Betrouwbare marketplace: hosting, back-ups en beveiliging

Een marketplace die op zaterdagavond platligt, verliest de boekingen van het weekend, en een stukje van het vertrouwen van zijn aanbieders. Stabiliteit kies je vóór de opening: wie de site host, wie hem bijwerkt, waar de gegevens staan, wie het geld ontvangt, wat je meeneemt als je ooit vertrekt. Deze gids van het team van Marketplace Factory, dat complete marketplaces maakt op basis van één zin en ze voor zijn klanten host, loopt langs wat een marketplace laat vallen, de vijf garanties die je van elke tool mag eisen, wat wij voor je regelen, wat bij jou blijft, en hoe je met alles vertrekt.

Waardoor een marketplace platgaat

Spectaculaire storingen zijn zeldzaam. Wat een marketplace laat vallen, zijn bijna altijd eenvoudige dingen, waar niemand de taak had om op te letten:

1. Een vergeten update. Een site die is samengesteld uit een CMS, een thema en plug-ins, moet de beveiligingsupdates van elk onderdeel volgen; één verlaten plug-in, of een update die een andere breekt, is genoeg om de betalingen te blokkeren.
2. Een gestolen beheerdersaccount. Een wachtwoord dat ook elders wordt gebruikt, geen tweestapsverificatie, en iemand publiceert, verwijdert of wijzigt in jouw plaats.
3. Verloren gegevens zonder bruikbare back-up. Een verkeerde handeling, een beschadigde database, en de laatste back-up is een maand oud, of is nooit getest.
4. Geld dat verkeerd loopt. Geld ontvangen voor je aanbieders op je eigen bankrekening maakt van jou een betaaldienstverlener, waarvoor een vergunning nodig is; ons artikel over betalingen op een marketplace legt uit hoe je dat vermijdt.
5. Een piek in het verkeer. Een moment op televisie, een geslaagde campagne, en een te krappe hosting bezwijkt op het slechtste moment.
6. Een sleutelpersoon die vertrekt. De ontwikkelaar die de toegang had, de domeinnaam op zijn naam, de enige kopie van de code op zijn laptop.

Geen van die storingen is onvermijdelijk. Elke storing voorkom je met een vraag die je stelt vóór je je tool kiest.

De vijf garanties die je van elke tool mag eisen

Stel vóór je software, een hostingpartij of een bureau kiest deze vijf vragen. De antwoorden moeten op papier staan, in een contract of op een openbare pagina, niet alleen aan de telefoon beloofd.

1. Wie host, en wie onderhoudt?

De site moet worden gehost en bijgewerkt door iemand voor wie dat het vak is, met een geschreven reactietermijn bij een probleem. Wees op je hoede voor ‘updates inbegrepen’ die neerkomen op een strippenkaart met uren: vraag wie een beveiligingsupdate toepast, en binnen welke termijn.

2. Waar staan de gegevens, en bij wie?

Jouw gegevens en die van je gebruikers moeten in een kader blijven dat je kunt uitleggen: hosting in de Europese Unie, verwerkers met naam, doorgiften buiten de Unie die geregeld zijn. Onder de AVG ben jij verwerkingsverantwoordelijke voor de gegevens van je gebruikers en is de leverancier van je tool je verwerker: zijn afspraken en de lijst van zijn eigen verwerkers moeten op papier staan. De rest van je plichten staat in onze gids over de wettelijke verplichtingen van een marketplace.

3. De back-ups: hoe vaak, en hoe lang bewaard?

De Autoriteit Persoonsgegevens noemt het bij haar voorbeelden van beveiligingsmaatregelen: ‘Back-ups maken waarmee u de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig kunt herstellen’, naast software die up-to-date blijft, versleuteling en logbestanden. Vraag de frequentie, de bewaartermijn en hoe je terugzet: een back-up die je niet kunt terugzetten, beschermt tegen niets.

4. Is de toegang beschermd?

Tweestapsverificatie voor beheerders, aparte rollen voor wie beheert en wie modereert, versleutelde geheimen. Tweestapsverificatie voegt een extra beveiligingslaag toe aan je accounts, legt de overheidscampagne Veilig Internetten uit op haar pagina waarom tweestapsverificatie belangrijk is.

5. Wie ontvangt het geld?

Het geld van je kopers moet via een betaaldienst met vergunning lopen, op een account op jouw naam, nooit op dat van de leverancier van je software. En kaartnummers mogen nooit door je site gaan. Stripe is bijvoorbeeld gecertificeerd als PCI Service Provider Level 1, het strengste certificeringsniveau van de betaalsector; op een marketplace van Marketplace Factory voert de koper zijn kaart in op de beveiligde pagina van Stripe, en gaan er geen kaartgegevens door je site.

Wat Marketplace Factory voor je regelt

Hosting en onderhoud

Je marketplace wordt voor je gehost en onderhouden: niets te installeren, niets bij te werken, geen regel code. In je juridische informatie staat Marketplace Factory ook vermeld als hostingdienst. De support antwoordt per ticket vanuit je account, binnen 48 werkuren bij Start en Pro; bij Dedicated via WhatsApp en ticket, 7 dagen per week van 9 tot 20 uur, met een eerste antwoord binnen 4 uur binnen die tijden.

Gegevens in Europa, verwerkers met naam

De API, de database en de bestanden draaien bij Amazon Web Services in Stockholm; de applicatie wordt geleverd door Vercel, met zijn functies in Stockholm. Betalingen lopen via Stripe, e-mails via Brevo, kunstmatige intelligentie via Anthropic en Google, die alleen krijgen wat de taak vraagt, nooit je account- of betaalgegevens. Elke verwerker, zijn rol en zijn plaats van verwerking staan in onze privacyverklaring, met onze beveiligingsmaatregelen: versleutelde verbindingen, onomkeerbaar versleutelde wachtwoorden, de gegevens van elke marketplace van elkaar gescheiden, beperkte en gelogde toegang.

Elke dag een back-up

Je gegevens worden automatisch gekopieerd, elke dag. De privacyverklaring geeft de details: back-ups van de database worden dertig dagen bewaard en zijn tot op de minuut terug te zetten, daarna gewist; een verwijderde foto blijft dertig dagen herstelbaar.

Beschermde toegang, een versleutelde Stripe-sleutel

• Tweestapsverificatie voor elke beheerder: eenmaal aangezet, blijft de beheeromgeving dicht zonder de code.
• Een team met rollen: uitgenodigde beheerders en moderators, elk met een eigen rol; 2 beheerders inbegrepen bij Start, 10 bij Pro.
• Je Stripe-sleutel versleuteld vanaf ontvangst: we tonen alleen de laatste vier tekens opnieuw, alleen de eigenaar van het account kan hem koppelen of wijzigen, en het scherm weigert meer dan vijf pogingen per uur, zodat het nooit dient om gestolen sleutels uit te proberen.
• Loskoppelen zonder sporen: koppel je Stripe los, dan wordt de sleutel gewist, blijft er van ons niets achter op je Stripe-account, en gaat je site naar de aanvraagmodus.

Het geld op je eigen Stripe, nooit bij ons

De betalingen komen op je eigen Stripe-account, met Stripe Connect: je aanbieders zetten hun uitbetalingen aan vanuit hun omgeving, en je commissie, van 0 tot 50%, wordt automatisch op elke betaling ingehouden. Marketplace Factory komt nooit aan het geld van je verkopen. Ons deel, 2% bij Start, 1,5% bij Pro, 1% bij Dedicated, geldt alleen voor wat je klanten online betalen; het wordt je één keer per maand apart gefactureerd, en komt nooit bovenop de prijs die je klanten betalen. Bij een verhuur, een verblijf of een dienst wordt de aanbieder betaald na het begin of het einde van de dienst: meldt een klant vóór die uitbetaling een probleem, dan wacht het geld op de beslissing van je team.

Wat elk abonnement bevat

Alles staat op de tarievenpagina. Tijdens de bèta probeer je alles zonder iets te betalen: betalingen draaien in testmodus.

Wat bij jou blijft

Een stevige tool beschermt niet tegen een wachtwoord op een geeltje. Vijf handelingen zijn aan jou:

1. Houd de lijst van je team actueel. Nodig alleen nuttige mensen uit, geef ieder de juiste rol (modereren is geen beheren), en trek de toegang van wie vertrekt meteen in.
2. Zet tweestapsverificatie aan op je eigen account, en vraag elke beheerder de zijne aan te zetten.
3. Kies lange, unieke wachtwoorden, bewaard in een wachtwoordmanager. Veilig Internetten raadt aan voor elk account een ander wachtwoord te gebruiken, zodat bij een datalek niet al je accounts openliggen.
4. Bescherm je Stripe-account als een bankrekening, met tweestapsverificatie, en ken je plichten bij een datalek: als verwerkingsverantwoordelijke kun je verplicht zijn een datalek binnen 72 uur bij de AP te melden en de getroffenen te informeren.
5. Houd je domeinnaam in eigen hand, als je er vanaf Pro een koppelt: geregistreerd op naam van je bedrijf, automatisch verlengd bij je registrar.

Een gewoonte erbij: exporteer je gegevens één keer per maand en bewaar het archief bij je boekhouding. Je zou het nooit nodig moeten hebben; de dag dat je het nodig hebt, is het er.

Omkeerbaarheid: met alles vertrekken

Een stevige marketplace is ook een marketplace die je kunt verlaten. Bij Marketplace Factory:

• Je gegevens zijn van jou. De export geeft je advertenties, bestellingen, klanten, betalingen en berichten als tabellen die je in Excel opent, en je foto’s in een archief, bij elk abonnement en wanneer je wilt.
• Je zit nergens aan vast. Start en Pro per maand zeg je op elk moment op, met ingang van het einde van de betaalde periode; je marketplace gaat dan offline, en de export blijft dertig dagen open.
• Pauzeren in plaats van sluiten. Voor een seizoensactiviteit, met een maandabonnement, kost de pauze € 29 excl. btw per maand, maximaal zes maanden per jaar: de site toont een bericht dat je terugkomt, je gegevens, je foto’s en je domein blijven bewaard, en je opent weer met één klik.
• De broncode, tegen een vooraf bekende prijs. Wil je ooit de code van je marketplace overnemen, met de functies van zijn vak, zonder de studio en de generator, dan is de prijs zesendertig maanden Dedicated, vooruitbetaald, met optioneel onderhoud voor 20% van die prijs per jaar.

Ter vergelijking: een marketplace op WordPress laat je de code, maar ook de hosting, de updates, de back-ups en de beveiliging. Maatwerk laat je alles, inclusief het onderhoud van elke regel. De volledige vergelijking van de oplossingen staat in onze vergelijking van marketplace-software.

Samengevat

Een marketplace die standhoudt, is eerst een marketplace waar iemand elke dag voor zorgt. Bij Marketplace Factory zijn de hosting, het onderhoud, de back-ups en de bescherming van de toegang ons vak; het geld blijft op je eigen Stripe-account, je gegevens in Europa, en de uitgang blijft open. Jouw tijd gaat naar wat een marketplace laat leven: je aanbieders en je klanten. Voor de regels die je gebruikers aanvaarden als ze zich inschrijven, lees onze gids over algemene voorwaarden voor een marketplace.