Uw Shopify-shop laten testen

Wat Shopify voor u regelt

Shopify beheert de servers, de software van het platform en de standaard checkout. Shopify zegt zelf dat het platform voldoet aan PCI DSS niveau 1: het hoogste niveau van de beveiligingsnorm voor betaalkaarten. Lekken in het platform kunnen onderzoekers melden via het bug bounty-programma van Shopify op HackerOne.

Dat programma heeft strakke regels. Onderzoekers mogen alleen testen op winkels die zij zelf hebben aangemaakt. Testen op winkels van echte handelaren is verboden. Ook verbieden de voorwaarden van Shopify het omzeilen van technische beperkingen. Hetzelfde geldt voor het benaderen van de dienst met robots of andere geautomatiseerde middelen. Het Shopify-platform zelf testen wij dus niet. Dat is ook niet nodig, want Shopify doet dat al met een eigen programma.

Wat uw verantwoordelijkheid blijft

Apps van andere makers vragen bij installatie toegang tot uw winkelgegevens, zoals bestellingen en klanten. Sommige vragen meer dan ze nodig hebben. En een app die u niet meer gebruikt, houdt die toegang tot u hem verwijdert. Volgens Shopify horen lekken in apps van derden gemeld te worden bij de maker van de app. Die vallen dus buiten het programma van Shopify.

Uw thema kan eigen JavaScript bevatten of scripts van buiten laden, bijvoorbeeld voor reviews, chat of advertenties. Medewerkers, bureaus en freelancers hebben accounts met rechten die na een klus vaak blijven staan. Heeft u een eigen app, een headless winkel of een koppeling met uw voorraad- of boekhoudsysteem? Dan zijn de code en de sleutel daarvan van u, niet van Shopify.

Wat we testen in uw Shopify-winkel

We beginnen bij de accounts. Wie heeft toegang en met welke rechten? Staat tweestapsverificatie overal aan? Hebben oude medewerkers of bureaus nog toegang? Daarna lopen we alle geïnstalleerde apps na. We kijken welke rechten ze hebben, of ze nog gebruikt worden en wat ze op uw winkelpagina’s laden.

In het thema kijken we naar eigen code, scripts van buiten en wat er gebeurt met invoer van bezoekers. Gebruikt u checkout-extensies, Shopify Functions of kortingslogica op maat? Dan testen we of prijzen, kortingen en verzendregels te misbruiken zijn. Heeft u een eigen app of een headless winkel via de Storefront API? Dan testen we die code en de manier waarop sleutels bewaard worden. Ook kijken we of uw systeem webhooks van Shopify eerst controleert voordat het erop reageert.

Hoe we binnen de regels van Shopify blijven

We testen met de hand en zetten geen scanners in op de winkel bij Shopify. Waar het kan, testen we op een aparte ontwikkelwinkel met dezelfde apps en hetzelfde thema. Zo merken uw live winkel en uw klanten er niets van. Eigen apps en koppelingen op uw eigen server of hosting testen we daar, met akkoord van die hostingpartij. Een test die het Shopify-platform zelf zou raken, doen we niet. Vinden we toch iets dat bij Shopify ligt, dan melden we dat via hun eigen programma.

Wat u vooraf regelt

U geeft ons een medewerkersaccount met alleen de rechten die nodig zijn. Na de test trekt u dat weer in. U zet een lijst klaar van apps en koppelingen en geeft aan welke app van uzelf is. Heeft u een ontwikkelwinkel of kan uw bureau er een maken? Dan testen we daar. Voor de Inbraaktest Totaal maakt u ook een testklant aan.

Wat een test van uw Shopify-winkel kost

Heeft u een standaardthema en een paar bekende apps? Begin dan met de stappen uit ons artikel over Shopify-beveiliging. Die kunt u zelf zetten. De Scan is een geautomatiseerde scan met handmatige beoordeling. Die past minder goed bij een winkel op Shopify. Heeft u maatwerk in het thema, kortingen op maat of veel apps? Kies dan De Inbraaktest, vanaf € 2.950 excl. btw. 2 testdagen, start binnen 48 uur en rapport binnen 24 uur daarna. Heeft u een eigen app, een headless winkel of koppelingen via de API? Dan past De Inbraaktest Totaal, vanaf € 4.950 excl. btw. 4 tot 5 testdagen, start binnen 48 uur en rapport binnen 24 uur daarna.

Voorbeeld (verzonnen situatie)

Dit is een bedacht voorbeeld, geen echte klant. Een kledingwinkel op Shopify heeft 18 apps. Vier daarvan worden al een jaar niet gebruikt, maar hebben nog leestoegang tot alle klantgegevens. Het bureau dat twee jaar geleden het thema bouwde, heeft nog een account met volledige rechten. In het thema laadt een script van een reviewdienst die niet meer bestaat. Wie dat domein koopt, kan code op elke pagina zetten. Geen van deze punten is een fout van Shopify. Alle drie zijn ze in een middag op te lossen.

Bronnen

• Shopify: beveiliging
• Shopify bug bounty: regels
• Shopify bug bounty (HackerOne)
• Shopify: servicevoorwaarden
• Shopify Help Center: accountbeveiliging
• Shopify.dev: webhooks controleren

Verder lezen

• Wat Shopify wel en niet regelt: Wat u vandaag zelf kunt doen.
• De Inbraaktest Totaal: Voor eigen apps en API-koppelingen, vanaf € 4.950 excl. btw.
• Voorbeeldrapport: Zo ziet het rapport eruit.
• Prijzen: Alle vaste vanaf-prijzen op een rij.
• WooCommerce laten testen: Plug-ins, checkout en WordPress-beheer.
• Magento laten testen: Extensies, beheer en API’s.