Uw Lightspeed-webshop laten testen

Wat Lightspeed voor u regelt

Een Lightspeed-webshop is een gehost platform. U huurt de software en Lightspeed beheert de techniek. Volgens Lightspeed slaat het platform geen kaartgegevens op en verwerkt het die ook niet. Betalingen lopen via externe partijen met een PCI-certificaat. Externe bedrijven testen het platform elk jaar, van binnen en van buiten.

Lightspeed heeft ook een openbaar bug bounty-programma. Daar melden onderzoekers lekken in het platform zelf. Het platform testen wij dus niet. Dat is van Lightspeed, en zij laten het al testen.

Wat uw verantwoordelijkheid blijft

Lightspeed noemt de winkelier de verwerkingsverantwoordelijke voor de persoonsgegevens van zijn klanten. Lightspeed is de verwerker. Lekt er iets via een account of koppeling die u beheert? Dan is dat uw datalek.

U voegt zelf gebruikers toe aan de back office, met rechten en eventueel een einddatum. Een oud-medewerker of een vorig webbureau houdt toegang tot u die intrekt. U zet zelf API-sleutels aan voor uw boekhouding, voorraad of marktplaats. Bij het aanmaken vinkt u aan wat zo’n sleutel mag. Wie de sleutel en het geheim heeft, kan precies dat. Daarnaast heeft u apps uit de Lightspeed App Store en vaak eigen scripts in het thema, bijvoorbeeld voor reviews of chat.

Zo testen wij uw Lightspeed-webshop

We beginnen bij de toegang. Wie heeft een gebruiker in de back office en met welke rechten? Staat tweestapsverificatie (MFA) aan voor elk account? Daarna lopen we de API-sleutels en apps na. Welke rechten hebben ze, wie heeft het geheim en worden ze nog gebruikt?

In het thema kijken we naar eigen code en scripts van buiten, ook op de checkout. Een script dat u van een ander laadt, kan door die ander worden aangepast. Zo werken skimmers die meelezen met wat klanten invullen. Bij de checkout testen we kortingsregels, verzendkosten en klantaccounts. Ontvangt uw eigen systeem berichten van Lightspeed via webhooks? Dan testen we of uw systeem die controleert voordat het iets doet.

Hoe we binnen de regels van Lightspeed blijven

We testen met de hand en zetten geen scanners in op het platform van Lightspeed. Wat we testen is uw winkel, uw instellingen en uw eigen koppelingen. Eigen software op uw eigen server testen we daar, met akkoord van die hostingpartij. Vinden we toch iets dat bij het platform ligt, dan melden we dat via het programma van Lightspeed en niet publiek.

Wat u vooraf regelt

U maakt een tijdelijke gebruiker voor ons aan, met alleen de rechten die nodig zijn en een einddatum. U zet een lijst klaar van apps, API-sleutels en koppelingen, en geeft aan welke code van uzelf of uw bureau is. Voor De Inbraaktest Totaal maakt u ook een testklant aan. Testbestellingen spreken we vooraf af en ruimen we daarna op.

Doorlooptijd en prijs

Heeft u een standaardthema en een paar apps? Begin dan met de stappen uit ons artikel over Lightspeed beveiligen. Heeft u maatwerk in het thema, eigen kortingsregels of veel apps? Kies De Inbraaktest, vanaf € 2.950 excl. btw. 2 testdagen, start binnen 48 uur en rapport binnen 24 uur daarna. Met klantaccounts of koppelingen via de API past De Inbraaktest Totaal, vanaf € 4.950 excl. btw. 4 tot 5 testdagen, start binnen 48 uur en rapport binnen 24 uur daarna.

Voorbeeld (verzonnen situatie)

Dit is een bedacht voorbeeld, geen echte klant. Een fietsenwinkel verkoopt online via Lightspeed. Er zijn vier gebruikers in de back office, waarvan één van een bureau dat al anderhalf jaar weg is. Een API-sleutel voor een oude boekhoudkoppeling mag nog alle klanten en bestellingen lezen. Het geheim staat in een gedeeld document. Geen van deze punten is een fout van Lightspeed. Alle drie zijn ze in een uur op te lossen.

Bronnen

• Lightspeed: veiligheidsinformatie
• Lightspeed eCom: gebruikers toevoegen aan de back office
• Lightspeed eCom: API-sleutel aanmaken
• Lightspeed eCom: multifactorauthenticatie
• Autoriteit Persoonsgegevens: datalekken

Verder lezen

• Lightspeed-webshop beveiligen: Zes stappen die u zelf kunt zetten.
• Skimmers op uw webshop: Hoe meelezen op de betaalpagina werkt.
• De Inbraaktest: Vanaf € 2.950 excl. btw, hertest inbegrepen.
• Shopify laten testen: Apps, thema en accounts: het deel dat u zelf beheert.
• PrestaShop laten testen: Modules, back office en checkout.
• WordPress-website laten testen: Plug-ins, formulieren en beheer.
• Alle platforms: Per platform wat u zelf beveiligt.