wachtwoordherstel en sessiebeheer
- Bescherming tegen credential stuffing en account-overname
- Rollen en rechten in B2B-accounts
API's en integraties
- REST- en GraphQL-endpoints, ook de ongedocumenteerde
- Tokens, scopes en rate limiting
- Koppelingen met ERP, PIM, PSP en marketplaces
- Data die een endpoint meer teruggeeft dan nodig
Admin en beheer
- Bereikbaarheid van admin en beheerpanelen
- 2FA, lockout en sessies
- Rechten tussen admin-rollen
- Uploadfunctionaliteit en bestandsverwerking
Methodiek: OWASP als basis, ervaring als richting
We werken langs de OWASP Top 10:2025 en de OWASP Web Security Testing Guide. Zo weet je zeker dat de grote categorieën gedekt zijn, van broken access control tot supply chain en foutafhandeling.
Tools gebruiken we voor het brede werk: verkenning, bekende kwetsbaarheden, configuratiefouten. Het echte werk is handmatig. Bedrijfslogica, rollen, betaalflows en ketens van kleine fouten vind je niet met een scanner.
We testen bij voorkeur op een acceptatieomgeving die gelijk is aan productie. Testen op productie kan, maar dan met duidelijke afspraken over tijden, testdata en wat we niet doen. Geen denial-of-service, geen echte betalingen, geen klantdata buiten de afgesproken scope.
Het rapport schrijven we voor twee lezers. De developer krijgt per bevinding de request, de response en de stappen om het te reproduceren. De eigenaar krijgt een samenvatting: wat is het risico voor de business, wat moet eerst en wat kan wachten. Een CVSS-score alleen zegt daar te weinig over, dus we wegen elke bevinding ook op de plek waar hij zit. Een lek in de checkout of in klantdata gaat voor.
Pentest, audit of scan: wat heb je nodig?
Ze worden vaak door elkaar gehaald. Ze beantwoorden verschillende vragen.
Vulnerability scan
Geautomatiseerd, snel en goedkoop. Vindt bekende kwetsbaarheden en misconfiguraties. Geschikt om regelmatig te draaien, niet om logica te testen.
Lees verder →Security audit
Een review van binnenuit: versies, extensies, code, configuratie en toegang. Levert een geprioriteerde lijst. Vaak de beste eerste stap voor een standaard webshop.
Lees verder →Pentest
Een gecontroleerde aanval die aantoont wat uit te buiten is. Het meest waardevol bij maatwerk, API's, portals en als een klant of auditor het eist.
Lees verder →Wanneer heb je een pentest nodig?
Voor PCI DSS
Verwerk je kaartgegevens in je eigen omgeving, dan vraagt PCI DSS om penetratietesten. Welke eisen voor jou gelden, hangt af van je SAQ-type. Check dat met je betaalprovider of QSA. Geen juridisch advies; wij doen de techniek.
Lees verder →Een B2B-klant vraagt erom
Grotere inkopers en ketenpartners vragen steeds vaker om een recent pentestrapport. Dan wil je een rapport dat de vragen van hun security-afdeling beantwoordt.
Na een grote release
Nieuwe checkout, een eigen API, een B2B-portal of een replatforming. Grote wijzigingen brengen nieuwe logica, en dus nieuwe fouten.
Na een incident
Na een hack wil je weten of er nog meer open staat. Eerst herstel, dan testen of het echt dicht is.
Lees verder →Zo werken we
Van intake tot hertest, met hetzelfde team.
- 1
Intake en scope
We bespreken wat je wilt weten, welke onderdelen meetellen en welk type test past. Je krijgt een voorstel met scope, aanpak en planning.
- 2
Afspraken vastleggen
Testomgeving, testaccounts, tijdvensters, contactpersonen en wat buiten scope valt. Schriftelijk, voordat we beginnen.
- 3
Testen
Verkenning, geautomatiseerde checks en vooral handmatig testen. Een kritieke bevinding melden we direct, niet pas in het rapport.
- 4
Rapportage en toelichting
Een rapport met bevindingen, CVSS-score, bewijs en fix. We lopen het samen door, met developers en met wie beslist.
- 5
Hertest
Na het oplossen testen we de bevindingen opnieuw. Je krijgt een bijgewerkt rapport waarin staat wat dicht is.
Wat je krijgt
- Een managementsamenvatting in gewone taal
- Per bevinding een CVSS-score en een inschatting van het risico voor jouw shop
- Bewijs: requests, responses en screenshots om het te reproduceren
- Concrete fix per bevinding, toegespitst op Magento, Shopify of Laravel
- Een overzicht van de geteste scope en wat buiten scope viel
- Een hertest met bijgewerkt rapport
- Optioneel: de fixes doorgevoerd door hetzelfde team
Waarom Coding.nl
We bouwen wat we testen
Magento, Hyvä, Shopify en Laravel zijn ons dagelijkse werk. We weten hoe een checkout, B2B-module of API van binnen werkt en waar het misgaat.
15+ jaar e-commerce
We kennen de aanvallen die webshops echt raken: skimmers, account-overname, misbruik van API's en betaalflows.
Rapporteren én oplossen
Geen rapport dat in een la verdwijnt. Als je wilt, lossen we de bevindingen zelf op en hertesten we.
Direct contact
Vast senior team, geen tussenlagen. Je spreekt de tester, niet een accountmanager.
Verder lezen
- ›Pentest webshop: wat kost het, wat test je en wat krijg je?
- ›Pentest, security audit of vulnerability scan: wat heb je nodig?
- ›Pentestrapport lezen: CVSS, risico en wat je eerst oplost
- ›Broken access control in webshops: IDOR op orders en accounts
- ›Magento GraphQL en REST API beveiligen: endpoints en tokens
- ›API-beveiliging voor e-commerce integraties: wat je moet weten
- ›PCI DSS webshop: wat 4.0.1 voor jouw checkout betekent
Veelgestelde vragen
Een pentest nodig voor je shop, API of portal?
Vertel ons wat je wilt laten testen en waarom. We denken mee over scope en type test, en zeggen het eerlijk als een audit of scan beter past.