Veilige software en websites: wat wij doen en wat u zelf kunt controleren

Software bestaat uit onderdelen van anderen, en in elk onderdeel kan een fout zitten die jarenlang onopgemerkt blijft. De recente PHP-lekken laten dat zien. Volgens het beveiligingsbedrijf Wiz zat de fout al meer dan tien jaar in PHP, en maakten AI-modellen het haalbaar om er een werkende aanval van te maken (Wiz Research). Wat dat voor uw website betekent en wat u nu kunt doen, leest u in onze blog PHP-lek php2shell: wat betekent het voor uw website?.

De les is niet dat u moet schrikken. De les is dat veiligheid een routine is: weten wat er draait, onderdelen bijwerken, controleren en een route hebben om problemen te melden. Dat vragen ook het NCSC en Internet.nl in hun adviezen. Hieronder staat wat wij op die punten doen.

Wij noemen het geen "hoge standaard" op gevoel, maar toetsen onze eigen website aan deze punten:

De maatregelen hieronder komen uit de audit van 26 oktober 2026 en de wijziging die daaruit volgde. Ze gelden voor de website fastsoftware.nl. Over de software van klanten doen wij op deze pagina geen uitspraken.

Onderdelen gecontroleerd en bijgewerkt. Wij controleren de gebruikte onderdelen op bekende kwetsbaarheden. Na de audit is een onderdeel dat afbeeldingen verwerkt bijgewerkt. Na die update meldt de controle geen kritieke punten meer. Een klein aantal andere onderdelen is ook bijgewerkt. Er staan nog meldingen open van een lagere ernst dan kritiek. Een deel daarvan zit in onderdelen die alleen bij het bouwen en controleren van de code worden gebruikt en niet in de website die bezoekers zien.

Wekelijkse updatevoorstellen. Sinds de audit staat er een automatische controle aan die elke week voorstelt welke onderdelen een nieuwe versie hebben. Grote versiesprongen laten wij buiten die automatische voorstellen, omdat die eerst handmatig getest moeten worden.

Beveiligingsinstellingen van de website. De website stuurt onder meer deze instellingen mee:

Formulieren. De formulieren op onze website (contact, nieuwsbrief, keuzehulp) hebben een verborgen veld tegen bots, een bot-controle en een limiet per bezoeker. De ingevulde gegevens worden gecontroleerd op lengte en vorm, zodat niemand via een formulier extra regels in een e-mail kan injecteren, en de tekst in de e-mail wordt veilig weergegeven. Een foutpagina toont een vaste tekst en geen technische details.

Geen wachtwoorden of sleutels in de code. De audit doorzocht de huidige code en de volledige geschiedenis op bekende patronen voor sleutels en wachtwoorden en vond niets. Dat bewijst niet dat nergens iets staat, maar het is gecontroleerd op een lijst gangbare soorten.

Een route om te melden. Wij hebben een meldpunt volgens de gangbare standaard voor beveiligingsmeldingen (security.txt), met e-mailadres en telefoonnummer. Een kwetsbaarheid in onze website of in een onderdeel dat wij gebruiken kunt u daar melden.

Gecontroleerd voordat het live ging. Voor de wijziging na de audit draaiden geautomatiseerde tests (alle geslaagd), een volledige build en een controle van de gestructureerde gegevens van de pagina's (zonder problemen). De nieuwe beveiligingsinstellingen zijn lokaal gemeten.

Eerlijk is eerlijk: de audit leverde ook punten op die nog open staan.

Een planning staat hier niet bij omdat wij die niet willen beloven.

U hoeft geen techneut te zijn om de basis te toetsen. Deze checklist werkt voor elke website en elke leverancier, ook voor ons.

Vragen die u aan elke leverancier kunt stellen: Wat is er gecontroleerd en wat valt buiten de controle? Hoe meld ik een kwetsbaarheid? Welke punten staan nog open? Een leverancier die daar concreet op antwoordt, is verder dan een leverancier die zegt dat alles veilig is.

Een recent voorbeeld van een onderdeel waar een ernstig lek in zat is PHP. Dat staat in onze blog PHP-lek php2shell. Onze eigen website draait niet op PHP.

Meer lezen over hoe wij bouwen: maatwerk software, wat het kost en software laten maken: kosten, tijd en aanpak. Wilt u eerst iets van ons zien, dan kunt u ook de gratis website-analyse gebruiken. Dat is geen beveiligingsscan.