Beveiligingscertificaten voor websites hebben meerdere namen, en daar begint de meeste verwarring. Een beveiligingscertificaat voor een website is hetzelfde als een SSL-certificaat, een TLS-certificaat of het ding dat het hangslotje in de adresbalk van je browser zet. Andere termen, hetzelfde ding. Als je dat doorhebt, wordt de rest over beveiligingscertificaten een stuk eenvoudiger.
Het hangslotje in de adresbalk van een browser, HTTPS aan het begin van een webadres, de waarschuwing "Niet veilig" op sites die het niet hebben: het komt allemaal terug op één ding, een beveiligingscertificaat voor een website. Een volledige uitleg over hoe dit samenhangt met het bredere onderwerp van een site veilig houden, vind je in het artikel over waarom websitebeveiliging belangrijk is.
Wat is een beveiligingscertificaat voor een website?
Een beveiligingscertificaat voor een website is een klein bestand op een webserver dat twee dingen doet. Het husselt de gegevens die tussen de browser van de bezoeker en je site worden verstuurd door elkaar, zodat niemand anders ze onderweg kan lezen, en het bewijst dat je site is wie hij zegt te zijn. Zijn die twee dingen op orde, dan toont de browser het hangslotje en het voorvoegsel HTTPS in de adresbalk.
Wat het doet in gewone taal
- Als een bezoeker een contactformulier invult, inlogt of betaalgegevens invoert, reist die informatie van zijn browser naar je server. Zonder certificaat reist ze als gewone tekst die iedereen op hetzelfde netwerk kan lezen
- Met een certificaat wordt dezelfde informatie door elkaar gehusseld voordat ze de browser verlaat, en kan ze pas weer leesbaar worden gemaakt als ze bij je server aankomt. Niemand ertussen kan haar lezen
- Het certificaat bevat ook het bewijs dat je domein van jou is, wat de browser vertelt dat hij met de echte site praat en niet met een imitatie
De verschillende namen
- SSL-certificaat is de meest gebruikte term. SSL staat voor Secure Sockets Layer, de oorspronkelijke naam van de techniek. Technisch is het vervangen door een nieuwere versie die TLS heet (Transport Layer Security), maar bijna iedereen gebruikt nog steeds de term SSL
- TLS-certificaat is hetzelfde, met de bijgewerkte naam. Noemt iemand een TLS-certificaat, dan bedoelt hij hetzelfde als een SSL-certificaat
- HTTPS-certificaat wordt informeel gebruikt, omdat HTTPS het zichtbare teken is dat er een certificaat is
- Beveiligingscertificaat voor een website is de versie in gewone taal, voor als je het uitlegt aan iemand zonder technische achtergrond
- Al deze namen wijzen naar hetzelfde ding. Het certificaat zelf verandert niet door hoe je het noemt
Een diepere blik op hoe SSL-certificaten technisch werken, vind je in het artikel over wat een SSL-certificaat is en hoe het werkt.
Wat een beveiligingscertificaat voor een website bewijst
Eigendom van het domein
Een basis-beveiligingscertificaat, een certificaat met domeinvalidatie, bewijst één ding: dat wie het certificaat heeft geïnstalleerd, het domein beheert. De certificeringsinstantie (het bedrijf dat het certificaat uitgeeft) controleert of het domein van jou is voordat ze het certificaat afgeeft. Het hangslotje dat je in de adresbalk van een browser ziet, betekent dat die controle is geslaagd.
Dit is het type certificaat dat voor de overgrote meerderheid van de websites werkt. Bedrijfssites, blogs, portfolio's, dienstensites en webwinkels gebruiken allemaal certificaten met domeinvalidatie. Je krijgt het gratis, het is op de meeste platforms in minuten ingesteld en het geeft dezelfde bescherming van gegevens als duurdere certificaattypen.
Identiteit van de organisatie
Certificaten van een hoger niveau gaan verder. Een certificaat met organisatievalidatie of uitgebreide validatie vraagt dat de certificeringsinstantie de juridische identiteit van het bedrijf achter de site controleert, en niet alleen dat iemand het domein beheert.
Banken, overheidssites en grote financiële platforms gebruiken deze meestal, omdat hun bezoekers geverifieerd bewijs moeten zien van wie de site beheert. Voor een gewone bedrijfswebsite zijn de certificaten van een hoger niveau niet nodig. De versleuteling is identiek. Het enige verschil is hoeveel informatie over de organisatie door de uitgever is gecontroleerd.
Hoe je weet dat een site een beveiligingscertificaat heeft
Het hangslotje in de adresbalk
Elke grote browser toont een hangslotje in de adresbalk als een site een geldig beveiligingscertificaat heeft. Klik je op het hangslotje, dan zie je details over het certificaat, zoals wie het heeft uitgegeven en wanneer het verloopt. Geen hangslotje betekent geen geldig certificaat.
HTTPS in het adres
De S in HTTPS staat voor Secure (veilig). Hij verschijnt alleen in de adresbalk als er een geldig certificaat is en de verbinding tussen browser en server versleuteld is. Een site met een adres dat met gewoon HTTP begint, heeft geen actief certificaat, ook als er ooit een is geïnstalleerd. Een volledige uitleg over wat HTTPS betekent en hoe het bezoekers beschermt, vind je in het artikel over wat HTTPS is en hoe het je website beschermt.
Wat er gebeurt op sites zonder certificaat
- Browsers tonen een waarschuwing "Niet veilig" in de adresbalk bij elke site die via gewone HTTP wordt geleverd
- Op pagina's met inlogvelden of formulieren tonen sommige browsers een nadrukkelijkere waarschuwing dat de verbinding niet privé is
- Bezoekers die deze waarschuwingen zien, vooral op een pagina die om hun gegevens vraagt, gaan veel minder vaak door
- Zoekmachines gebruiken HTTPS als rankingsignaal. Een site zonder geldig certificaat heeft in zoekresultaten een nadeel ten opzichte van gelijkwaardige sites die er wel een hebben
Waarom elke website een beveiligingscertificaat nodig heeft
Vertrouwen van bezoekers
Het hangslotje is een basissignaal geworden dat een site veilig te gebruiken is. Bezoekers die online winkelen, formulieren invullen of inloggen op accounts, hebben geleerd ernaar te kijken. Een site zonder hangslotje ziet er niet alleen minder veilig uit. Hij ziet eruit alsof er helemaal niet over beveiliging is nagedacht, en die indruk is moeilijker weg te krijgen dan de meeste site-eigenaren verwachten.
Bij pagina's met contactformulieren, accountlogins of welke vorm van afrekenen dan ook is het ontbreken van HTTPS een directe reden voor bezoekers om te stoppen en weg te gaan. Het certificaat beschermt niet alleen de gegevens. Het houdt mensen op de pagina.
Positie in zoekresultaten
Zoekmachines zien HTTPS als rankingsignaal. Pagina's die via HTTPS worden geleverd, hebben een voordeel boven pagina's via gewone HTTP als al het andere gelijk is. Bij concurrerende zoektermen kan dat voordeel echt verschil maken in waar een pagina verschijnt. Een site zonder certificaat voldoet ook niet aan de normen voor paginaervaring die zoekmachines gebruiken bij hun beoordeling van de ranking.
Bescherming van gegevens
Elke site die gegevens van bezoekers verzamelt, via een contactformulier, een inlogpagina of een afrekenpagina, verwerkt persoonsgegevens. Zonder certificaat reizen die gegevens als gewone tekst over het netwerk. Een certificaat zorgt dat ze worden gehusseld voordat ze de browser verlaten, zodat ze niet leesbaar zijn als ze onderweg worden onderschept.
In veel landen geeft het verzamelen van persoonsgegevens zonder basisbeveiliging de site-eigenaar juridische risico's. Een beveiligingscertificaat voor een website is de basismaatregel om gegevens onderweg te beschermen en te voldoen aan de minimumnorm die privacywetgeving verwacht.
Hoe krijg je een beveiligingscertificaat voor een website?
Via je hostingprovider
Veel beheerde hostingplatforms en websitebouwers leveren een beveiligingscertificaat mee in elk abonnement. Is dat zo, dan wordt het certificaat meestal automatisch geïnstalleerd zodra de site of het domein wordt gekoppeld. Je hoeft niets apart te kopen of in te stellen.
Host je al een site en weet je niet zeker of er een certificaat is, bezoek de site dan en kijk of het adres met HTTPS begint en of het hangslotje verschijnt. Zo ja, dan is het certificaat al actief. Zo nee, kijk dan in het hostingpaneel of neem contact op met je provider om te vragen of er een certificaat is inbegrepen of moet worden toegevoegd.
Apart aanvragen
Gratis beveiligingscertificaten zijn te krijgen bij vertrouwde certificeringsinstanties voor sites op zelfbeheerde hosting. De controle is geautomatiseerd en duurt minuten. Het certificaat is 90 dagen geldig en kan zo worden ingesteld dat het automatisch wordt vernieuwd, zodat het niet onverwacht verloopt.
Er zijn ook betaalde certificaten, die meestal een langere geldigheid hebben. Voor een standaardcertificaat met domeinvalidatie is de gratis optie in alle opzichten gelijkwaardig. De betaalde route is vooral relevant voor certificaten met organisatievalidatie of uitgebreide validatie, waarvoor een handmatige identiteitscontrole nodig is.
Stap-voor-stapuitleg over het aanvragen en installeren van een certificaat vind je in het artikel over hoe je een SSL-certificaat voor je website krijgt.
Hoe WEMASY beveiligingscertificaten voor websites regelt
SSL-certificaten zitten in elk WEMASY-abonnement en worden automatisch toegepast. Als je een site maakt of een eigen domein koppelt, wordt het certificaat uitgegeven en geïnstalleerd zonder dat de site-eigenaar iets hoeft te doen. Er is niets te kopen, niets in te stellen en geen vernieuwingsproces om te beheren.
Alle sites op WEMASY draaien vanaf dag één standaard op HTTPS. Waarschuwingen voor gemengde inhoud zijn geen zorg, omdat alle bestanden die via het platform worden geleverd HTTPS gebruiken. Redirects van HTTP naar HTTPS zijn op platformniveau ingesteld, zodat bezoekers altijd op de beveiligde versie van de site terechtkomen, hoe ze er ook komen.
Bekijk wat erbij zit op de WEMASY Websitebouwer, of vergelijk de abonnementen op de prijzenpagina.
Veelgestelde vragen
Wat is een beveiligingscertificaat voor een website?
Een beveiligingscertificaat voor een website is een bestand op een webserver dat twee dingen doet: het husselt gegevens die tussen de browser van een bezoeker en de site worden verstuurd door elkaar, zodat ze onderweg niet leesbaar zijn, en het bewijst dat de site is wie hij zegt te zijn. Is er een geldig certificaat, dan tonen browsers een hangslotje in de adresbalk en begint het siteadres met HTTPS. Het is hetzelfde als een SSL-certificaat, een TLS-certificaat of een HTTPS-certificaat, alleen met andere namen beschreven. Met de Websitebouwer van WEMASY stel je dit direct op je eigen website in.
Is een beveiligingscertificaat voor een website hetzelfde als een SSL-certificaat?
Ja. SSL-certificaat, TLS-certificaat, HTTPS-certificaat en beveiligingscertificaat voor een website wijzen allemaal naar hetzelfde. SSL (Secure Sockets Layer) is de oudere naam voor de techniek. TLS (Transport Layer Security) is de bijgewerkte versie die het heeft vervangen. De term SSL is blijven hangen, dus de meeste mensen en providers gebruiken hem nog, ook al is TLS de huidige standaard. Hoe je het ook noemt, het certificaat werkt hetzelfde en doet hetzelfde werk.
Heeft mijn website een beveiligingscertificaat nodig?
Ja. Elke openbare website heeft er een nodig, niet alleen sites die betalingen of gevoelige gegevens verwerken. Browsers tonen een waarschuwing "Niet veilig" bij sites zonder certificaat, wat het vertrouwen van bezoekers verlaagt en mensen kan weerhouden om formulieren in te vullen of verder te browsen. HTTPS is ook een bevestigd rankingsignaal, dus sites zonder certificaat hebben een nadeel in zoekresultaten. Elke site die via formulieren, logins of reacties gegevens van bezoekers verzamelt, moet minimaal een certificaat hebben.
Hoe weet ik of mijn website een beveiligingscertificaat heeft?
Bezoek je site en kijk naar de adresbalk. Begint het adres met HTTPS en verschijnt er een hangslotje, dan is er een geldig certificaat. Begint het adres met gewone HTTP, of toont de browser het label "Niet veilig", dan ontbreekt het certificaat of is het niet goed ingesteld. Klik je op het hangslotje, dan zie je details over het certificaat, zoals wie het heeft uitgegeven en wanneer het verloopt.
Hoe krijg ik een beveiligingscertificaat voor mijn website?
Kijk eerst naar je hostingabonnement. Veel hostingproviders en websitebouwers leveren automatisch een certificaat mee. Zit het in je hosting, dan is het certificaat misschien al geïnstalleerd. Zo niet, dan zijn gratis certificaten met domeinvalidatie te krijgen bij vertrouwde certificeringsinstanties en in minuten in te stellen. Een stap-voor-stapgids over het aanvragen en installeren van een certificaat vind je in het artikel over hoe je een SSL-certificaat voor je website krijgt.
Wat gebeurt er als mijn beveiligingscertificaat verloopt?
Browsers tonen meteen een waarschuwing over het hele scherm als het certificaat van een site is verlopen. Bezoekers zien een bericht dat de verbinding niet privé is, en de meesten gaan er niet voorbij. De site is dan feitelijk onbereikbaar voor de meeste bezoekers tot het certificaat is vernieuwd. Automatische vernieuwing instellen voorkomt dit helemaal. Op beheerde hostingplatforms gaat vernieuwing automatisch. Op zelfbeheerde servers is automatische vernieuwing instellen op het moment dat het certificaat voor het eerst wordt ingesteld de betrouwbaarste manier om te voorkomen dat een verloopdatum ongemerkt voorbijgaat.