Voor veel webshops dreigt gevaar

Magento is een heel populair platform om een webshop mee op te zetten. De software is als open source project gratis te downloaden en installeren, wat voor een beginnende webshop een gunstige voorwaarde is. Maar de software is zo uitgebreid dat ook grote webwinkels er goed mee uit de voeten kunnen. Voor hen is er ook een betaalde 'enterprise-versie' die van een aantal extra services is voorzien.

Na november 2018 worden er geen beveiligingsupdates meer uitgegeven voor de gratis community versie. Gebruikers van de enterprise-versie krijgen iets meer tijd. Deze wordt nog tot 2020 ondersteund. Toch is het zaak migraties tijdig te plannen, waarschuwt Henk Mensinga, Magento-adviseur van full service bureau Youwe (spreek uit You We). Het bureau verzorgt naast kleinere webshops ook de sites van grote organisaties als PON, Gazelle en Intratuin. "Onze ervaring is dat een migratie van versie 1.x naar 2.x zo'n 9 maanden tot een jaar in beslag neemt. Dat betekent niet dat er al die tijd aan gebouwd moet worden. Maar vaak zijn een aantal externe partijen betrokken bij de webshop en die moeten ook hun resources beschikbaar maken."

Hou rekening met forse investering

Mensinga noemt onder meer de integratie met backend-systemen zoals ERP, die webwinkels compelx maken. Het probleem is dat Magento 2.x een volledig nieuwe code-base heeft. Al het maatwerk moet opnieuw worden geschreven, is de boodschap die hij meestal moet overbrengen. Dat vergt tijd en vaak een flinke investering. "Organisaties die twee, drie jaar geleden een nieuwe webwinkel hebben laten bouwen, hikken er vaak tegen aan dat het helemaal opnieuw moet."

Volgens de website builtwith.com is 23 procent van de Nederlandse webwinkels gebaseerd op Magento. Mensinga schat in dat zeker driekwart van deze sites nog versie 1.x gebruikt. Hij ziet in de markt dat vooral veel van de kleinere webshops helemaal niet mee bezig zijn met veiligheid. "Ze verzuimen al hun systemen regelmatig te patchen. Dat is een zorgelijke tendens die zeker in het licht van de nieuwe privacyregels in de GDPR een probleem wordt."

Thuiswinkel.org let op patches

Roland van Kortenhof, manager operations bij Thuiswinkel.org, is zich bewust van de problematiek. Onlangs kwam een van de leden nog met de vraag of hij in verband met de veiligheidscheck - die de organisatie twee keer per jaar uitvoert voor de certificering - nu al moest overstappen of nog even kon wachten. "Zo lang de veiligheidspatches worden aangebracht, moet het systeem voldoende veilig zijn," zegt Van Kortenhof. Hij was zich niet zo bewust van het complexe migratietraject dat deze major release van Magento teweeg brengt.

Van Kortenhof gaat daarom de Magento-specialisten raadplegen of de leden daarop gewezen moeten worden. "We weten dat er veel leden gebruik maken van Magento." Hoeveel dat er precies zijn, kan hij niet zeggen. "Thuiswinkel.org heeft erg veel leden en er zijn ook erg veel verschillende platformen. Het is niet onze taak om te eisen dat iedereen de laatste versie gebruikt. We dringen er wel op aan te zorgen dat de laatste beveiligingspatches worden aangebracht en controleren alle webshops periodiek met geautomatiseerde penetratietests."

Magento versie 2.x beter opgezet

De eerste release van Magento 2.x werd in 2015 uitgebracht. Aanvankelijk was deze nog niet erg stabiel, zoals vaak met een major release. Volgens Mensinga werkt de huidige versie echter heel goed. Er is een aantal fundamentele veranderingen in aangebracht waardoor het niet meer zo makkelijk is als hobbyist er mee aan de slag te gaan. "De nieuwe versie is veel beter gestructureerd gecodeerd en dwingt ook een gestructureerde manier van coderen af bij het maken van aanpassingen en toevoegingen."