Een webapplicatie bouwen draait om vijf technische keuzes: de architectuur, de techstack, de hosting, de beveiliging en de schaalbaarheid. Voor de meeste zakelijke applicaties is een goed gestructureerde applicatie op een bewezen framework zoals Laravel, met een MySQL- of PostgreSQL-database en hosting in de EU, de beste basis. Beveiliging bouw je vanaf dag één in, op vier lagen: toegang, applicatie, server en netwerk. Zo blijft je webapplicatie jarenlang veilig en uitbreidbaar.
Kosten en doorlooptijden in dit artikel zijn indicatieve voorbeelden, geen offerte of vaste belofte. Scope, risico’s en projectafspraken bepalen de uiteindelijke invulling.
Hoe een webapplicatie technisch werkt
Elke webapplicatie werkt volgens het client-servermodel. De gebruiker klikt in de browser (de client), die stuurt een verzoek naar de server, de server voert de bedrijfslogica uit en haalt of schrijft gegevens in de database, en stuurt het resultaat terug. Dat gebeurt tientallen keren per minuut, onzichtbaar voor de gebruiker.
Die opbouw zie je terug in drie lagen: de frontend (wat je ziet), de backend (wat er gebeurt) en de database (wat er wordt bewaard). Daaromheen zitten koppelingen met andere systemen via API's.
Keuze 1: de architectuur
De architectuur bepaalt hoe de onderdelen van je applicatie samenwerken. De twee bekendste smaken:
- Modulaire monoliet. Eén applicatie, intern netjes opgedeeld in modules. Sneller te bouwen, eenvoudiger te beheren en goedkoper te hosten.
- Microservices. Losse diensten die elk een eigen taak hebben en via API's praten. Krachtig voor zeer grote platforms met meerdere ontwikkelteams, maar complex en duur in beheer.
Voor vrijwel elke webapplicatie in het mkb is een goed opgezette modulaire monoliet de verstandigste keuze. Microservices lossen problemen op die de meeste bedrijven niet hebben. Begint een bouwer meteen over microservices voor een klantportaal met 200 gebruikers, stel dan kritische vragen.
Keuze 2: de techstack
De techstack is de combinatie van talen en frameworks waarmee je webapplicatie wordt gebouwd.
| Onderdeel | Gangbare keuzes | Waar je op let |
|---|---|---|
| Backend-framework | Laravel (PHP), Node.js, Django (Python), .NET | Actief onderhouden, groot ecosysteem, genoeg ontwikkelaars beschikbaar |
| Frontend | Vue, React, Livewire, Inertia | Snelheid, gebruiksgemak, onderhoudbaarheid |
| Database | MySQL, PostgreSQL | Betrouwbaar, open source, goed te back-uppen |
| Hosting | Cloud (AWS, Google Cloud, Azure, Nederlandse aanbieders) | Datacenter in de EU, schaalbaar, back-ups |
Kies een stack die over vijf jaar nog steeds breed wordt gebruikt. Een exotisch framework dat alleen jouw bouwer beheerst, maakt je afhankelijk. Bij Fellappo bouwen we veel in Laravel, het meest gebruikte PHP-framework, juist omdat er zoveel ontwikkelaars mee werken.
Keuze 3: hosting en de AVG
Verwerkt je webapplicatie persoonsgegevens, dan ben jij verantwoordelijk voor de bescherming daarvan onder de AVG. Praktisch betekent dat:
- Hosting bij voorkeur in een datacenter binnen de EU.
- Een verwerkersovereenkomst met de bouwer en de hostingpartij.
- Versleutelde verbindingen (HTTPS) en versleutelde back-ups.
- Alleen de gegevens opslaan die je echt nodig hebt (dataminimalisatie).
- Een logboek van wie welke gegevens heeft ingezien of gewijzigd, als het om gevoelige data gaat.
Reken voor cloudhosting van een gemiddelde zakelijke applicatie op €20 tot €100 per maand.
Keuze 4: beveiliging op vier lagen
Het Nationaal Cyber Security Centrum (NCSC) publiceert de ICT-beveiligingsrichtlijnen voor webapplicaties. Die gelden voor alles wat via HTTP(S) bereikbaar is: websites, API's en de backends van mobiele apps. De richtlijnen verdelen maatregelen over vier lagen:
- Toegang en identiteit. Sterke wachtwoorden, tweestapsverificatie (MFA) en rollen met alleen de rechten die iemand nodig heeft.
- De webapplicatie zelf. Invoer controleren, bescherming tegen bekende aanvallen zoals SQL-injectie en cross-site scripting, en veilige sessies. De OWASP Top 10 is hiervoor het standaard referentiekader.
- Het platform (de webserver). Up-to-date software, alleen noodzakelijke diensten actief, veilige configuratie.
- Het netwerk. Firewalls, afgeschermde beheertoegang en bescherming tegen overbelasting.
Daarbovenop horen regelmatige updates van het framework en de gebruikte pakketten, en een beveiligingstest vóór livegang.
Keuze 5: schaalbaarheid en prestaties
Schaalbaarheid betekent dat je applicatie snel blijft als het aantal gebruikers en de hoeveelheid data groeien. Dat regel je met een goed databaseontwerp, caching van veelgebruikte gegevens, wachtrijen (queues) voor zware taken zoals het versturen van e-mails of het genereren van rapporten, en hosting die kan meegroeien. Het belangrijkste: denk er bij het ontwerp over na, ook als je klein begint. Achteraf een slecht datamodel repareren is duur.
Toegankelijkheid: sinds 2025 soms verplicht
Sinds 28 juni 2025 geldt de Europese Toegankelijkheidsrichtlijn (European Accessibility Act). Bedrijven die bepaalde diensten aan consumenten aanbieden, zoals webshops, bankdiensten en online boekingen, moeten die digitaal toegankelijk maken. Micro-ondernemingen met minder dan 10 medewerkers en maximaal €2 miljoen omzet zijn voor diensten uitgezonderd. Ook als het voor jou niet verplicht is, is bouwen volgens WCAG 2.1 niveau AA verstandig: je applicatie wordt er voor iedereen beter bruikbaar van.
Technische vragen voor je webapplicatie bouwer
Ga je een webapplicatie laten bouwen? Stel deze vragen voordat je tekent:
- Welk framework gebruik je, en hoe lang wordt de gekozen versie nog ondersteund?
- Waar wordt de applicatie gehost, en staat de data in de EU?
- Hoe werk je met geautomatiseerde tests en automatische uitrol (CI/CD)?
- Bouw je volgens de NCSC-richtlijnen en de OWASP Top 10?
- Hoe zijn back-ups, monitoring en updates geregeld na livegang?
- Krijg ik toegang tot de broncode en de repository?
Meer over de fases van een project lees je in het ontwikkeltraject. Voor budget en het kiezen van een partij, zie onze gids webapplicatie laten bouwen.
Een webapplicatie bouwen op een fundament dat jaren meegaat? Fellappo denkt vanaf de eerste schets mee over architectuur, beveiliging en schaalbaarheid. Plan een gratis technisch adviesgesprek.
Plan een gesprek ↗Veelgestelde vragen over het bouwen van een webapplicatie
Welke programmeertaal wordt gebruikt voor webapplicaties?
Veelgebruikte combinaties zijn PHP met Laravel, JavaScript of TypeScript met Node.js, Python met Django en C# met .NET. Voor de frontend wordt vaak Vue of React gebruikt.
Wat is het verschil tussen frontend en backend?
De frontend is het deel dat de gebruiker ziet en bedient in de browser. De backend draait op de server en verwerkt de logica, rechten en gegevensopslag.
Hoe maak je een webapplicatie veilig?
Door beveiliging vanaf het begin mee te nemen op vier lagen: toegang, applicatie, server en netwerk. Gebruik MFA, houd het framework up-to-date, bouw volgens de OWASP Top 10 en laat vóór livegang een beveiligingstest uitvoeren.
Is mijn webapplicatie AVG-proof als hij in de cloud draait?
Dat hangt af van waar de data staat en welke afspraken je maakt. Kies hosting binnen de EU, sluit verwerkersovereenkomsten af en sla alleen gegevens op die je echt nodig hebt.
Wat is een API?
Een API is een gestandaardiseerde manier waarop twee systemen gegevens uitwisselen. Via API's koppel je je webapplicatie bijvoorbeeld aan je boekhoudpakket, CRM of betaalprovider.
Moet mijn webapplicatie voldoen aan toegankelijkheidseisen?
Als je bepaalde diensten aan consumenten aanbiedt, zoals online verkoop of boekingen, geldt sinds 28 juni 2025 de Europese Toegankelijkheidsrichtlijn. Micro-ondernemingen zijn voor diensten uitgezonderd.
