Lightspeed-webshop beveiligen: wat Lightspeed regelt en wat u zelf doet

Wat Lightspeed voor uw webshop beveiligt

Lightspeed eCom (tegenwoordig C-Series) is een gehost platform. U huurt de software en Lightspeed beheert de techniek. Volgens Lightspeed zelf slaat het platform geen kaarthoudergegevens op. Betalingen lopen via PCI-gecertificeerde externe dienstverleners. Gegevens worden versleuteld tijdens verzending en opslag. Het netwerk wordt bewaakt en beschermd tegen DDoS-aanvallen. Externe bedrijven doen jaarlijks interne en externe pentests op het platform. Daarnaast heeft Lightspeed een openbaar bugbountyprogramma.

Dat is veel, en het is goed nieuws. U hoeft geen servers bij te werken en geen betaalpagina te beveiligen. Maar het betekent niet dat uw winkel veilig is.

Wat úw verantwoordelijkheid blijft

Lightspeed is in AVG-termen uw verwerker. U bent de verwerkingsverantwoordelijke voor de gegevens van uw klanten. Lekt er iets via een account dat u niet beveiligde? Of via een koppeling die u zelf aanzette? Dan is dat uw datalek.

Vier plekken zijn van u. Wie kan inloggen in de beheeromgeving, en met welk wachtwoord. Welke apps en koppelingen toegang hebben tot uw winkelgegevens. Welke eigen code of scripts in uw thema staan. En hoe u omgaat met verdachte bestellingen. Juist daar gaat het in de praktijk mis, en daar kijkt geen platformpentest naar.

Stap 1: zet multifactorauthenticatie aan voor iedereen

Lightspeed ondersteunt multifactorauthenticatie (MFA) met een app zoals Google Authenticator of Microsoft Authenticator. Een beheerder zet het aan via Mijn account › Profiel bewerken › MFA beheren. Doe dit voor elk account, ook voor dat van uw bureau of freelancer. Bewaar de herstelcodes op een veilige plek, niet in dezelfde mailbox.

Een gestolen wachtwoord is de snelste weg naar uw beheeromgeving. Met MFA is een wachtwoord alleen niet meer genoeg.

Stap 2: ruim gebruikers, apps en API-sleutels op

Loop de lijst met gebruikers na. Oud-medewerkers, een vorig webbureau, een stagiair van vorig jaar: weg ermee. Geef iedereen alleen de rechten die hij nodig heeft. Doe hetzelfde met apps uit de Lightspeed App Store. En met API-sleutels voor koppelingen met uw boekhouding of voorraad. Elke koppeling die u niet meer gebruikt, is een open deur die niemand bewaakt.

Stap 3: eigen code en scripts in uw thema

Veel Lightspeed-winkels hebben een aangepast thema of extra scripts, bijvoorbeeld voor reviews of chat. Elk extern script in uw winkel kan worden aangepast door degene die het beheert. Zo werken skimmers (Magecart): verborgen code die meeleest wat klanten invullen. Houd een lijst bij van elk script en weet wie het levert. Verwijder wat u niet gebruikt.

Stap 4: herken fraude met bestellingen

Lightspeed noemt zelf de signalen van webshopfraude. Eén klant met meerdere bestellingen op meerdere creditcards. Kleine testaankopen met gestolen kaarten. Accountovername en driehoeksoplichting. Beperk ongebruikelijk grote bestellingen en controleer afwijkende afleveradressen. Reageer snel op terugboekingen. Fraude is geen inbraak in de techniek, maar het kost wel direct geld. Leg vast wie verdachte bestellingen beoordeelt en wanneer u een bestelling tegenhoudt.

Stap 5: laat uw winkel regelmatig controleren

Lightspeed raadt zelf aan minstens één of twee keer per jaar een beveiligingsaudit te doen. Door uzelf of door een extern bedrijf. Dat sluit aan bij hoe wij testen: niet het platform, maar het deel dat van u is.

Met De Scan (vanaf € 295 excl. btw) controleren wij uw winkel van buitenaf op zichtbare zwakke plekken. U krijgt een handmatige beoordeling en een rapport binnen 24 uur. Met De Inbraaktest (vanaf € 2.950 excl. btw) proberen wij met de hand uw checkout en accounts te misbruiken. Ook kortingscodes en formulieren testen we. Het Lightspeed-platform zelf testen wij niet. Dat is aan Lightspeed en loopt via hun eigen meldprogramma. Wij testen alleen met uw schriftelijke toestemming.

Stap 6: weet wat u doet als het misgaat

Ziet u vreemde bestellingen, onbekende gebruikers of gewijzigde rekeningnummers in uw instellingen? Wijzig direct de wachtwoorden en controleer de gebruikerslijst. Neem contact op met Lightspeed-support en bewaar wat u ziet. Zijn klantgegevens gelekt, dan moet u dat mogelijk binnen 72 uur melden bij de Autoriteit Persoonsgegevens.