PHP-lek: wat dit vraagt van je webshop beveiliging

Een dubbel PHP-lek leidde volgens Ecommerce News tot verstoringen en het preventief offline halen van webshops. Voor jou als ondernemer maakt dit webshop beveiliging direct tot een praktische vraag: wie beslist over sluiten, wat gebeurt er met bestellingen en wanneer kun je verantwoord verder?

PHP is volgens het nieuwsbericht de programmeertaal onder onder meer WooCommerce, Magento, Shopware en PrestaShop. De mogelijke gevolgen van de kwetsbaarheden waren toegang tot servers, diefstal van gegevens en verstoring van de verkoop.

Mijn advies als founder van Rebus: gebruik dit bericht om je eigen afspraken te controleren. Begin bij de vraag wie jouw technische omgeving beheert en wie kan uitleggen of deze melding daarop van toepassing is.

Vraag daarbij om een begrijpelijk antwoord. Welke onderdelen zijn gecontroleerd? Welke maatregelen zijn genomen? Wat moet nog gebeuren? Met alleen de mededeling dat alles weer werkt, kun je als ondernemer moeilijk beoordelen of het incident ook is afgehandeld.

Je hoeft daarvoor geen programmeur te worden. Je hebt wel iemand nodig die technische bevindingen vertaalt naar een zakelijke beslissing: doorverkopen, tijdelijk beperken of offline gaan.

Ik raad aan om het beheer van je webshop op te delen in herkenbare verantwoordelijkheden. Wie beheert de hosting, de omgeving waarop de webshop draait? Wie onderhoudt de winkelsoftware? En wie beheert de koppelingen met andere systemen?

Zet daar namen en contactgegevens bij. Vermijd een document waarin overal alleen ‘hostingpartij’ of ‘webbouwer’ staat. Tijdens een storing wil je iemand kunnen bereiken die jouw omgeving kent en bevoegd is om in te grijpen.

Vraag wie een beveiligingsupdate uitvoert

Laat je beheerder beschrijven hoe een urgente beveiligingsupdate wordt beoordeeld, uitgevoerd en gecontroleerd. Vraag ook hoe je wordt geïnformeerd wanneer die update tijdelijk gevolgen heeft voor de webshop.

Maak onderscheid tussen het uitvoeren van een wijziging en het controleren van de uitkomst. Ik zou vooraf afspreken welke controles nodig zijn voordat je het werk als afgerond beschouwt. Denk aan het bekijken van de winkel, het doorlopen van een bestelling en het controleren van de overdracht naar je administratiesysteem.

Spreek ook af wie bereikbaar is wanneer je vaste contactpersoon afwezig is. Een onderhoudsafspraak hoort bruikbaar te zijn op het moment dat je hem nodig hebt.

Leg vast wie over offline gaan beslist

Bij een acute melding wil je geen discussie beginnen over bevoegdheden. Bespreek daarom vooraf wanneer een beheerder zelfstandig mag ingrijpen en wanneer jij wordt betrokken.

Vraag ook wat ‘offline’ in jouw situatie betekent. Wordt de hele website afgesloten? Kan er een onderhoudspagina verschijnen? Blijven er processen actief die aandacht vragen? Laat je technische partner de mogelijkheden voor jouw omgeving uitleggen.

Een tijdelijke sluiting vraagt vervolgens om een zakelijke aanpak. Wijs iemand aan die klanten informeert, lopende bestellingen bekijkt en intern doorgeeft welke werkzaamheden doorgaan. Zo voorkom je dat iedereen op eigen initiatief een ander verhaal vertelt.

Het nieuwsbericht beschrijft ook gevolgen voor integratiepartners van bol. Bol meldde zelf niet geraakt te zijn, maar verlengde de verwerkingstermijn met 24 uur om automatische annuleringen van partnerbestellingen te voorkomen.

Mijn vertaling naar het MKB: neem je hele bestelproces mee in je voorbereiding. Beperk je vragen aan leveranciers niet tot de bereikbaarheid van de website.

Maak zichtbaar hoe een bestelling door je bedrijf loopt

Schrijf op welke stappen een bestelling doorloopt. Begin bij het verkoopkanaal en eindig bij verzending en administratie. Noteer bij iedere overdracht welk systeem daarvoor verantwoordelijk is en welke leverancier je kunt bellen.

Neem daarin ook je eigen werkzaamheden mee. Wie controleert nieuwe orders? Wie maakt verzendlabels? Wie beantwoordt vragen over betaalde bestellingen? Die mensen moeten weten welke informatie ze tijdens een storing kunnen vertrouwen.

Gebruik dit overzicht om met je leveranciers concrete situaties te bespreken. Wat doe je als de webshop bereikbaar is, maar de overdracht naar het magazijn niet werkt? Hoe controleer je achteraf welke orders aandacht nodig hebben? Vraag om een werkwijze die past bij jouw systemen.

Spreek af hoe je achterstanden controleert

Laat vooraf bepalen hoe je na herstel bestellingen vergelijkt tussen je verkoopkanaal en de systemen die daarop volgen. Wijs ook aan wie eventuele verschillen beoordeelt.

Mijn aanbeveling is om hervatten als een aparte taak te behandelen. Laat iemand expliciet vaststellen welke bestellingen klaarstaan, welke nog onderzocht moeten worden en welke klanten bericht krijgen. Zet een openstaand probleem op naam, zodat het niet tussen leveranciers blijft liggen.

Bereid een korte onderhoudstekst voor die je bij een incident kunt aanpassen. Vertel daarin wat klanten op dat moment kunnen doen, waar zij terechtkunnen met vragen en waar een volgende update verschijnt.

Doe geen uitspraken over de veiligheid van klantgegevens voordat je technische partner daar onderzoek naar heeft gedaan. Vraag eerst welke conclusies al onderbouwd zijn en welke vragen nog openstaan.

Geef je klantenservice dezelfde informatie als je technische contactpersoon met jou deelt, vertaald naar begrijpelijk Nederlands. Laat medewerkers weten wie aanvullende vragen verzamelt en wie nieuwe informatie goedkeurt.

Neem ook advertenties en andere verkoopkanalen mee

Wijs vooraf iemand aan die tijdens een sluiting je actieve campagnes beoordeelt. Denk aan Google Ads, Meta-advertenties, geplande nieuwsbrieven en berichten die bezoekers naar de webshop sturen.

Bekijk per campagne of pauzeren of aanpassen nodig is. Spreek vervolgens af wie de campagnes na herstel controleert en weer activeert. Neem die stap op in dezelfde werklijst als het hervatten van de verkoop.

Voor andere verkoopkanalen zou ik dezelfde vragen stellen: wat kunnen we nog leveren, welke belofte kunnen we waarmaken en wie past de communicatie aan? Gebruik daarbij de actuele informatie uit je eigen orderproces.

Bij Rebus richten we ons op websites, webshops, API-koppelingen en AI-automatisering voor het MKB. Een API-koppeling is de verbinding waarmee systemen gegevens uitwisselen. Vanuit die combinatie kijk ik bij dit soort nieuws vooral naar de samenhang tussen techniek en dagelijkse bedrijfsvoering.

Mijn aanbeveling is om met je beheerder een overzicht te maken van je omgeving, de verantwoordelijkheden en het herstelproces. Laat iedere betrokken partij aangeven welk onderdeel zij beheert en welke informatie zij bij een incident aanlevert.

Vraag om controleerbare afspraken

Een bruikbare afspraak beschrijft wat iemand doet en hoe jij hoort dat het is gebeurd. Vraag bijvoorbeeld hoe een beveiligingsmelding wordt beoordeeld, wie contact opneemt en welke controle volgt voordat de webshop weer wordt vrijgegeven.

Bespreek ook hoe je na afloop evalueert. Welke beslissing werkte goed? Waar ontbrak informatie? Welke afspraak moet worden aangepast? Houd dat gesprek gericht op verbeteringen die je daadwerkelijk kunt uitvoeren.

Ik zou automatisering pas toevoegen wanneer die verantwoordelijkheden duidelijk zijn. Laat je leverancier uitleggen welke controles eventueel automatisch kunnen verlopen en bij welke beslissingen een mens betrokken blijft. Vraag steeds welk probleem de voorgestelde oplossing voor jouw bedrijf oplost.

Je hoeft op basis van dit nieuwsbericht niet meteen een ander platform te kiezen. Laat eerst onderzoeken hoe jouw huidige omgeving is ingericht en welke afspraken ontbreken. Gebruik die bevindingen om vervolgstappen te bepalen.

1. —

   Vraag je beheerder om een beoordeling van jouw omgeving. Laat vastleggen of het gemelde PHP-lek relevant is voor jouw webshop, wat is gecontroleerd en welke maatregelen zijn genomen. Vraag om uitleg die je als ondernemer kunt begrijpen en bewaren.

2. —

   Leg de beslissingen bij een incident vast. Spreek af wie mag ingrijpen, wie klanten informeert en welke controles nodig zijn voor hervatting. Neem ook bereikbaarheid, lopende bestellingen en actieve campagnes mee.

3. —

   Loop het bestelproces samen met je leveranciers door. Breng de route van verkoopkanaal naar magazijn en administratie in kaart. Bespreek hoe je bij een onderbreking orders controleert, achterstanden afhandelt en klanten duidelijkheid geeft.