Negen domeinen. Een navolgbare standaard.

Uitgangspunt

Vastgelegd, breed en bewijsbaar

We beoordelen bij iedere website het volledige vaste kader. De basiscontroles worden altijd uitgevoerd; een functiegebonden controle wordt alleen gemotiveerd als niet van toepassing geregistreerd wanneer die functie aantoonbaar niet bestaat.

OWASP ASVS 5.0.0, artikel 32 AVG en het Belgische CyberFundamentals Framework 2025 dienen als inhoudelijke referenties voor het controlekader.

Controledomeinen

83 vaste controlepunten in negen domeinen

Alle controlepunten zijn vooraf bepaald en publiek zichtbaar. We registreren voor ieder punt afzonderlijk of het is geslaagd, een bevinding oplevert of aantoonbaar niet van toepassing is.

Negen is het aantal beveiligingsdomeinen, niet het aantal tests. Elk controlepunt omvat meerdere toepasselijke testscenario’s. De C9-nummers behouden hun oorspronkelijke dossierreferenties. Versie 1.2 laat de vroegere eis K10-04 voor monitoring en tijdige waarschuwingen bij uitval, misbruik en beveiligingsgebeurtenissen weg. Daardoor blijven 83 controlepunten over. Gewone hosting, back-ups en incidentafhandeling blijven bestaan.

C9-01 - Scope, architectuur en veilige voorbereiding

We brengen de volledige website, haar functies en de veilige testvoorwaarden in kaart voordat het onderzoek begint.

• C9-01.001 Het exacte domein, alle bijbehorende subdomeinen en alle websiteomgevingen zijn geïnventariseerd.Dossierreferentie: K01-01
• C9-01.002 De eigenaar of een bevoegde opdrachtgever heeft het onderzoek schriftelijk toegestaan.Dossierreferentie: K01-02
• C9-01.003 Publieke pagina’s, beheerfuncties, accounts, formulieren, API’s en gekoppelde diensten zijn vastgelegd.Dossierreferentie: K01-03
• C9-01.004 Gebruikersrollen, belangrijke handelingen en bedrijfskritieke bezoekersstromen zijn in kaart gebracht.Dossierreferentie: K01-04
• C9-01.005 De persoonsgegevens, gegevensstromen en externe ontvangers van de website zijn geïnventariseerd.Dossierreferentie: K01-05
• C9-01.006 Benodigde testaccounts en tijdelijke toegangen worden veilig, persoonlijk en controleerbaar verstrekt.Dossierreferentie: K01-06
• C9-01.007 Veilige testvensters, noodcontacten en afspraken om de bedrijfswerking te beschermen zijn bevestigd.Dossierreferentie: K01-07
• C9-01.008 Beschikbare back-ups, herstelmogelijkheden en een terugrolpad zijn vóór wijzigingen gecontroleerd.Dossierreferentie: K01-08

C9-02 - Infrastructuur, configuratie en browserbeveiliging

We controleren wat publiek bereikbaar is en hoe domein, hosting, server, cloud en browserbeveiliging zijn ingesteld.

• C9-02.001 DNS, HTTPS, TLS-certificaten en doorverwijzingen leiden bezoekers veilig naar het bedoelde domein.Dossierreferentie: K02-01
• C9-02.002 Publiek bereikbare subdomeinen, diensten, poorten en beheerroutes zijn gekend en noodzakelijk.Dossierreferentie: K02-02
• C9-02.003 Hosting-, cloud- en serverinstellingen beperken toegang volgens het principe van minimale rechten.Dossierreferentie: K02-03
• C9-02.004 Browserheaders beschermen tegen ongewenst inladen, insluiten, interpreteren en doorgeven van informatie.Dossierreferentie: K02-04
• C9-02.005 Toegestane herkomsten voor browser- en API-verkeer zijn uitdrukkelijk en zo beperkt mogelijk ingesteld.Dossierreferentie: K02-05
• C9-02.006 Foutmeldingen, debugfuncties en statuspagina’s geven geen gevoelige technische informatie prijs.Dossierreferentie: K02-06
• C9-02.007 Tijdelijke bestanden, back-ups, bronkaarten, configuratiebestanden en ontwikkelhulpmiddelen zijn niet publiek bereikbaar.Dossierreferentie: K02-07
• C9-02.008 Caching en tussenlagen voorkomen dat persoonlijke of vertrouwelijke inhoud bij de verkeerde bezoeker terechtkomt.Dossierreferentie: K02-08

C9-03 - Identiteit, sessies en toegangsrechten

We beoordelen hoe gebruikers en beheerders zich aanmelden, hun account herstellen en aangemeld blijven. We verifiëren dat iedere gebruiker uitsluitend de toegestane gegevens en handelingen kan bereiken.

• C9-03.001 Aanmelding en registratie controleren identiteit zonder onnodige accountinformatie prijs te geven.Dossierreferentie: K03-01
• C9-03.002 Wachtwoordregels, opslag en wijzigingsprocessen ondersteunen sterke en unieke wachtwoorden.Dossierreferentie: K03-02
• C9-03.003 Beheeraccounts en andere gevoelige rollen gebruiken passende meervoudige verificatie.Dossierreferentie: K03-03
• C9-03.004 E-mailverificatie en accountherstel gebruiken tijdelijke, eenmalige en veilig afgeleverde koppelingen of codes.Dossierreferentie: K03-04
• C9-03.005 Sessiecookies zijn beschermd, beperkt tot de juiste omgeving en niet toegankelijk voor ongewenste scripts.Dossierreferentie: K03-05
• C9-03.006 Sessies worden na aanmelden en gevoelige wijzigingen vernieuwd en kunnen niet worden overgenomen via een vooraf bekende sessie.Dossierreferentie: K03-06
• C9-03.007 Uitloggen, automatische vervaldatum, wachtwoordwijziging en accountblokkering beëindigen bestaande toegang correct.Dossierreferentie: K03-07
• C9-03.008 Herhaalde aanmeldpogingen en geautomatiseerd accountmisbruik worden afgeremd, geregistreerd en passend opgevolgd.Dossierreferentie: K03-08
• C9-03.009 Iedere beschermde pagina, API en actie controleert rechten op de server en niet alleen in de interface.Dossierreferentie: K04-01
• C9-03.010 Gebruikers kunnen uitsluitend hun eigen gegevens, documenten, bestellingen en andere objecten bekijken of wijzigen.Dossierreferentie: K04-02
• C9-03.011 Rollen en rechten volgen minimale toegang en worden consequent toegepast in alle onderdelen van de website.Dossierreferentie: K04-03
• C9-03.012 Beheerfuncties en gevoelige acties zijn uitsluitend bereikbaar voor uitdrukkelijk bevoegde accounts.Dossierreferentie: K04-04
• C9-03.013 Gegevens van verschillende organisaties, klanten of werkruimten blijven technisch van elkaar gescheiden.Dossierreferentie: K04-05
• C9-03.014 Bestandslinks, exports en downloads voeren dezelfde toegangscontrole uit als de bijbehorende webpagina.Dossierreferentie: K04-06
• C9-03.015 Gedeactiveerde accounts en ingetrokken rollen verliezen onmiddellijk hun eerdere toegang.Dossierreferentie: K04-07
• C9-03.016 Achtergrondtaken, koppelingen en systeemaccounts krijgen alleen de rechten die hun concrete functie vereist.Dossierreferentie: K04-08

C9-04 - Invoer, API’s en bestandsverwerking

We controleren hoe de website gegevens ontvangt, verwerkt, toont, doorstuurt en als bestand behandelt.

• C9-04.001 Alle invoer wordt op de server gecontroleerd op toegestaan formaat, lengte, type en betekenis.Dossierreferentie: K05-01
• C9-04.002 Databasevragen, opdrachten en sjablonen verwerken invoer zonder dat gegevens als instructies worden uitgevoerd.Dossierreferentie: K05-02
• C9-04.003 Getoonde inhoud wordt passend gecodeerd zodat ingevoerde tekst geen ongewenste browsercode wordt.Dossierreferentie: K05-03
• C9-04.004 Acties die gegevens of instellingen wijzigen zijn beschermd tegen verzoeken vanaf ongewenste websites.Dossierreferentie: K05-04
• C9-04.005 Bestandsuploads beperken type, grootte, naam en opslaglocatie en worden veilig verwerkt of geïsoleerd.Dossierreferentie: K05-05
• C9-04.006 Downloads en bestandspaden kunnen uitsluitend toegestane bestanden binnen de bedoelde opslag bereiken.Dossierreferentie: K05-06
• C9-04.007 API’s controleren methoden, gegevensstructuur, inhoudstype, fouten, toegangsrechten en verzoekfrequentie consequent.Dossierreferentie: K05-07
• C9-04.008 Webhooks, doorverwijzingen en uitgaande serververbindingen aanvaarden uitsluitend vertrouwde bestemmingen en geldige berichten.Dossierreferentie: K05-08

C9-05 - Privacy en gegevensbescherming

We vergelijken de werkelijke gegevensverwerking van de website met haar privacy-informatie en de toepasselijke AVG/GDPR-verplichtingen.

• C9-05.001 Persoonsgegevens, categorieën betrokkenen, bronnen, doelen, ontvangers en opslagplaatsen zijn volledig geïnventariseerd.Dossierreferentie: K06-01
• C9-05.002 Voor iedere websitegebonden verwerking zijn noodzaak, rechtsgrond en eventuele voorwaarden voor gevoelige gegevens onderbouwd.Dossierreferentie: K06-02
• C9-05.003 De privacyverklaring beschrijft begrijpelijk en actueel wat de website in werkelijkheid met persoonsgegevens doet.Dossierreferentie: K06-03
• C9-05.004 Formulieren, accounts en standaardinstellingen vragen en tonen alleen persoonsgegevens die voor het doel nodig zijn.Dossierreferentie: K06-04
• C9-05.005 Cookies, pixels en andere trackers worden correct gecategoriseerd en vereiste toestemming wordt vooraf, vrij en aantoonbaar gevraagd.Dossierreferentie: K06-05
• C9-05.006 Toestemming kan even gemakkelijk worden ingetrokken als gegeven en de website respecteert de gewijzigde keuze.Dossierreferentie: K06-06
• C9-05.007 Bewaartermijnen en verwijderprocessen werken aantoonbaar voor applicatiegegevens, uploads, logboeken en relevante back-ups.Dossierreferentie: K06-07
• C9-05.008 Websiteprocessen ondersteunen verzoeken om inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar waar toepasselijk.Dossierreferentie: K06-08
• C9-05.009 Websitegebonden verwerkers, externe diensten en internationale doorgiften zijn gekend en door passende afspraken of waarborgen gedekt.Dossierreferentie: K06-09
• C9-05.010 Privacy by design, verantwoordingsbewijs, eventuele DPIA-noodzaak en voorbereiding op een websitegebonden datalek zijn beoordeeld.Dossierreferentie: K06-10

C9-06 - Geheimen en cryptografie

We beoordelen hoe wachtwoorden, sleutels, tokens en gevoelige gegevens worden beschermd tijdens hun volledige levensduur.

• C9-06.001 Sleutels, tokens en wachtwoorden staan niet in browsercode, openbare bestanden, broncodegeschiedenis of logboeken.Dossierreferentie: K07-01
• C9-06.002 Geheimen worden centraal beheerd, beperkt toegankelijk gehouden en veilig vervangen wanneer dat nodig is.Dossierreferentie: K07-02
• C9-06.003 Wachtwoorden worden opgeslagen met een geschikte, trage en actuele wachtwoordhashfunctie.Dossierreferentie: K07-03
• C9-06.004 Gevoelige gegevens zijn tijdens transport beschermd met actuele versleuteling en correcte certificaatcontrole.Dossierreferentie: K07-04
• C9-06.005 Gevoelige opgeslagen gegevens krijgen versleuteling wanneer het risico en het gebruik dat vereisen.Dossierreferentie: K07-05
• C9-06.006 Cryptografische algoritmen, sleutelgroottes en instellingen zijn actueel en worden voor hun bedoelde doel gebruikt.Dossierreferentie: K07-06
• C9-06.007 Beveiligingstokens en herstelcodes zijn onvoorspelbaar, beperkt geldig, eenmalig waar nodig en veilig intrekbaar.Dossierreferentie: K07-07
• C9-06.008 Vertrouwelijke waarden verschijnen niet in webadressen, onbeveiligde browseropslag, analytische gegevens of gedeelde caches.Dossierreferentie: K07-08

C9-07 - Afhankelijkheden en softwareketen

We controleren de herkomst, actualiteit en beveiliging van pakketten, externe scripts en het bouw- en publicatieproces.

• C9-07.001 Applicatiepakketten, runtimes, externe scripts en andere afhankelijkheden zijn volledig en reproduceerbaar geïnventariseerd.Dossierreferentie: K08-01
• C9-07.002 Bekende kwetsbaarheden en niet langer ondersteunde versies zijn opgespoord en volgens risico behandeld.Dossierreferentie: K08-02
• C9-07.003 Versies en lockfiles voorkomen onverwachte wijzigingen tijdens installatie en bouw.Dossierreferentie: K08-03
• C9-07.004 Afhankelijkheden komen uit vertrouwde bronnen en onnodige pakketten of scripts zijn verwijderd.Dossierreferentie: K08-04
• C9-07.005 Externe browserscripts zijn beperkt, gecontroleerd en door passende browserregels omgeven.Dossierreferentie: K08-05
• C9-07.006 Het bouw- en publicatieproces beschermt broncode, artefacten, goedkeuringen en productiegegevens tegen ongewenste wijzigingen.Dossierreferentie: K08-06
• C9-07.007 Automatiseringsaccounts en CI/CD-geheimen hebben minimale rechten en worden niet onnodig met externe code gedeeld.Dossierreferentie: K08-07
• C9-07.008 Ontwikkel-, test- en diagnosehulpmiddelen zijn gescheiden van productie en niet publiek activeerbaar.Dossierreferentie: K08-08

C9-08 - Bedrijfslogica en misbruikbestendigheid

We testen of belangrijke websiteprocessen ook veilig blijven bij onverwacht, geautomatiseerd of oneigenlijk gebruik.

• C9-08.001 Belangrijke gebruikersstromen dwingen de bedoelde volgorde, voorwaarden en toegestane statusovergangen af.Dossierreferentie: K09-01
• C9-08.002 Prijzen, kortingen, aantallen, rechten en andere zakelijke waarden worden door de server gevalideerd.Dossierreferentie: K09-02
• C9-08.003 Betalingen, bestellingen, reservaties en vergelijkbare acties worden niet onbedoeld dubbel of buiten volgorde verwerkt.Dossierreferentie: K09-03
• C9-08.004 Limieten op aanvragen, accounts, voorraad, gebruik of voordelen kunnen niet eenvoudig worden omzeild.Dossierreferentie: K09-04
• C9-08.005 Uitnodigingen, goedkeuringen, annuleringen en accountwijzigingen controleren telkens de actuele bevoegdheid en status.Dossierreferentie: K09-05
• C9-08.006 Formulieren en publieke functies worden passend beschermd tegen spam, massamisbruik en geautomatiseerde fraude.Dossierreferentie: K09-06
• C9-08.007 Gelijktijdige verzoeken en herhaalde berichten veroorzaken geen dubbele voordelen of inconsistente gegevens.Dossierreferentie: K09-07
• C9-08.008 Resultaten van betaalproviders, identiteitsdiensten en andere externe partijen worden onafhankelijk en server-side bevestigd.Dossierreferentie: K09-08

C9-09 - Detectie, incidenten en herstel

We beoordelen bruikbare logboeken, incidentafhandeling, back-ups en aantoonbaar herstel.

• C9-09.001 Aanmeldingen, beheeracties, rechtenwijzigingen, gevoelige gegevensacties en beveiligingsgebeurtenissen worden bruikbaar geregistreerd.Dossierreferentie: K10-01
• C9-09.002 Logboeken bevatten geen wachtwoorden, tokens of meer persoonsgegevens dan voor beveiliging en opvolging nodig is.Dossierreferentie: K10-02
• C9-09.003 Toegang, integriteit, bewaartermijn en tijdsaanduiding van logboeken ondersteunen betrouwbaar onderzoek.Dossierreferentie: K10-03
• C9-09.005 Back-ups worden automatisch, versleuteld, voldoende gescheiden en volgens een vast bewaarschema gemaakt.Dossierreferentie: K10-05
• C9-09.006 Herstel uit back-up is recent getest en haalt de afgesproken hersteldoelen voor website en gegevens.Dossierreferentie: K10-06
• C9-09.007 Een incidentplan legt meldroutes, verantwoordelijkheden, bewijsbewaring en veilige noodmaatregelen vast.Dossierreferentie: K10-07
• C9-09.008 Het datalekproces ondersteunt tijdige beoordeling, documentatie en vereiste melding of communicatie onder de AVG/GDPR.Dossierreferentie: K10-08
• C9-09.009 Nieuwe versies kunnen gecontroleerd worden gepubliceerd, bewaakt en indien nodig veilig worden teruggedraaid.Dossierreferentie: K10-09
• C9-09.010 Na een incident of belangrijke wijziging worden oorzaken, correcties en hertests aantoonbaar opgevolgd.Dossierreferentie: K10-10

Van signaal naar bewijs

Onderzoek, herstel en besluit hebben elk hun eigen rol

Geautomatiseerde controles

Herhaalbare controles van configuratie, code, afhankelijkheden en bereikbare functies leveren signalen. Een scanresultaat is nog geen bevestigde bevinding.

Gericht onderzoek

Met passende hulpmiddelen, testaccounts en veilige testgegevens onderzoeken we onder meer rechten, accounts, bedrijfslogica en misbruikscenario’s.

Contextuele beoordeling

Code, architectuur, gegevensstromen en werkprocessen bepalen welke testscenario’s bij ieder controlepunt horen. Ontbrekende toegang blijft een beperking en telt nooit automatisch als niet van toepassing.

Afgesproken herstel

We corrigeren problemen binnen de overeengekomen opdracht of begeleiden uw ontwikkelaar. Werk buiten de opdracht wordt vooraf besproken.

Hertest

Iedere uitgevoerde correctie wordt opnieuw getest. We leggen het bewijs en eventuele resterende beperkingen vast en controleren belangrijke gebruikersstromen.

Certificaatbesluit

Charter Nine bevestigt dat onderzoek en noodzakelijk herstel zijn afgerond en de hertest geslaagd is. Alleen als de toepasselijke eisen zijn voldaan en bevestigde bevindingen zijn opgelost, kan het domein C9 Verified krijgen.

Vaste toepassing

Eén vaste norm voor iedere website

Volledige basis

De basiscontroles voor aanvalsoppervlak, code, configuratie, afhankelijkheden, privacy, logging en herstel worden bij iedere website uitgevoerd.

Automatische functiemodules

Accounts, rollen, formulieren, uploads, betalingen, API’s, externe diensten en andere aanwezige functies maken hun vaste aanvullende controles automatisch verplicht.

Navolgbaar resultaat

We beoordelen de toepasselijke eisen en communiceren bevindingen en beperkingen. Charter Nine bevestigt de afronding van onderzoek, noodzakelijk herstel en geslaagde hertest. Ontbrekende toegang telt niet als niet van toepassing.

Toelatingsbesluit

De vier pijlers van een positief certificaatbesluit

• Volledige beoordelingAlle 83 controlepunten hebben een navolgbare uitkomst volgens dezelfde vaste beslisregels.
• Herstel van bevestigde bevindingenHet afgesproken herstel van security- en privacybevindingen is uitgevoerd en het resultaat is met een geslaagde hertest onderbouwd voordat het certificaat wordt uitgegeven.
• Technische hertestIedere correctie is opnieuw gecontroleerd en de belangrijke gebruikersstromen werken na het herstel zoals bedoeld.
• Controleerbaar besluitDomein, controledatum, kaderversie, geldigheidsduur en het uitgiftebesluit worden samen in het certificaatdossier vastgelegd.

Publieke statusregels

De status volgt het actuele bewijs

Geldig

De laatste hertest is geslaagd en de bevestiging loopt tot de vermelde vervaldatum.

Herstel vereist

Een niet-kritieke nieuwe bevinding is bevestigd en heeft een vastgelegde herstel- en hertesttermijn van maximaal 30 kalenderdagen, nooit later dan de vervaldatum. De gehoste badge is intussen verborgen. Zonder tijdige succesvolle hertest volgt schorsing of verval.

Geschorst

Een kritieke of anderszins badgeblokkerende situatie vereist onmiddellijke actie. De badge mag niet als geldig worden voorgesteld.

Verlopen

De vervaldatum is bereikt zonder tijdige succesvolle hercontrole.

Ingetrokken

De voorwaarden zijn niet nageleefd, herstel is geweigerd of het gebruiksrecht is beëindigd.

Controleerbare inhoud

Wat het certificaat concreet omvat

• Het exacte onderzochte domein en controlebereik.
• De datum van de laatste succesvolle hertest.
• De toegepaste versie van dit controlekader.
• De actuele status en geldigheidsduur.
• De uitgifte door Charter Nine.