Veel webshop-eigenaren denken dat hun beveiliging goed geregeld is zodra er een slotje in de browser zichtbaar is.

Dat is begrijpelijk. Jarenlang werd HTTPS gepresenteerd als dé maatregel om websites veiliger te maken. Tegenwoordig verwachten bezoekers zelfs dat een website een geldig SSL-certificaat heeft. Ontbreekt dat, dan tonen browsers waarschuwingen en neemt het vertrouwen van bezoekers direct af.

Toch zegt een SSL-certificaat verrassend weinig over de daadwerkelijke veiligheid van een webshop.

Wat een SSL-certificaat wél doet

Een SSL-certificaat zorgt ervoor dat gegevens versleuteld worden verstuurd tussen de bezoeker en de website.

Wanneer een klant inlogt, persoonsgegevens invult of een bestelling plaatst, voorkomt HTTPS dat deze gegevens onderweg eenvoudig kunnen worden onderschept.

Dat is belangrijk. Zeker voor webshops die persoonsgegevens verwerken of online betalingen faciliteren.

Vrijwel iedere moderne webshop gebruikt daarom HTTPS.

Wat een SSL-certificaat níet doet

Waar het vaak misgaat, is de aanname dat HTTPS ook iets zegt over de beveiliging van de webshop zelf.

Dat is niet het geval.

Een webshop kan een perfect werkend SSL-certificaat hebben en tegelijkertijd kwetsbaar zijn voor allerlei andere beveiligingsproblemen.

Een paar voorbeelden:

• Klanten kunnen gegevens van andere klanten bekijken.
• Productprijzen zijn te manipuleren.
• Kortingscodes kunnen onbeperkt worden hergebruikt.
• API-koppelingen geven meer informatie terug dan bedoeld.
• Beheerfunctionaliteiten zijn onvoldoende afgeschermd.
• Verouderde plug-ins bevatten bekende kwetsbaarheden.

Al deze problemen kunnen aanwezig zijn terwijl het bekende slotje gewoon zichtbaar blijft in de browser.

Waarom webshops een aantrekkelijk doelwit zijn

Webshops verwerken vaak precies de gegevens waar aanvallers naar op zoek zijn.

Denk aan:

• persoonsgegevens;
• adresgegevens;
• bestelgeschiedenis;
• accountgegevens;
• loyaliteitsprogramma's;
• betaalgegevens;
• cadeaubonnen en kortingscodes.

Daarnaast zijn veel webshops gekoppeld aan externe systemen zoals betalingsproviders, CRM-systemen, voorraadbeheersystemen en marketingplatformen.

Elke koppeling creëert nieuwe functionaliteit, maar vergroot ook het aanvalsoppervlak.

Juist daardoor ontstaan kwetsbaarheden vaak op plekken waar ondernemers niet direct aan denken.

De praktijk is vaak minder technisch dan mensen verwachten

Wanneer mensen aan cyberaanvallen denken, denken ze vaak aan ingewikkelde hacks.

Tijdens beveiligingsonderzoeken blijken de meest interessante bevindingen regelmatig veel eenvoudiger.

Een gebruiker die een URL aanpast en daardoor gegevens van een andere klant ziet.

Een kortingscode die vaker gebruikt kan worden dan bedoeld.

Een API die onvoldoende controleert welke gegevens mogen worden opgevraagd.

Een retourproces dat op een onverwachte manier misbruikt kan worden.

Dit soort kwetsbaarheden ontstaan niet altijd door verouderde software. Vaak zijn het fouten in processen, rechten of applicatielogica.

Daarom worden ze door standaard beveiligingsscans niet altijd ontdekt.

Hoe krijg je een beter beeld van de beveiliging van een webshop?

Een geldig SSL-certificaat blijft belangrijk. Het is een basisvoorwaarde voor iedere professionele webshop.

Wie wil weten hoe veilig een webshop daadwerkelijk is, zal echter verder moeten kijken dan het slotje in de browser.

Daarbij kan worden gekeken naar zaken zoals:

• gebruikersrechten;
• autorisaties;
• API-beveiliging;
• koppelingen met externe systemen;
• configuratiefouten;
• misbruik van bedrijfsprocessen;
• kwetsbaarheden in maatwerkfunctionaliteit.

Juist op dat vlak worden tijdens een webshop pentest regelmatig risico's gevonden die met een standaard controle onzichtbaar blijven.

Voor ondernemers is de belangrijkste les daarom eenvoudig: HTTPS is noodzakelijk, maar het is slechts één onderdeel van een veel groter beveiligingsplaatje.