Zo bouw je samen mee aan een sterker internet
Gisterenavond stuurde Tom Verheyden me een mail door van zijn hostingprovider. Die waarschuwde voor een reeks beveiligingslekken die deze week bekend raakten. Het ging over nog meer veiligheidsrisico's in verband met PHP, over Node.js en over eMudhra, een certificaatautoriteit waarvan sleutels gestolen zijn. Tom schreef er zelf één regel bij:
‘Hmmm... stopt precies niet met PHP alleen precies.’
Met een halfwakker hoofd las ik dat vanmorgen dus bij mijn koffie. Ik was direct wakker. En mijn eerste reactie was eigenlijk: ja, dat gaan we dus meer en meer hebben. Mijn tweede reactie was een prompt aan mijn eigen agent.
Over die prompt gaat dit artikel. Kopieer hem onderaan dit artikel en geef hem gerust aan je eigen agent.
Wat er deze week aan de hand was
Ik ga het even simpel houden, want de details zijn behoorlijk technisch. Eerst was er een certificaatautoriteit waarvan de private sleutels voor een aantal tussencertificaten uitgelekt zijn. Met die sleutels kan iemand zich voordoen als een website of een dienst. Het slotje in je browser zegt dan dat alles veilig is, terwijl dat niet zo is.
Daarna bracht Node.js patches uit voor meerdere lekken. Eén ervan laat toe om de controle op certificaten te omzeilen. Een ander lek zit in het uitpakken van gecomprimeerde data, en daarmee kan iemand van buitenaf code op je server laten draaien.
En dan was er nog PHP. Daar vonden ze twee kritieke lekken in PHP zelf. Een aanvaller hoeft niet eens in te loggen. Hij kan code uitvoeren of stukken geheugen uitlezen, en daar zitten dikwijls wachtwoorden, tokens en API-sleutels in. Welk framework je gebruikt, maakt daarbij niet uit.
Wat me het meest opviel in die mail, was één zin op het einde. De provider zegt dat zijn platform veilig is. Maar alles wat jij erop zet, zoals jouw software en jouw geheimen, blijft jouw verantwoordelijkheid. Ik denk dat veel mensen met een website of app dat niet goed beseffen. Je hosting-provider houdt wel het gebouw recht, maar je eigen deur moet je zélf op slot doen.
Ik dacht daarbij ook meteen aan de mensen die bij mij een workshop over Claude, AI Agents of Vibe Coding volgden. Een aantal van jullie heeft intussen zelf iets online staan, gebouwd met wat we samen geoefend hebben. En dat is fantastisch. Alleen heeft die software net zo goed onderhoud nodig.
Wat ik vanmorgen aan mijn Webmaster vroeg
Ik werk in Craft Agents met een aparte werkruimte voor mijn websites. Die noem ik mijn Webmaster. Die agent kent mijn servers, mijn sites en de manier waarop ik publiceer. Dus het was voor mij logisch om het daar te vragen.
Lees gratis verder
Registreer gratis met je e-mailadres en lees verder. Met je account open je de gratis artikels in de leerruimte; de rest is voor abonnees, vanaf Learn Plus.