Het land dat zijn eigen loket sloot

Het begon met een mededeling die buiten de sector niemand interesseert: er zaten twee gaten in PHP, de taal waarop een groot deel van het web draait. Binnen een paar uur waren DigiD en MijnOverheid weg, net als de site van de Tweede Kamer, het NCSC en het vergadersysteem van honderd gemeenten.

Dat is het eerste dat opvalt: de reactie was professioneel. Een site loskoppelen zodra er een lek van 9,2 op 10 bekend is, is precies wat je hoort te doen. De beheerders die hun systemen van het internet haalden, verdienen waardering, niet het verwijt dat ze de boel platlegden.

PHP is niet het probleem. Het is de loodgieterij van het web: oud, onzichtbaar, overal. Het draait onder WordPress, Drupal en Joomla, onder portalen die niemand meer onderhoudt en onder systemen die ooit zijn gebouwd omdat het moest.

De les van woensdag staat niet in het persbericht over de patch. Die les is dat veerkracht iets anders is dan voorzichtigheid: variatie in plaats van één standaard, en terugvalmogelijkheden voor als het misgaat. Meld Misdaad Anoniem was offline, maar telefonisch bereikbaar.

Justitieminister Van Weel zei dat het offline halen „impact in onze digitale samenleving” heeft. Het was de eerste reactie van het kabinet, en ze kwam toen de oplossing er al lag. De vraag is niet wie schuld heeft aan PHP, maar waarom een gemeente en een ministerie op dezelfde dag kunnen uitvallen.