Publish to Web maakt je Power BI-rapport openbaar toegankelijk via een embed-URL. Iedereen met de link — of een zoekmachine die de URL indexeert — kan de data bekijken. Er is geen wachtwoord, geen toegangscontrole en geen manier om te weten wie het rapport bekijkt. Gebruik het nooit voor vertrouwelijke of persoonsgebonden data.
Wat is Publish to Web?
Publish to Web is een ingebouwde functie van Power BI Service waarmee je een rapport publiceert als een openbare webpagina. Power BI genereert een embed-code (iframe) en een directe URL die je op elke website kunt plaatsen.
Het is verleidelijk eenvoudig: twee klikken en je rapport is bereikbaar voor iedereen. Precies daar zit het probleem.
Hoe Publish to Web werkt
- Je opent een rapport in Power BI Service
- Je klikt op File → Embed report → Publish to web
- Power BI genereert een openbare URL en een embed-code
- Iedereen met die URL kan het rapport bekijken — zonder inloggen, zonder wachtwoord
De URL heeft een formaat als app.powerbi.com/view?r=eyJ... met een base64-gecodeerde token. Dat token is niet versleuteld en bevat geen toegangscontrole.
De vijf risico’s
1. Geen toegangscontrole
Er is geen wachtwoord, geen login, geen IP-beperking. Iedereen met de URL ziet alle data in het rapport. Er is geen manier om te beperken wie toegang heeft.
2. Indexering door zoekmachines
De gegenereerde URL is openbaar. Zoekmachines kunnen de URL crawlen en indexeren. Er zijn gedocumenteerde gevallen van bedrijfsdata die via Google vindbaar was — onbedoeld gepubliceerd via Publish to Web.
3. Geen audit trail
Je weet niet wie het rapport heeft bekeken, wanneer of hoe vaak. Er is geen logging. Als er een datalek plaatsvindt, kun je niet reconstrueren wie de data heeft ingezien.
4. Data blijft tot 24 uur beschikbaar na intrekking
Wanneer je de embed-code verwijdert, duurt het tot 24 uur voordat Power BI de cache leegmaakt. In die tussentijd is het rapport nog steeds bereikbaar via de oude URL.
5. Vernieuwd data is direct zichtbaar
Het rapport toont altijd de meest recente data uit je dataset. Als je nieuwe, vertrouwelijke data toevoegt aan de dataset, is die direct zichtbaar voor iedereen die de URL kent — zonder dat je daar invloed op heeft.
Wanneer is Publish to Web wél geschikt?
Er zijn scenario’s waarin Publish to Web prima werkt:
- Openbare data — statistieken die sowieso publiek beschikbaar zijn
- Marketing-dashboards — cijfers die je bewust op je website wilt tonen
- Evenementen — live dashboards op een scherm tijdens een conferentie
- Educatie — voorbeeldrapporten voor trainingen of presentaties
De vuistregel: als je het rapport ook als PDF op straat zou durven leggen, is Publish to Web acceptabel.
Wat Microsoft zelf zegt
In de officiële documentatie vermeldt Microsoft:
“When you use Publish to web, anyone on the Internet can view your published report or visual. Viewing requires no authentication. It includes viewing detail-level data that your reports aggregate.”
En:
“We recommend that you do NOT use Publish to web if the data is sensitive or confidential.”
Dit is geen interpretatiekwestie — Microsoft waarschuwt expliciet.
Publish to Web uitschakelen voor je organisatie
Als Power BI-beheerder kun je voorkomen dat medewerkers Publish to Web gebruiken:
- Ga naar de Power BI Admin Portal
- Navigeer naar Tenant settings
- Zoek Publish to web
- Stel in op Disabled of beperk het tot een specifieke beveiligingsgroep
Dit is een sterk aanbevolen maatregel voor organisaties die met klant- of persoonsgegevens werken.
Het veilige alternatief
Wil je rapporten delen met externen zonder de risico’s van Publish to Web?
- Met licenties: B2B Guest Access via Azure AD (elke ontvanger heeft Pro nodig)
- Zonder licenties: Shareboard BI — toegangscontrole, 2FA, audit logging, eigen huisstijl
Het verschil: bij Shareboard BI weet je precies wie je data bekijkt. Bij Publish to Web weet je het niet — en kun je het niet achterhalen.
Probeer Shareboard BI 14 dagen gratis of lees meer over alle opties voor extern delen.
Veelgestelde vragen
Kan ik een Publish to Web-link weer intrekken?
Ja, maar met een vertraging. Na het verwijderen van de embed-code in Power BI Service duurt het tot 24 uur voordat de cache verloopt en de URL daadwerkelijk stopt met werken. In die tussentijd is de data nog steeds toegankelijk.
Wordt een Publish to Web-link geïndexeerd door Google?
Ja, dat kan. De gegenereerde URL is openbaar en kan worden gecrawld en geïndexeerd door zoekmachines. Er zijn gevallen bekend van bedrijfsdata die via Google vindbaar was dankzij een Publish to Web-link.
Kan ik Publish to Web uitschakelen voor mijn organisatie?
Ja. Als Power BI-beheerder kun je via de Admin Portal onder 'Tenant settings' de optie 'Publish to web' uitschakelen voor de gehele organisatie of beperken tot specifieke beveiligingsgroepen.
Wat is een veilig alternatief voor Publish to Web?
Voor intern delen: gebruik gedeelde werkruimtes met Power BI Pro-licenties. Voor extern delen zonder licenties: gebruik een platform zoals Shareboard BI dat toegangscontrole, 2FA en audit logging biedt.
Heeft Microsoft een officiële waarschuwing over Publish to Web?
Ja. In de officiële documentatie vermeldt Microsoft: 'Publish to web codes can be viewed by anyone on the Internet. Content is not password-protected.' Microsoft raadt het gebruik expliciet af voor vertrouwelijke data.