Waarom je extensies het grootste beveiligingsrisico zijn

Een gemiddelde Magento-shop draait op meer code van anderen dan van zichzelf. Naast Magento zelf zijn dat tientallen extensies: voor betalen, verzenden, zoeken, reviews, marketing en koppelingen. Elke extensie is code die toegang heeft tot je shop, je klanten en je orders.

Magento zelf wordt door Adobe onderhouden, met vaste securitypatches. Voor extensies is dat anders. Elke leverancier werkt op zijn eigen manier, en de kwaliteit verschilt enorm.

Elke extensie is code die toegang heeft tot je klanten en je orders.

Waar het risico zit

Extensies die niet meer worden onderhouden. Een extensie die een paar jaar geleden is gekocht, krijgt soms geen updates meer. De leverancier is gestopt, of de extensie is niet meer interessant. Een lek dat daarin wordt gevonden, wordt nooit meer opgelost.

Updates die blijven liggen. Ook een goed onderhouden extensie is alleen veilig als je de updates installeert. Bij veel shops worden extensies alleen bijgewerkt als er iets kapot is.

Illegale kopieën. Een betaalde extensie die gratis is gedownload van een onofficiële site, bevat vaak extra code. Die is er zelden voor jou.

Aanvallen via de leverancier. Soms wordt een leverancier zelf aangevallen, en komt er kwaadaardige code in een update of downloadpakket terecht. In 2025 vond securitybedrijf Sansec een achterdeur in extensies van meerdere leveranciers, die al jaren in de code zat voordat hij werd gebruikt.

Extensies die niemand meer gebruikt. Een extensie die uit staat, kan nog steeds code bevatten die bereikbaar is. Wat je niet gebruikt, is alleen maar risico.

Wat je eraan doet

Weet wat er draait. Maak een lijst van alle extensies: wie de leverancier is, welke versie je hebt, of er nog updates komen en waarvoor je hem gebruikt. Bij een overname is dit een van de eerste dingen die we in een technische audit uitzoeken.

Ruim op. Verwijder extensies die je niet meer gebruikt, of waarvan de functie inmiddels in Magento zelf zit. Elke extensie minder is een risico minder, en vaak ook een snellere shop.

Koop bij betrouwbare leveranciers. Kijk voor je iets installeert hoe actief een extensie wordt onderhouden. Wanneer was de laatste update? Hoe snel reageert de leverancier op securitymeldingen?

Houd alles bij in een vast ritme. Extensies horen net als Magento in een vast updateritme, niet alleen als er iets kapotgaat.

Scan op malware. Een malwarescan vindt kwaadaardige code die er al zit, ook als die via een extensie is binnengekomen. Bij de shops die we beheren, draait zo’n scan standaard.

Wat je hieruit meeneemt

1. Houd een lijst bij van alle extensies, met leverancier, versie en of ze nog worden onderhouden.
2. Verwijder wat je niet gebruikt, en installeer nooit illegale kopieën.
3. Neem extensies op in een vast updateritme, en laat je shop standaard scannen op malware.