Allemaal in opdracht, met schriftelijke toestemming van de eigenaar. Alle punten zijn opgelost en bij de hertest gecontroleerd.
Pentest van een webshop
september 2026
Een webshop op WooCommerce, met de verkoopkant en de beheeromgeving op gescheiden plekken.
Wat we vonden
Een beheeromgeving die via de voorkant te vinden en publiek bereikbaar was.
Gegevens die een aanvaller helpen bij gerichte phishing en het raden van wachtwoorden.
Publieke koppelingen die meer prijs- en productgegevens teruggaven dan nodig.
E-mailinstellingen (SPF, DKIM, DMARC) die vervalste mail onvoldoende tegenhielden.
De uitkomst
Alle punten zijn na ons rapport opgelost en bij de hertest bevestigd. Geen van de bevindingen was een directe inbraak. Samen vormden ze wel precies de route die een aanvaller als eerste afloopt.
Handmatige test van buitenaf volgens de OWASP-methodiek (WSTG). Volledig niet-destructief: we lezen alleen en wijzigen of verstoren niets. Met schriftelijke toestemming vooraf en binnen de afgesproken scope.
Een online dienst met een los opgezette voorkant, een eigen backend en een AI-chatbot voor bezoekers.
Wat we vonden
De AI-chatbot kon worden gestuurd om dingen te doen buiten zijn bedoeling. Een praktijkvoorbeeld van de risico’s die wij op onze pagina over fouten met AI beschrijven.
Een backend met een breder bereikbaar oppervlak dan nodig voor de dienst.
E-mailinstellingen die op orde waren op het belangrijkste punt, met een paar aanvullingen die nog ontbraken.
De uitkomst
De klant heeft de chatbot begrensd en het aanvalsoppervlak verkleind. Bij de hertest waren de punten verholpen. Daarom zeggen wij: wie AI op zijn site zet, hoort te laten testen wat die AI mag.
Handmatige test van buitenaf volgens de OWASP-methodiek, niet-destructief en met schriftelijke toestemming. Naast de gebruikelijke controles keken we specifiek naar wat de AI-chatbot kon en mocht.
Nog 70 dagen de huidige prijs.Op 1 januari 2027 gaan onze prijzen 10% omhoog. Tekent u vóór 1 januari 2027, dan geldt de huidige prijs, ook als de test in januari is.
Deze site gebruikt geen trackingcookies en laadt niets van derden.
