Vraag iemand wat een SSL-certificaat is en je krijgt uiteenlopende antwoorden, van "het ding waardoor HTTPS werkt" tot "geen idee, maar ik weet dat sites er een nodig hebben". Beide zitten dichter bij de waarheid dan je zou denken. Een SSL-certificaat is het digitale bewijs dat de verbinding tussen de browser van een bezoeker en een webserver versleutelt, en het wordt uitgegeven voor een specifieke domeinnaam. Het bepaalt hoe je site er in browsers uitziet, hoe zoekmachines hem behandelen en of bezoekers hem genoeg vertrouwen om te blijven.
Wat is een SSL-certificaat?
Een SSL-certificaat is een digitaal bestand dat op een webserver is geïnstalleerd en twee dingen doet. Ten eerste versleutelt het de gegevens die tussen de browser van een bezoeker en je server reizen, zodat alles wat wordt verstuurd, zoals formulieren, inloggegevens en betaalgegevens, niet kan worden gelezen door iemand die de verbinding onderschept. Ten tweede controleert het dat de server bij het domein hoort waarvan hij zegt dat hij erbij hoort, zodat bezoekers erop kunnen vertrouwen dat ze op de juiste site zijn.
SSL staat voor Secure Sockets Layer. De techniek is door de jaren heen bijgewerkt en de huidige standaard heet technisch TLS (Transport Layer Security), maar de term SSL is in gebruik gebleven en de meeste mensen, registrars en hostingaanbieders noemen deze certificaten nog steeds SSL-certificaten, ongeacht de onderliggende versie.
Is een certificaat geïnstalleerd en geldig, dan tonen browsers een slotje in de adresbalk en wordt de site via HTTPS geladen. Dat "S" aan het eind van HTTP is wat SSL mogelijk maakt. Zonder certificaat is de verbinding niet versleuteld, toont het adres gewoon HTTP en laten moderne browsers bezoekers een waarschuwing "Niet beveiligd" zien.
Wat betekent HTTPS en hoe laat SSL het werken?
HTTP is het protocol dat browsers gebruiken om webpagina's op te vragen en te ontvangen. HTTPS is hetzelfde protocol met een versleutelde laag erbovenop, geleverd door een SSL-certificaat. Elke keer dat een bezoeker een pagina laadt op een site met HTTPS, voeren zijn browser en de server een korte controle uit. Daarbij kijkt de browser naar het SSL-certificaat, bevestigt dat het geldig is en voor het juiste domein is uitgegeven, en zet een versleutelde verbinding op. Daarna worden alle gegevens tussen de bezoeker en de server onderweg onleesbaar gemaakt.
Voor bezoekers betekent dit dat alles wat ze in een formulier typen, elke pagina die ze bekijken en alle gegevens die de site terugstuurt naar hun browser niet kan worden gelezen door een derde die meekijkt op die verbinding. Voor merkeigenaren betekent het dat de communicatie tussen de site en zijn bezoekers standaard privé en veilig is.
Het slotje in de adresbalk van de browser is de zichtbare bevestiging dat HTTPS actief is en het certificaat geldig. Een groen of grijs slotje betekent dat de verbinding is versleuteld en het certificaat is gecontroleerd. Een gebroken slotje, een doorgestreept slotje of helemaal geen slotje betekent dat de verbinding niet is versleuteld of dat er een probleem is met het certificaat.
Hoe hangt een SSL-certificaat samen met je domein?
Een SSL-certificaat wordt uitgegeven voor een specifieke domeinnaam. Ondertekent een certificeringsinstantie, een vertrouwde organisatie die certificaten uitgeeft en controleert, een certificaat, dan koppelt ze het aan een of meer domeinnamen. Een certificaat dat is uitgegeven voor jouwmerk.nl dekt precies dat domein. Het dekt niet automatisch de www-versie, subdomeinvarianten of een ander domein, tenzij die uitdrukkelijk in het certificaat staan.
Dit is de directe link tussen SSL en je domein. Het certificaat is niet op een algemene server geïnstalleerd. Het is specifiek voor jouw domeinnaam uitgegeven, en de browser controleert of het domein in het certificaat overeenkomt met het domein dat de bezoeker probeert te bereiken. Komen ze niet overeen, dan toont de browser een beveiligingswaarschuwing, ook als het certificaat zelf geldig is.
Het vorige hoofdstuk over je domein beschermen tegen kapen behandelde bedreigingen voor je registratie op accountniveau. SSL werkt op een andere laag en beschermt wat er over de verbinding gebeurt, niet wie de domeinregistratie beheert. Weten wat een domeinnaam is en hoe die werkt als adres van je site, maakt deze samenhang duidelijker. Het domein is de naam waaraan het certificaat is gekoppeld, en zowel de naam als het certificaat moeten in orde zijn om de beveiligde verbinding te laten werken.
Ook de relatie tussen je domein en de plek waar je sitebestanden worden gehost speelt hier mee. Omdat het certificaat is geïnstalleerd op de server waar je site staat en het domein naar die server wijst, moeten die twee op elkaar zijn afgestemd. Het hoofdstuk over domein of hosting legt uit hoe een domeinnaam en een hostingaccount samenhangen, dezelfde infrastructuur waardoor SSL in de praktijk werkt.
Welke soorten SSL-certificaten zijn er?
SSL-certificaten bestaan in drie belangrijke validatieniveaus. Het verschil is hoe grondig de certificeringsinstantie de organisatie achter het domein controleert voordat ze het certificaat uitgeeft.
Domeinvalidatie (DV)
Een certificaat met domeinvalidatie bevestigt dat degene die het aanvraagt het domein echt beheert. De certificeringsinstantie controleert of die persoon toegang heeft tot de DNS-records van het domein of het bijbehorende e-mailpostvak. Er wordt niet gecontroleerd wie de organisatie is en of ze juridisch bestaat. DV-certificaten worden snel afgegeven, vaak automatisch, en zijn het meest gebruikte type voor persoonlijke sites, blogs en websites van kleine merken. Het slotje verschijnt, de verbinding is versleuteld en bezoekers zien HTTPS. Voor de meeste sites is DV genoeg.
Organisatievalidatie (OV)
Een certificaat met organisatievalidatie omvat een controle van het juridisch bestaan en de contactgegevens van de aanvragende organisatie. De certificeringsinstantie kijkt in openbare registers om te bevestigen dat de organisatie echt is en dat de aanvrager bevoegd is het certificaat aan te vragen. OV-certificaten worden meestal gebruikt door gevestigde merken en organisaties die een hoger niveau van geverifieerde identiteit aan hun certificaat willen hangen.
Uitgebreide validatie (EV)
Een certificaat met uitgebreide validatie kent het grondigste controleproces. De certificeringsinstantie controleert de juridische registratie, het fysieke adres, of de organisatie actief is en of de aanvrager het recht heeft het aan te vragen. EV-certificaten werden vroeger in browsers gekoppeld aan een groene adresbalk, al zijn de meeste moderne browsers daar duidelijk van afgestapt. Ze komen het meest voor bij financiële instellingen en webshopplatforms waar vertrouwen voorop staat.
Voor een gewone merksite dekt een DV-certificaat wat je nodig hebt. De versleuteling en het HTTPS-slotje zijn bij alle drie de typen gelijk. Het verschil zit in het niveau van organisatie-identiteit dat is gecontroleerd en aan het certificaat is gehangen.
Wat gebeurt er met je site zonder SSL-certificaat?
Een site zonder SSL-certificaat laadt via gewoon HTTP. Voor bezoekers is het meest zichtbare gevolg de waarschuwing van de browser. Chrome, Firefox, Safari en andere grote browsers tonen het label "Niet beveiligd" in de adresbalk bij elke site die geen HTTPS gebruikt. Op pagina's met formulieren of inlogvelden kunnen browsers een nadrukkelijkere waarschuwing tonen die bezoekers actief ontmoedigt om gegevens in te vullen.
Het vertrouwenssignaal dat dit afgeeft is groot. Bezoekers die het label "Niet beveiligd" zien, haken vaker af voordat ze iets hebben gelezen. Vraagt je site bezoekers contact op te nemen, zich ergens voor aan te melden of iets te kopen, dan raakt het ontbreken van SSL direct hoeveel van hen doorzetten.
Ook het effect op SEO is echt. Google heeft HTTPS bevestigd als rankingsignaal, wat betekent dat sites met SSL een meetbaar voordeel hebben in zoekresultaten ten opzichte van vergelijkbare sites zonder. Dat voordeel is op zichzelf niet enorm, maar samen met de hogere bouncepercentages door browserwaarschuwingen vecht een site zonder SSL op meerdere fronten tegen de stroom in. Dit komt in het onderstaande onderdeel uitgebreider aan bod.
Hoe beïnvloedt SSL je posities in zoekmachines?
Google gebruikt HTTPS sinds 2014 als rankingsignaal. Het signaal zelf geeft een bescheiden boost, maar de indirecte gevolgen van geen SSL zijn vaak groter dan het signaal zelf. Een site die browserbeveiligingswaarschuwingen veroorzaakt, krijgt hogere bouncepercentages, minder tijd op de site en minder conversies. Al die gedragssignalen werken na verloop van tijd door in je zoekprestaties.
De crawlers van Google indexeren ook liever de HTTPS-versies van pagina's. Draait je site zonder goede configuratie op zowel HTTP als HTTPS, dan krijg je problemen met dubbele content, verdeelde linksignalen en verwarring bij het crawlen. Met SSL goed geïnstalleerd en ingesteld, met een redirect van HTTP naar HTTPS, houd je al die signalen gebundeld op één versie van je site.
Praktisch gezien is HTTPS tegenwoordig de basisverwachting voor elke site die wil scoren en serieus genomen wil worden door bezoekers. Het is minder een concurrentievoordeel dan de prijs van toegang.
Hoe krijg je een SSL-certificaat?
Er zijn drie hoofdmanieren om een SSL-certificaat voor je domein te krijgen, en de juiste hangt af van waar je site wordt gehost en hoe je hosting is opgezet.
Via je hostingaanbieder of websiteplatform
Wordt je site gehost op een platform of bij een hostingaanbieder, dan is de eenvoudigste weg via hen. Veel hosts en websiteplatforms bieden SSL als onderdeel van hun aanbod en regelen de installatie automatisch. Koppel je je domein aan je hostingaccount, dan wordt het certificaat uitgegeven en ingesteld zonder dat je iets handmatig hoeft te doen. Dit is de weg met de minste wrijving en de minste configuratiefouten.
Via je domeinregistrar
Sommige domeinregistrars bieden SSL-certificaten als aanvulling op domeinregistratie. Je koopt het certificaat in hetzelfde dashboard waar je domein is geregistreerd en installeert het daarna op je server of volgt de instructies van de registrar. Het proces is handmatiger dan SSL via een host die het automatiseert, maar het is een eenvoudige optie voor mensen die hun eigen server beheren. Het hoofdstuk over een domein registreren is een goede referentie om te begrijpen wat registrars gewoonlijk naast registratie aanbieden.
Gratis SSL via Let's Encrypt
Let's Encrypt is een gratis, geautomatiseerde certificeringsinstantie die DV-certificaten kosteloos uitgeeft. Het is opgericht om SSL voor elke site op internet toegankelijk te maken, en dat is gelukt. De meeste webhosts ondersteunen Let's Encrypt rechtstreeks of via integraties en stellen het vaak automatisch in als je een domein koppelt. De certificaten worden elke 90 dagen automatisch vernieuwd, waardoor het risico wegvalt dat een certificaat verloopt en browserwaarschuwingen veroorzaakt.
Wanneer kies je een gratis SSL-certificaat en wanneer een betaald?
Voor de meeste merkwebsites dekt een gratis Let's Encrypt-certificaat alles wat nodig is. De versleuteling is gelijk aan die van betaalde certificaten. Het slotje verschijnt. Het HTTPS-protocol werkt. Bezoekers zien een beveiligde site. Ondersteunt je host Let's Encrypt en stelt hij het automatisch in, dan is er geen reden om voor een certificaat te betalen om dezelfde bescherming op DV-niveau te krijgen.
Betaalde certificaten zijn zinvol in specifieke situaties. Heb je een OV- of EV-certificaat nodig voor organisatievalidatie, dan heb je een betaald certificaat nodig, omdat Let's Encrypt alleen DV uitgeeft. Beheer je een grote webwinkel, een financiële dienst of een platform waar de identiteit van de organisatie achter de site een belangrijke vertrouwensfactor voor gebruikers is, dan is de extra verificatie van OV of EV de kosten waard.
Betaalde certificaten hebben vaak ook extra's zoals een garantie, een financiële waarborg voor het onwaarschijnlijke geval dat een certificaatfout een beveiligingsprobleem veroorzaakt, en uitgebreidere klantenservice. Voor een kleine merksite of een contentgerichte website voegen deze extra's zelden praktische waarde toe. Voor een site met veel transacties kunnen de garantie en de toegang tot support wel relevant zijn.
Verlenging van een SSL-certificaat en wat er gebeurt als het verloopt
SSL-certificaten hebben een vervaldatum. Standaardcertificaten zijn maximaal 13 maanden geldig (ongeveer 397 dagen). Verloopt een certificaat, dan tonen browsers onmiddellijk beveiligingswaarschuwingen aan elke bezoeker, ook al zag de site er de dag ervoor nog goed uit. Het slotje verdwijnt, het label "Niet beveiligd" verschijnt en bezoekers zien opvallende foutpagina's die waarschuwen dat het certificaat van de site is verlopen.
Zo verlies je snel het vertrouwen van bezoekers en organisch verkeer. Waarschuwingen over verlopen certificaten worden ook opgepikt door monitoringtools en kunnen meldingen geven vanuit Search Console of uptimemonitoring als je die hebt ingesteld.
De praktische oplossing is dezelfde als bij het verlopen van een domein: automatiseer de verlenging. Let's Encrypt-certificaten worden elke 90 dagen automatisch vernieuwd als de host het verlengingsproces goed heeft ingesteld. Ook veel aanbieders van betaalde certificaten bieden automatische verlenging. Beheer je je certificaat zelf, zet dan ruim voor de vervaldatum een herinnering in je agenda, zodat je tijd hebt om te verlengen en opnieuw te installeren zonder dat de dekking onderbroken wordt.
Wat is een wildcard-SSL-certificaat?
Een standaard SSL-certificaat dekt een specifiek domein en eventueel de www-versie. Een wildcardcertificaat dekt het hoofddomein en al zijn subdomeinen tegelijk. Een wildcard voor jouwmerk.nl dekt ook shop.jouwmerk.nl, blog.jouwmerk.nl, app.jouwmerk.nl en elk ander subdomein dat je maakt, zonder dat je voor elk een apart certificaat nodig hebt.
Wildcardcertificaten zijn handig voor merken die meerdere diensten of onderdelen van een site op verschillende subdomeinen draaien. Het hoofdstuk over eigen domeinen of subdomeinen behandelt wanneer subdomeinen zinvol zijn en hoe ze zich verhouden tot je hoofddomein, de context waarin wildcardcertificaten relevant worden.
Voor een eenvoudige merksite op één domein met een www-versie is een standaardcertificaat genoeg. Een wildcard is een praktische stap omhoog als je domeinstructuur meerdere actieve subdomeinen heeft.
Zo regelt WEMASY SSL
WEMASY heeft SSL op alle sites die op het platform worden gehost. Koppel je een domein aan je WEMASY-site, dan wordt automatisch een SSL-certificaat uitgegeven en ingesteld. De HTTPS-redirect staat standaard aan, dus het domein werkt veilig zonder handmatige instellingen. De verlenging van het certificaat wordt aan de kant van het platform geregeld, dus er is geen vervaldatum om bij te houden en geen verlengingsproces om te beheren.
Voor domeinen die via WEMASY zijn geregistreerd of gekoppeld, dekt het certificaat het domein dat je hebt ingesteld. Wat elk abonnement bevat, zie je op de prijzenpagina van WEMASY.
Veelgestelde vragen
Beschermt een SSL-certificaat mijn site tegen hacken?
Een SSL-certificaat versleutelt de gegevens die tussen de browser van een bezoeker en je server reizen. Het beschermt de bestanden, database of code van je site niet tegen ongeoorloofde toegang. Een site kan een geldig SSL-certificaat hebben en toch kwetsbaar zijn voor aanvallen op de server, het contentbeheersysteem of de applicatie zelf. SSL pakt één specifiek risico aan, het onderscheppen van gegevens onderweg, en niets daarbuiten. Je platform en software up-to-date houden pakt de bredere categorie sitebeveiliging aan. Met de websitebouwer van WEMASY zet je dit direct op in je website.
Kan ik SSL op één pagina hebben en niet op andere?
Nee. Een SSL-certificaat geldt voor het hele domein, niet voor losse pagina's. Zodra HTTPS is ingesteld en HTTP-verzoeken naar HTTPS worden doorgestuurd, laadt elke pagina op het domein via een beveiligde verbinding. Je kunt niet selectief versleuteling toepassen op alleen bepaalde pagina's op hetzelfde domein. Sommige sites laden gemengde content: HTTPS-pagina's waarvan bronnen zoals afbeeldingen of scripts nog via gewoon HTTP laden. Dat is een configuratieprobleem en geen bewuste opzet. Browsers markeren dit als een beveiligingsprobleem.
Gaan mijn bestaande links stuk als ik van HTTP naar HTTPS ga?
Externe links naar de HTTP-versie van je URL's blijven werken als je een goede 301-redirect instelt van HTTP naar HTTPS. Een 301-redirect stuurt bezoekers en zoekmachines automatisch van het oude HTTP-adres naar de HTTPS-versie, waarbij het grootste deel van de linkwaarde behouden blijft. Zonder redirect leiden HTTP-links naar een onversleutelde versie van je site of naar een foutmelding, afhankelijk van je serverconfiguratie. De redirect goed instellen is een standaardstap bij elke SSL-installatie.
Heb ik een apart SSL-certificaat nodig voor elke domeinextensie die ik bezit?
Ja. Een SSL-certificaat wordt voor een specifiek domein uitgegeven. Bezit je jouwmerk.com en jouwmerk.net als aparte registraties, dan heeft elk een eigen certificaat nodig. Het certificaat voor jouwmerk.com geldt niet voor jouwmerk.net. De domeinextensie hoort bij wat het certificaat dekt. Het hoofdstuk over wat een domeinextensie is legt uit hoe TLD's werken als aparte identificaties, wat helpt om te begrijpen waarom elk domein een eigen certificaat nodig heeft.
Wat is het verschil tussen SSL en domeinprivacybescherming?
Dit zijn twee aparte dingen die verschillende zorgen aanpakken. SSL versleutelt de verbinding tussen de browser van een bezoeker en je server en beschermt gegevens onderweg. Domeinprivacybescherming (WHOIS-privacy) verbergt de persoonlijke contactgegevens van de domeinhouder voor de openbare WHOIS-database, zodat je naam en adres niet zichtbaar zijn voor iedereen die het domein opzoekt. De ene beschermt bezoekersgegevens tijdens het browsen, de andere de persoonlijke gegevens van de houder tegen openbaar opzoeken. Beide zijn de moeite waard, maar ze dienen totaal verschillende doelen.
Mijn SSL-certificaat staat als geldig, maar bezoekers zien toch een beveiligingswaarschuwing. Wat kan dat zijn?
De meest voorkomende oorzaak is gemengde content. Dat gebeurt als een HTTPS-pagina een of meer bronnen via HTTP laadt, zoals een afbeelding, een script of een stylesheet die op een niet-beveiligde URL staat. De browser markeert de pagina als onveilig omdat niet alle content is versleuteld. Zoek in de broncode van je site naar links of ingesloten bronnen die beginnen met "http://" in plaats van "https://" en pas ze aan naar hun beveiligde versies. De ontwikkelaarstools van de meeste browsers laten gemengde bronnen direct zien.
Het volgende hoofdstuk gaat over 301-redirects: wat ze zijn, hoe ze werken en wanneer je er een nodig hebt om verkeer en linkwaarde van de ene URL naar de andere te verplaatsen.