Kwetsbaarheidsscan van uw website: wat hij vindt en wat hij mist
Bijgewerkt op · 4 minuten lezen · door Enes
In het kort
Een kwetsbaarheidsscan (vulnerability scan) controleert uw website automatisch op bekende zwakke plekken. Denk aan verouderde software, ontbrekende updates en onveilige instellingen. Hij werkt snel en is goedkoper dan een pentest. Maar hij probeert niet zelf in te breken. Logicafouten, zoals een kortingscode die eindeloos werkt, vindt een scan daarom niet.
In dit artikel (6 delen)
Wat is een kwetsbaarheidsscan?
Een kwetsbaarheidsscan is software die uw website van buitenaf afloopt. Hij vergelijkt wat hij ziet met lijsten van bekende lekken. Het NCSC omschrijft het zo: u scant op bekende kwetsbaarheden en ontbrekende patches. Ook zoekt u naar zwakke instellingen zoals standaardwachtwoorden, onvoldoende versleuteling en veelvoorkomende fouten in webapplicaties.
Andere namen voor hetzelfde: vulnerability scan, kwetsbaarhedenscan, securityscan of website security scan. De scan dringt uw systemen niet binnen. Daardoor is hij snel klaar en goedkoper dan een pentest.
Wat een kwetsbaarheidsscan wél vindt
Een goede scan vindt de lekken waar aanvallers als eerste naar zoeken, omdat ze makkelijk te misbruiken zijn. Denk aan een verouderde WordPress, plug-in of PHP-versie met een bekend lek. Een verlopen of zwak ingesteld certificaat. Ontbrekende beveiligingsheaders. Een beheerpagina die voor iedereen open staat. Of bestanden die per ongeluk zichtbaar zijn, zoals back-ups.
Dat lijkt basis. Juist daarom is het gevaarlijk: criminelen scannen het hele internet automatisch op precies deze fouten. Uw webshop hoeft niet interessant te zijn om geraakt te worden. Hij hoeft alleen een bekend lek te hebben.
Wat een kwetsbaarheidsscan níet vindt
Een scanner kent alleen wat al bekend is. Hij begrijpt niet hoe uw webshop bedoeld is te werken. Daarom mist hij fouten in de logica. Een prijs die u in de winkelwagen kunt aanpassen. Een betaalstap die over te slaan is. Of een klant die via een ander ordernummer de bestelling van iemand anders ziet.
Het NCSC is hier duidelijk over. Een kwetsbaarhedenassessment wijst doorgaans niet uit welke gevolgen een lek heeft voor uw organisatie. Een pentest is geschikter om onbekende kwetsbaarheden te vinden. Een scan zegt dus wáár een deur op een kier staat. Een pentest laat zien hoe ver iemand daarna komt.
Gratis scanner of laten scannen met handcontrole?
Gratis online scanners zijn een prima begin. Ze laten zien wat iedereen van buitenaf ziet. Het nadeel: u krijgt een lange lijst zonder oordeel en met veel vals alarm. U weet niet wat u eerst moet doen. Een melding als “X-Frame-Options ontbreekt” klinkt eng. Meestal is die minder dringend dan een verouderde plug-in met een bekend lek.
Bij onze website security check, De Scan, laten wij eerst een geautomatiseerde scan lopen. Daarna lopen we de uitkomst met de hand na. Vals alarm gaat eruit. Binnen 24 uur krijgt u een kort rapport in gewone taal. Daarin staan de twee of drie punten die u eerst oplost. De Scan kost vanaf € 295 excl. btw. Het is uitdrukkelijk geen pentest: wij proberen niet zelf in te breken.
Hoe vaak moet u een kwetsbaarheidsscan laten doen?
Minstens één keer per jaar. En na elke grote wijziging, zoals een nieuw thema, nieuwe plug-ins of een andere betaalkoppeling. Ook een verhuizing naar andere hosting telt mee. Nieuwe lekken worden elke week ontdekt. Een scan van vorig jaar zegt weinig over vandaag.
Het NCSC raadt aan te beginnen met een kwetsbaarhedenscan en de bevindingen op te lossen. Pas daarna laat u een pentest doen. Anders betaalt u een pentester voor fouten die een scan ook had gevonden. Die volgorde houden wij zelf ook aan. Kiest u binnen 30 dagen na De Scan alsnog voor een pentest, dan trekken we het scanbedrag ervan af.
Wanneer is een scan niet genoeg?
Verwerkt uw website bestellingen, betalingen of klantaccounts? Dan is een scan alleen te weinig. De fouten die geld kosten zitten daar in de logica, en die vindt alleen een mens. Kies dan De Inbraaktest, een pentest van buitenaf (vanaf € 2.950 excl. btw). Loggen klanten in of zijn er API’s, kies dan De Inbraaktest Totaal (vanaf € 4.950 excl. btw).
Twijfelt u? Begin met de gratis checks op onze site, die alleen publieke informatie lezen. Dan ziet u in een minuut wat iedereen al kan zien. Testen of scannen doen wij alleen na schriftelijke toestemming van de eigenaar van het systeem.
Veelgestelde vragen
Welke kwetsbaarheden vindt een scan het vaakst bij webshops?
Bij webshops zien scanners vaak verouderde plug-ins of extensies en een oude PHP-versie. Ook ontbrekende beveiligingsheaders en een open beheerpagina komen veel voor. Net als zichtbare bestanden die er niet horen, zoals back-ups. Dat zijn precies de fouten waar criminelen automatisch op zoeken.
Wat is het verschil tussen een kwetsbaarheidsscan en een pentest?
Een kwetsbaarheidsscan is geautomatiseerd en zoekt in de breedte naar bekende lekken. Een pentest is handwerk: een tester probeert zelf binnen te komen en gaat de diepte in. Een scan vindt verouderde software, een pentest ook fouten in de logica van uw webshop.
Wat kost een kwetsbaarheidsscan van een website?
Gratis online scanners kosten niets maar geven geen oordeel. Onze website security check met handmatige beoordeling kost vanaf € 295 excl. btw voor één domein, met een rapport binnen 24 uur.
Kan een kwetsbaarheidsscan mijn website platleggen?
Een lichte scan merkt uw website meestal niet. Zware scanners kunnen wel veel verkeer veroorzaken. Daarom stemmen wij het moment af, houden we de scan licht en zorgt u vooraf voor een recente back-up.
Mag ik zelf een kwetsbaarheidsscan doen op mijn website?
Op uw eigen website wel, maar vraag toestemming aan uw hostingpartij als zij de server beheren. Een website van iemand anders scannen zonder toestemming kan strafbaar zijn, ook als u het goed bedoelt.
Verder lezen
Bronnen
- NCSC: Testen van technische veiligheidsmaatregelenncsc.nl
- NCSC: Testen van je beveiligingncsc.nl
- NCSC: Kwetsbaarheden(beheer)ncsc.nl
- OWASP Top 10:2025top10.owasp.org