Wat is het?
Elke publieke webapplicatie is een doelwit. Aanvallers proberen data te stelen, accounts over te nemen of systemen te verstoren. Security draait om het systematisch dichten van die aanvalsoppervlakken. De OWASP Top 10 (editie 2025) somt de belangrijkste risico’s op en is het de-facto referentiekader.
Hoe werkt het technisch?
- Injection (SQL, command): gebruikersinvoer wordt als opdracht uitgevoerd. Verdediging: parameterized queries en input-validatie.
- Cross-Site Scripting (XSS): kwaadaardige scripts draaien in de browser van een ander. Verdediging: output escapen en Content Security Policy-headers.
- Gebroken toegangscontrole (OWASP #1): een gebruiker ziet of wijzigt data die niet van hem is. Verdediging: controleer bij elk endpoint of de gebruiker die data mag zien.
- Gebroken authenticatie en sessies: zwakke wachtwoorden, voorspelbare tokens. Verdediging: sterke hashing (bijv. bcrypt/Argon2), MFA, veilige sessie-cookies.
- Security misconfiguration: openstaande poorten, standaardwachtwoorden, te brede permissies. Verdediging: hardening en het principe van minimale rechten.
- HTTPS overal, plus security headers als extra verdedigingslaag.
Wat kun je ermee bouwen?
Applicaties die klant- en betaaldata veilig verwerken. Systemen die helpen om aan de AVG en aan eisen van zakelijke klanten te voldoen. Inlogsystemen met moderne standaarden (OAuth 2.0/OIDC) in plaats van eigen, risicovolle oplossingen.
Commercieel gebruik
een datalek kost geld, vertrouwen en mogelijk boetes; preventie is stukken goedkoper. Zakelijke klanten eisen steeds vaker aantoonbare security in aanbestedingen. Security-reviews, penetratietests en beheer zijn verkoopbare diensten. Ook intern: veilige deployment-pipelines voorkomen dure incidenten.
Sterke combinaties
OAuth 2.0/OIDC en secrets management uit de security-infrastructuur. Dependency-scanning en geautomatiseerde tests in CI/CD. Logging en monitoring om incidenten snel te detecteren. Privacy-by-design bij elke feature die persoonsgegevens verwerkt.
Belangrijkste 20%
- Vertrouw nooit invoer: valideer alles, escape output, gebruik parameterized queries — hiermee dek je de meest voorkomende aanvallen af.
- Gebruik bewezen bibliotheken voor authenticatie en encryptie; bouw nooit zelf crypto of sessiebeheer.
- Houd dependencies en servers gepatcht en scan je dependencies (supply chain is OWASP #3); veel inbraken misbruiken bekende, al gefixte kwetsbaarheden.
Praktijkvoorbeeld (fictief)
een zorgpraktijk liet een patiëntenportaal bouwen. Voor livegang werd een penetratietest uitgevoerd: er bleek een formulier kwetsbaar voor XSS en een API-endpoint gaf te veel data terug. Beide werden gedicht, security headers toegevoegd en dependency-scanning in de pipeline gezet. Daarmee zijn de gevonden lekken gedicht; voor AVG-naleving bij gezondheidsdata zijn daarnaast o.a. een DPIA, verwerkersovereenkomst en periodieke tests nodig.