Wat moet je testen voordat je app live gaat?

Testen is controleren of je app doet wat hij moet doen, ook in situaties die je niet had bedacht. Bij vibecoden is dat extra belangrijk: de AI test zijn eigen werk meestal niet zoals een gebruiker dat doet, en zegt soms dat iets werkt terwijl dat niet zo is.

Er zijn twee soorten testen:

• Handmatig testen. Jij of iemand anders klikt door de app en kijkt of alles klopt.
• Automatische tests. Stukjes code die je app controleren, elke keer als er iets verandert.

Voor de eerste lancering is goed handmatig testen het belangrijkst. Automatische tests worden waardevol zodra je app groeit en je vaak wijzigingen maakt.

Het begint bij de belangrijkste handelingen van je app. Voor een boekingsapp bijvoorbeeld: account aanmaken, inloggen, afspraak maken, afspraak verzetten, afspraak annuleren, uitloggen.

Elke handeling hoort in deze situaties getest te zijn:

• Het gewone pad. Alles goed ingevuld. Werkt het?
• Verkeerde invoer. Lege velden, een e-mailadres zonder @, een datum in het verleden, heel lange tekst.
• Dubbel. Twee keer snel op een knop klikken. Ontstaan er dan twee afspraken of twee betalingen?
• Halverwege stoppen. Het venster sluiten tijdens het opslaan, of terug klikken in de browser.
• Op een telefoon. Met een klein scherm en een trage verbinding.
• Als nieuwe gebruiker. Zonder dat je al ingelogd bent of gegevens hebt.

Een voorbeeld van wat je zo vindt: een gebruiker annuleert een afspraak, klikt op de terugknop en ziet de afspraak weer staan alsof hij nog geldt. Geen ramp, maar wel verwarrend, en zonder test merk je het pas als een klant belt.

Wat getest is, hoort op een vaste lijst te staan. Dan kan dezelfde controle bij elke nieuwe versie opnieuw.

Veel fouten in de beveiliging zie je niet als je gewoon door je app klikt: alles werkt, ook als gebruikers bij elkaars gegevens kunnen. Een beveiligingstest kijkt daarom gericht naar een paar dingen:

• Kan een gebruiker bij gegevens van een ander? Via de lijst in de app, maar ook door het adres van een pagina te kopiëren. Zie Inloggen en gebruikers.
• Gaan pagina's achter de inlog (opent in een nieuw tabblad)¹ ook open als je uitgelogd bent?
• Kan een gewone gebruiker in de beheeromgeving komen? Bijvoorbeeld door /admin achter het adres te typen.
• Staan er geheime sleutels in de browser? Zoals een sleutel met service_role (opent in een nieuw tabblad)² erin. Wat in de browser staat, kan iedereen vinden.

Dat nalopen doen we voor je. Wat er op het spel staat, lees je in Is mijn app veilig?

Ja, een AI kan automatische tests schrijven, bijvoorbeeld voor het maken en annuleren van een afspraak. Maar er zijn twee valkuilen: een AI kan tests schrijven die altijd slagen, en kan een test aanpassen in plaats van de fout te herstellen. Dan lijkt alles in orde terwijl dat niet zo is.

Iemand moet dus nagaan wat elke test echt controleert. Bovendien maakt niet elke bouwer in de browser het makkelijk om tests te draaien. In Cursor of Claude Code gaat het meestal eenvoudiger. Zie Welke tool past bij jou?

Een testomgeving is een kopie van je app, los van de versie die je gebruikers gebruiken, met eigen testgegevens. Daarin kun je dingen stukmaken zonder dat iemand er last van heeft.

Veel hostingdiensten maken voor elke wijziging automatisch een voorbeeldadres (opent in een nieuw tabblad)³. Heeft je app een database, dan hoort de testversie een eigen database te hebben, zodat testgegevens niet tussen echte gegevens komen. Zie Hosting en een eigen domein.

Tot slot: laat drie tot vijf mensen je app gebruiken voordat je hem breed deelt. Waar ze vastlopen, zie je het best door mee te kijken zonder iets uit te leggen.