GeoServer-beheer en GIS-hosting

GeoServer is een open source server die geodata publiceert via open standaarden zoals WMS, WFS en de OGC API's. Bij veel gemeenten, provincies en waterschappen staat er een, vaak naast PostGIS als database en GeoWebCache voor het cachen van kaarttegels. Hoe GeoServer technisch werkt, staat op de pagina over GeoServer.

Het installeren van GeoServer kost een middag. Het beheren ervan is het werk dat daarna komt en nooit ophoudt. Een kaartserver bestaat uit lagen die elk hun eigen updates krijgen.

• het besturingssysteem van de server, met beveiligingsupdates;
• Java en de servletcontainer waarin GeoServer draait;
• GeoServer zelf, met de extensies die u gebruikt;
• PostGIS en PostgreSQL, met een eigen versiebeleid;
• de reverse proxy die TLS-certificaten en toegangsregels afhandelt.

Beheer omvat ook de inhoud. Lagen die niemand meer gebruikt, stijlen die naar verdwenen bestanden verwijzen, en servicemetadata die nog de standaardtekst van de installatie bevatten. Dat laatste lijkt cosmetisch, maar afnemers en catalogi lezen die metadata uit de capabilities-documenten. Hoe u metadata goed vastlegt, staat bij metadata ISO 19115.

Bouwt u nog aan een viewer of applicatie bovenop de server, dan valt dat onder GIS- en kaartoplossingen. Deze pagina gaat over het draaiend en veilig houden van wat er staat.

Deze dienst is bedoeld voor organisaties die een eigen GeoServer hebben of willen, maar er niet dagelijks een specialist voor in dienst hebben.

• Wel als uw GeoServer is geïnstalleerd door een leverancier of medewerker die er niet meer is, en niemand precies weet welke versie en extensies er draaien.
• Wel als u eigen datasets publiceert die niet bij PDOK staan, zoals bomen, begraafplaatsen of evenementenlocaties.
• Wel als u moet kunnen aantonen dat de server volgens de BIO2 wordt beheerd.
• Wel als u van een gesloten GIS-server naar open source overstapt; zie van ArcGIS naar open source.
• Niet als u alleen landelijke data toont. Die haalt u rechtstreeks bij PDOK, zonder eigen server.
• Niet als uw eigen IT-afdeling GeoServer al beheert met een vast updateproces. Dan is hooguit een eenmalige controle nuttig.

Gebruikt u PDOK-diensten intensief in een eigen viewer, kijk dan naar de afspraken over cachen in PDOK fair use en caching, voordat u besluit dat een eigen server nodig is.

GeoServer-updates kunnen niet wachten omdat er kwetsbaarheden in GeoServer zijn die actief worden misbruikt. Het Amerikaanse CISA houdt een catalogus bij van kwetsbaarheden waarvan misbruik in de praktijk is vastgesteld. Daar staan op 11 oktober 2026 drie GeoServer-kwetsbaarheden in.

Over CVE-2024-36401 schrijft het GeoServer-project in zijn beveiligingsadvies:

Multiple OGC request parameters allow Remote Code Execution (RCE) by unauthenticated users through specially crafted input against a default GeoServer installation due to unsafely evaluating property names as XPath expressions.

Bron: GeoServer, advies GHSA-6jj6-gm7p-fcvv, gelezen op 11 oktober 2026. Het advies geeft de kwetsbaarheid de classificatie kritiek met score 9.8. Een standaardinstallatie was dus zonder inloggen over te nemen.

GeoServer werkt met een vast ritme. Volgens de downloadpagina krijgt een reeks zes maanden stable-releases en daarna zes maanden maintenance-releases. Op 11 oktober 2026 is 3.0.1 de stable-versie, uitgebracht op 14 augustus 2026, en 2.28.5 de maintenance-versie. Beide draaien op Java 17 of 21. Een server die langer dan een jaar niet is bijgewerkt, draait dus op een reeks die geen fixes meer krijgt.

Updates zijn de basis, maar een productie-GeoServer vraagt ook een configuratie die minder blootstelt. De GeoServer-documentatie heeft daarvoor een apart hoofdstuk over draaien in productie.

• Standaardaccount. Volgens de documentatie zijn de standaard beheergegevens gebruikersnaam admin en wachtwoord geoserver. Die gaan bij de eerste configuratie weg, niet later.
• Beheerinterface afschermen. De webinterface voor beheer hoeft niet vanaf internet bereikbaar te zijn. Wij zetten hem achter een VPN of een IP-beperking in de reverse proxy.
• Servicelimieten. De documentatie adviseert een maximum aantal objecten per WFS GetFeature-verzoek en grenzen aan geheugen en tijd voor WMS-verzoeken, zodat één verzoek de server niet plat legt.
• Productielogging. Hoge logniveaus kosten prestaties; in productie draait het logprofiel dat alleen problemen vastlegt.
• Standaardlagen weg. Voorbeeldlagen zoals topp:states horen niet op een publieke server.
• Database alleen-lezen. GeoServer leest uit PostGIS met een databasegebruiker die alleen de gepubliceerde tabellen mag lezen. Schrijven via WFS-T krijgt een eigen, afgeschermde gebruiker.
• Alleen wat nodig is. Diensten en extensies die niet worden gebruikt, gaan uit. Elke extensie is extra code die bijgehouden moet worden.

Hoe de database zelf wordt ingericht en beveiligd, staat bij PostGIS. Voor de server en het netwerk eromheen gelden de afspraken over cloud- en data-infrastructuur.

U bewaakt een kaartdienst door hem regelmatig op dezelfde manier te bevragen als een gebruiker, niet alleen door te kijken of de server aanstaat. Een GeoServer kan draaien terwijl een laag ontbreekt omdat de databaseverbinding is weggevallen. Het script hieronder vraagt de capabilities op, controleert of een laag bestaat en meet de antwoordtijd.

#!/usr/bin/env bash
# Gebruik: ./check-wms.sh <wms-basis-url> <laagnaam> [max-seconden]
set -euo pipefail
url="$1"; laag="$2"; max="${3:-5}"
tmp=$(mktemp); trap 'rm -f "$tmp"' EXIT
read -r code tijd < <(curl -s -o "$tmp" -w '%{http_code} %{time_total}\n' \
  --max-time 30 "${url}?service=WMS&request=GetCapabilities&version=1.3.0")
if [ "$code" != "200" ]; then echo "FOUT: HTTP $code"; exit 2; fi
if ! grep -q "<Name>${laag}</Name>" "$tmp"; then echo "FOUT: laag $laag ontbreekt"; exit 2; fi
if awk -v t="$tijd" -v m="$max" 'BEGIN{exit !(t>m)}'; then
  echo "WAARSCHUWING: antwoord in ${tijd}s (grens ${max}s)"; exit 1; fi
echo "OK: HTTP $code, laag $laag aanwezig, ${tijd}s"

Op 11 oktober 2026 getest tegen de openbare BAG-WMS van PDOK, die geen GeoServer is; het script werkt op elke WMS 1.3.0.

$ ./check-wms.sh https://service.pdok.nl/lv/bag/wms/v2_0 pand
OK: HTTP 200, laag pand aanwezig, 0.844731s
$ ./check-wms.sh https://service.pdok.nl/lv/bag/wms/v2_0 bestaatniet
FOUT: laag bestaatniet ontbreekt

De exitcodes 0, 1 en 2 volgen de conventie van de Nagios-plugin-richtlijnen voor OK, waarschuwing en kritiek, zodat gangbare bewakingssoftware het script direct kan gebruiken. In de praktijk vullen we dit aan met een proef-GetMap per belangrijke laag, de vervaldatum van het TLS-certificaat, vrije schijfruimte en het geheugengebruik van Java. Een snelle handmatige controle van een dienst kan ook met de WMS/WFS-inspector.

In de back-up van een GeoServer horen twee dingen: de data directory met alle configuratie, en de databases met de gegevens zelf. De tegelcache van GeoWebCache hoort er meestal niet in, omdat die opnieuw kan worden opgebouwd uit de bron.

Data directory

De map waarin GeoServer workspaces, stores, lagen, stijlen en beveiligingsinstellingen bewaart. Zonder deze map moet elke laag opnieuw worden ingericht. Wij zetten de configuratie daarnaast in versiebeheer, zodat ook te zien is wie wanneer een laag of stijl wijzigde.

PostGIS-databases

Een dagelijkse dump met pg_dump, bewaard op een andere locatie dan de server. Bij grote of vaak wijzigende datasets komt daar continue archivering bij, zodat herstel tot een bepaald moment mogelijk is.

Bronbestanden

GeoTIFF's, GeoPackages of luchtfoto's die GeoServer direct van schijf leest. Die zijn vaak groot en veranderen weinig, dus een aparte, minder frequente back-up volstaat.

Sleutels en certificaten

De keystore van GeoServer en de TLS-certificaten, versleuteld bewaard en apart van de rest.

Een back-up die nooit is teruggezet, is een aanname. Daarom hoort bij het beheer een periodieke hersteltest op een aparte server. Daarbij zetten we de data directory terug, laden we de database en controleren we met het bewakingsscript of alle lagen weer antwoorden. De uitkomst en de benodigde tijd leggen we vast in het beheerverslag.

Voor overheden is de BIO2 het normenkader waaraan ook de kaartserver moet voldoen. Volgens bio-overheid.nl bevat de Baseline Informatiebeveiliging Overheid 2 de minimale eisen en beveiligingsmaatregelen voor de overheid, gebaseerd op NEN-EN-ISO/IEC 27001 en 27002, met risicomanagement als uitgangspunt. Daarnaast geldt sinds 15 augustus 2026 de Cyberbeveiligingswet (BWBR0052872, volgens wetten.overheid.nl), de Nederlandse uitvoering van de NIS2-richtlijn. Welke verplichtingen uit die wet voor uw organisatie gelden, stelt u vast met uw CISO; voor de kaartserver komt het neer op aantoonbaar beheer.

Voor GeoServer-beheer maakt de BIO2 vooral bewijs belangrijk. Een auditor vraagt niet of de server veilig is, maar hoe u dat weet. Daarom leveren we per periode een verslag met de geïnstalleerde versies, de doorgevoerde updates en de datum daarvan, de uitkomst van de hersteltest, bewakingsmeldingen en hoe die zijn opgelost, en wie toegang had tot de beheerinterface.

Koopt u beheer in, dan helpt de ICO-Wizard op bio-overheid.nl om een set beveiligingseisen voor inkoop en contract samen te stellen. Neem die eisen op in de uitvraag in plaats van ze achteraf te bespreken. Hoe de verantwoordelijkheden tussen gemeente, beheerder en hostingpartij worden verdeeld, beschrijft de pagina over cloud- en data-infrastructuur; meer over wat gemeenten verder moeten regelen staat bij gemeenten.

Een beheertraject begint met vaststellen wat er staat. Bij overgenomen servers is dat vaak meer dan iemand dacht.

1. Opname. Versies van GeoServer, Java, extensies en PostGIS; welke diensten vanaf internet bereikbaar zijn; welke lagen en stijlen bestaan en of ze nog worden gebruikt.
2. Bijwerken en dichtzetten. Eerst op een kopie van de server. We werken bij naar een ondersteunde reeks, verwijderen het standaardaccount en de voorbeeldlagen, schermen de beheerinterface af en stellen servicelimieten in. Daarna volgen dezelfde stappen in productie, in een afgesproken onderhoudsvenster.
3. Configuratie in versiebeheer. De data directory en de serverinstallatie worden reproduceerbaar vastgelegd in uw repository.
4. Bewaking en back-ups. Controles per laag, meldingen naar een afgesproken adres, back-ups op een tweede locatie en een eerste hersteltest.
5. Vast ritme. Updates volgens het releaseritme van GeoServer, met een versnelde route voor kritieke beveiligingsadviezen, en een periodiek verslag.

Omdat configuratie en installatie in uw repository staan, kan een andere partij of uw eigen IT-afdeling het beheer overnemen zonder de server opnieuw in te richten. Wilt u weten wat de server publiceert voor eindgebruikers, lees dan over de GIS-viewer voor gemeenten.