Uw PrestaShop-webshop laten testen

Waar PrestaShop-shops kwetsbaar zijn

Een PrestaShop-pentest is een handmatige test van uw modules, thema, back office en checkout. PrestaShop is open source en draait op uw eigen hosting. U kiest zelf de versie, de modules en wanneer u bijwerkt. Volgens de releaseregels van PrestaShop krijgt alleen de nieuwste tak nog patches. Komt er een nieuwe tak uit, dan stopt de vorige.

Friends of Presta, een vereniging rond PrestaShop, publiceert beveiligingsmeldingen over PrestaShop en modules. De recente meldingen gaan vooral over modules van andere makers. Denk aan SQL-injectie (invoer die de database als opdracht leest), accountovername en logbestanden die voor iedereen openstaan.

Twee voorbeelden uit de praktijk

In juli 2022 waarschuwde PrestaShop voor aanvallen op shops met een lek voor SQL-injectie (CVE-2022-36408). Aanvallers zetten via dat lek een verborgen functie aan en plaatsten een vals betaalformulier op de checkout. Zo vingen ze kaartgegevens van klanten af. Versie 1.7.8.7 maakte die route dicht. PrestaShop zei er zelf bij: een update ruimt een eerdere inbraak niet op.

In oktober 2025 kwam er een update voor de officiële module PrestaShop Checkout (CVE-2025-61922, ernst 9,1 van 10). Door een ontbrekende controle bij snel afrekenen kon iemand inloggen op het account van een klant, alleen met diens e-mailadres. Versies 4.4.1 en 5.0.5 losten het op. Ook een module van de maker zelf moet dus bijgewerkt worden.

Wat een scan mist

Een scanner ziet een verouderde versie of een bekende module. Hij ziet niet dat een winkelwagenregel met een omweg vaker werkt. Of dat een klant via een aangepast nummer de factuur van een ander opent. Dat soort logicafouten vindt alleen een mens.

Zo testen wij uw PrestaShop-webshop

We beginnen met een lijst van de versie, alle modules en het thema. Die zetten we naast de meldingen van Friends of Presta en de CVE-databank. Daarna testen we met de hand. Denk aan de back office: het adres, de inlog, de werknemersprofielen en hun rechten. En aan de webservice-sleutels voor koppelingen, en wat elke sleutel mag.

Bij de checkout kijken we naar prijzen, verzendkosten, winkelwagenregels en de terugkoppeling van uw betaalprovider. Wordt een bestelling op betaald gezet zonder dat er betaald is? Ook formulieren, uploads en het zoekveld lopen we na. De betaalprovider zelf testen we niet.

Wat u vooraf regelt

Maak een actuele back-up van bestanden én database en controleer of terugzetten werkt. Heeft u een kopie van de shop op een testadres? Dan testen we het liefst daar, met de betaalprovider in testmodus. Geef ons de versie en de lijst met modules, met hun versienummers. Dan hoeven we niet te raden.

Veel hostingpartijen blokkeren testverkeer of sluiten uw account tijdelijk af. Daarom vragen we vooraf ook het akkoord van uw hostingpartij. De testdagen en ons IP-adres spreken we met hen af.

Doorlooptijd en prijs

De Inbraaktest kost vanaf € 2.950 excl. btw. 2 testdagen, start binnen 48 uur en rapport binnen 24 uur daarna. Loggen klanten in, of is de shop via de webservice gekoppeld aan een boekhoud- of voorraadsysteem? Dan past De Inbraaktest Totaal, vanaf € 4.950 excl. btw. 4 tot 5 testdagen, start binnen 48 uur en rapport binnen 24 uur daarna. De eindprijs staat vóór de start op papier.

Voorbeeld (verzonnen situatie)

Dit is een bedacht voorbeeld, geen echte klant. Een webshop in kantoorartikelen draait PrestaShop met 42 modules. Twee modules hebben een bekende melding bij Friends of Presta en er is een nieuwere versie. Een webservice-sleutel voor een oude marktplaatskoppeling mag nog alle klanten lezen en wijzigen. Het rapport zet de modules en de sleutel bovenaan, met de oplossing per punt. Na het herstel bevestigt de hertest dat ze dicht zijn.

Bronnen

• PrestaShop: grote kwetsbaarheid in PrestaShop-shops (juli 2022)
• NVD: CVE-2022-36408
• NVD: CVE-2025-61922 (PrestaShop Checkout)
• Friends of Presta: beveiligingsmeldingen
• PrestaShop: levenscyclus van patchreleases

Verder lezen

• Skimmers op uw webshop: Zo werkt een vals betaalformulier.
• Kortingscodes en logicafouten: Waarom een scanner dit niet vindt.
• De Inbraaktest: Vanaf € 2.950 excl. btw, hertest inbegrepen.
• WordPress-website laten testen: Plug-ins, formulieren en beheer.
• Lightspeed laten testen: Gebruikers, apps, API-sleutels en thema.
• Magento laten testen: Extensies, beheer en API’s.
• Alle platforms: Per platform wat u zelf beveiligt.