En webshop, der har været åben et stykke tid, er sjældent den samme som den, der blev lanceret. Nye udvidelser, kampagnesider, betalingsformer og integrationer kommer til, mens andre forsvinder. En test af en webshop i drift skal derfor bygge på, hvordan butikken ser ud i dag, og på den travlhed, der præger driften.
Spørgsmålet er sjældent, om webshoppen skal testes én gang. Det er, hvilke ændringer der giver anledning til en ny vurdering, og hvordan testen kan gennemføres uden at forstyrre salget. Testen før åbningen er behandlet for sig. → Penetrationstest før lancering af en ny webshop
En webshop er mange parter
Kunden ser én butik, men bag den står ofte flere leverandører. Platformen kan komme fra én, hostingen fra en anden, betalingen fra en tredje og fragtberegning, lagerstyring eller nyhedsbreve fra endnu flere. Webbureauet har måske bygget temaet, mens en freelancer har tilføjet en udvidelse.
For bestillingen betyder det, at det skal være klart, hvem der ejer hvilke dele, og hvem der skal give tilladelse. En test kan kun omfatte det, virksomheden har ret til at få undersøgt. Dele, der drives af andre, skal enten have deres tilladelse eller stå som undtagelser. → Hostingfirmaet tester for os
En liste over parterne er også nyttig efter testen. Når et fund skal rettes, skal det sendes til den, der faktisk kan ændre noget. Listen bør også vise, hvem der har administratoradgang til webshoppen. Tidligere bureauer, fratrådte medarbejdere og leverandører, der ikke længere bruges, kan stadig have konti, og det er et forhold, som både testen og den daglige drift har gavn af at kende.
Ændringer, der giver anledning til at teste
Ikke alle ændringer kræver en ny test. Et nyt produktbillede eller en ændret pris har sjældent betydning for sikkerheden. Andre ændringer ændrer, hvad kunden kan gøre, og hvilke oplysninger webshoppen behandler.
- Nye udvidelser · især dem, der håndterer login, kundekonti, rabatter eller betaling.
- Ny betalingsform · en anden måde at koble betalingen på kan flytte ansvarsgrænsen.
- Kundekonti og roller · fx erhvervskunder med egne priser eller flere brugere pr. konto.
- Integrationer · forbindelser til ERP-systemet, lager eller markedsføringsværktøjer.
- Platformskifte eller større opgradering · grundlaget for den seneste test kan være væk.
- Ny hosting · ændrede adresser, opsætning og ansvar.
Udvidelser og tredjepartskode er et selvstændigt emne, fordi de ofte opdateres uden for virksomhedens kontrol. → Plugins og tredjepartskode
Kampagner og travle perioder
En webshop kan have perioder, hvor salget er særligt vigtigt. Det kan være højtider, udsalg eller en stor kampagne. I de perioder er det sjældent klogt at gennemføre en test af produktionen, fordi selv en lille forstyrrelse kan få betydning for omsætningen.
Planlæg derfor testvinduet med salgskalenderen i hånden. Et roligt tidspunkt giver plads til, at testen kan gennemføres som aftalt, og til at rettelser kan nå at blive lagt på, før travlheden begynder. → Testvinduet
Kampagner kan også i sig selv være en anledning. En særlig landingsside, en konkurrence med tilmelding eller en rabatkodeordning er nye funktioner. Hvis de bygges i hast, er det værd at overveje, om de skal med i en test, eller om de i det mindste skal gennemgås, før de går i luften.
Betalingen og kundekontoen
Betaling og kundedata er de dele af webshoppen, hvor en fejl hurtigt rammer kunderne direkte. Ansvaret for betalingen er delt mellem webshoppen og betalingsudbyderen, og grænsen afhænger af, hvordan betalingen er koblet på. Det er behandlet særskilt. → Betaling i webshoppen
Kundekontoen ejer webshoppen selv. Det gælder login, ordrehistorik, adresser og eventuelle gemte oplysninger. En test af en webshop i drift bør tage stilling til, om kunder kun kan se deres egne oplysninger, og om erhvervskunder med flere brugere har den adskillelse, de forventer. → Kunders data holdt adskilt
Testkonti skal oprettes, så de ikke blandes med rigtige kunder. Testordrer skal kunne genkendes og fjernes bagefter, så de ikke ender i bogholderiet eller udløser forsendelser.
Produktion eller kopi?
En webshop i drift kan testes direkte i produktionen eller i en kopi. Produktionen viser den virkelige opsætning, men kræver forsigtighed og aftaler om, hvad der må ske. En kopi giver frihed, men er kun nyttig, hvis den ligner produktionen i de dele, der testes.
Ikke alle webshops har et testmiljø, der holdes ved lige. Mangler det, skal det aftales, hvordan testen afgrænses i produktionen, hvem der overvåger, og hvordan testen stoppes, hvis noget går galt. → Penetrationstest i produktion eller testmiljø
Efter testen: en fast praksis for ændringer
Når rapporten er håndteret, er det fristende at lægge emnet væk til næste år. I en webshop, der ændrer sig løbende, er det mere nyttigt at aftale, hvornår en ændring skal føre til en ny vurdering. Aftalen kan være kort og ligge hos den, der godkender ændringer på webshoppen.
- Hvem melder ændringer · webbureau, platformleverandør og egne medarbejdere skal vide, hvad der skal meldes.
- Hvad udløser en vurdering · fx nye udvidelser til login eller betaling og nye integrationer.
- Hvem beslutter · én person, der kan afgøre, om en afgrænset test eller en gennemgang er nok.
- Hvor det noteres · en oversigt, der også kan bruges, når næste opgave skal beskrives.
Praksissen gør det lettere at se, hvornår den seneste rapport ikke længere dækker butikken, og den giver et bedre grundlag for næste bestilling.
Det skal I lade være med
- At teste midt i den travleste periode · En forstyrrelse koster mere, og der er ingen tid til at rette.
- At glemme leverandørernes tilladelse · Platform, hosting og betaling kan have egne regler.
- At lade testordrer blive liggende · De kan ende i lager, forsendelse eller regnskab.
- At antage, at platformen er testet for jer · Platformens egen sikkerhed siger ikke noget om jeres opsætning og udvidelser.
- At genbruge testen fra lanceringen · Webshoppen har ændret sig siden da.
Hvad kan og ikke kan konkluderes
En test af webshoppen kan vise, hvordan de aftalte funktioner, roller og forbindelser holdt under testen. Den kan ikke dække udvidelser, der installeres bagefter, eller dele, der drives af leverandører uden for scope.
Rapporten er et billede af butikken på et bestemt tidspunkt. I en webshop, der ændrer sig ofte, bør den læses med dato for øje, og den bør suppleres af en fast praksis for, hvornår ændringer giver anledning til en ny vurdering.
Tjekliste før testen af webshoppen
- ☐ Er alle leverandører og deres ansvar beskrevet?
- ☐ Har de relevante leverandører givet tilladelse?
- ☐ Er udvidelser og integrationer opført i scope eller som undtagelser?
- ☐ Ligger testvinduet uden for travle perioder og kampagner?
- ☐ Er testkonti og testordrer aftalt, og kan de ryddes op?
- ☐ Er det besluttet, om testen sker i produktion eller i en kopi?
- ☐ Er der tid til rettelser før næste travle periode?
Kilder
- OWASP Web Security Testing Guide: faglig ramme for, hvad en test af en webapplikation kan omfatte.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Efter en større opdatering · Oprydning efter testen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
