Het hangslotje in de adresbalk van een browser is een van de bekendste symbolen op het web. Een SSL-certificaat zorgt dat het er staat, en wat het doet gaat verder dan de meeste bezoekers denken. Het bepaalt of gegevens die via je site worden verstuurd versleuteld reizen, of als leesbare tekst die iedereen kan lezen die de verbinding onderschept. Als je begrijpt hoe SSL werkt, en waar het tekortschiet, ga je anders na denken over het beschermen van je bezoekers.
SSL is de techniek waarmee HTTPS mogelijk is. Als de browser van een bezoeker verbinding maakt met een website met een geldig SSL-certificaat, stelt hij een versleutelde verbinding in voordat er gegevens worden uitgewisseld. Het hangslotje, het voorvoegsel HTTPS in de adresbalk en het ontbreken van een waarschuwing "Niet veilig" komen allemaal voort uit het feit dat het certificaat aanwezig en geldig is. Voor context over waarom beveiliging voor je hele website belangrijk is, lees je het artikel over waarom websitebeveiliging belangrijk is.
Wat doet een SSL-certificaat eigenlijk?
Een SSL-certificaat heeft twee aparte functies tegelijk. Het versleutelt gegevens onderweg en het controleert de identiteit van de website.
Versleuteling
- Versleuteling betekent dat alle gegevens tussen de browser en de server tijdens het versturen worden omgezet in een onleesbare vorm
- Alleen de bedoelde ontvanger, de browser of de server, heeft de sleutel om ze weer leesbaar te maken
- Zonder versleuteling reizen formulieren, inloggegevens en betaalgegevens als gewone tekst over netwerken, en die kan worden gelezen als ze worden onderschept
Authenticatie
- Een SSL-certificaat wordt uitgegeven door een certificeringsinstantie, een onafhankelijke organisatie die de identiteit van een website controleert voordat ze het certificaat afgeeft
- Die controle bevestigt dat het domein waarvoor het certificaat geldt, wordt beheerd door de organisatie die zegt de eigenaar te zijn
- Controleert een browser het certificaat, dan bevestigt hij zowel dat de verbinding versleuteld is als dat de site is wie hij zegt te zijn, en geen nabootser
Hoe werkt SSL-versleuteling?
Het versleutelen gebeurt automatisch en onzichtbaar op het moment dat een browser verbinding maakt met een website. Het gaat via een reeks stappen die de TLS-handshake heet. TLS, oftewel Transport Layer Security, is de moderne naam voor het protocol dat oorspronkelijk SSL heette.
De stappen van de verbinding
- De browser vraagt om een beveiligde verbinding en de server antwoordt met zijn SSL-certificaat
- De browser controleert het certificaat bij de certificeringsinstantie die het heeft uitgegeven, en bevestigt dat het geldig is en niet is verlopen
- Beide kanten spreken een versleutelingsmethode af en wisselen sleutels uit, zodat er een beveiligd kanaal ontstaat
- Alle gegevens die daarna worden verstuurd, zijn gedurende de sessie versleuteld
Wat de versleuteling beschermt
- Gegevens van contactformulieren, zoals namen, e-mailadressen en berichten
- Inloggegevens, zoals gebruikersnamen en wachtwoorden
- Gegevens van betaalkaarten en factuurgegevens
- Alle andere invoer die een bezoeker via je website verstuurt
Wat SSL niet beschermt
- SSL versleutelt gegevens onderweg. Het beschermt geen gegevens die onveilig op de server zijn opgeslagen nadat ze zijn ontvangen
- Een website met een SSL-certificaat kan nog steeds worden gehackt als de server zelf kwetsbaarheden heeft
- SSL is één laag van websitebeveiliging, geen complete oplossing
Welke soorten SSL-certificaten zijn er?
SSL-certificaten verschillen in hoe grondig de certificeringsinstantie de identiteit controleert voordat ze het certificaat uitgeeft.
Domeinvalidatie
- De certificeringsinstantie controleert alleen of de aanvrager het domein beheert
- Het proces is geautomatiseerd en certificaten worden snel uitgegeven
- Certificaten met domeinvalidatie volstaan voor blogs, informatieve websites en de meeste websites die niet zelf betalingen op de site verwerken
Organisatievalidatie
- De certificeringsinstantie controleert zowel het domein als het juridische bestaan van de organisatie die het certificaat aanvraagt
- Certificaten met organisatievalidatie worden vaker gebruikt door bedrijven die geverifieerde organisatiegegevens bij het certificaat willen tonen
Uitgebreide validatie
- Bij uitgebreide validatie (extended validation) wordt de identiteit het grondigst gecontroleerd, met juridische, fysieke en operationele controles van de organisatie
- Vroeger hoorde hier een groene adresbalk in browsers bij, maar dat visuele verschil is in moderne browsers verdwenen
- Certificaten met uitgebreide validatie worden meestal gebruikt door financiële instellingen en grote webwinkelplatforms
Wildcard- en multidomeincertificaten
- Een wildcardcertificaat dekt een domein en al zijn subdomeinen met één certificaat
- Een multidomeincertificaat dekt meerdere losse domeinen met één certificaat
- Dit is handig voor organisaties met meerdere sites of subdomeinen, zonder voor elk een apart certificaat aan te vragen
Heeft elke website een SSL-certificaat nodig?
Ja. HTTPS is niet alleen nodig voor websites die betalingen aannemen of gevoelige gegevens verwerken. Het geldt voor elke openbare website, om drie redenen.
Waarschuwingen van browsers
- Browsers tonen het label "Niet veilig" in de adresbalk bij elke website die via HTTP wordt geleverd
- Bij pagina's met formulieren tonen sommige browsers een duidelijke waarschuwing voordat een bezoeker iets verstuurt
- Zulke waarschuwingen verlagen het vertrouwen en houden bezoekers ervan af om met de pagina te werken
Positie in zoekresultaten
- HTTPS is een bevestigd rankingsignaal. Sites die via HTTPS worden geleverd, hebben een voordeel boven gelijkwaardige pagina's via HTTP
- Zoekmachines verlagen ook de zichtbaarheid van sites met actieve beveiligingswaarschuwingen in de resultaten
Bescherming van bezoekersgegevens
- Ook een website met alleen een contactformulier verzamelt bezoekersgegevens. Zonder HTTPS worden die gegevens onversleuteld verstuurd
- In veel regio's eist de privacywetgeving dat persoonsgegevens veilig worden verwerkt, en dat omvat bescherming tijdens het versturen
Hoe krijg je een SSL-certificaat?
Via je hostingprovider
- Veel hostingproviders leveren SSL-certificaten mee in hun hostingpakketten
- In dat geval wordt het certificaat automatisch geïnstalleerd en vernieuwd, zonder dat de site-eigenaar iets hoeft te doen
- Dit is voor de meeste websites de eenvoudigste optie
Via een certificeringsinstantie
- SSL-certificaten kun je rechtstreeks bij certificeringsinstanties aanvragen en handmatig op een server installeren
- Gratis certificaten zijn te krijgen bij algemeen vertrouwde certificeringsinstanties en worden met verificatietools automatisch vernieuwd
- Deze optie vraagt meer technische kennis en komt vaker voor bij ontwikkelteams die hun eigen servers beheren
Nadat je het certificaat hebt
- Zodra een certificaat is geïnstalleerd, moeten alle interne links en bestandsverwijzingen op de site naar HTTPS-URL's wijzen, om waarschuwingen voor gemengde inhoud te voorkomen
- Stel een redirect van HTTP naar HTTPS in, zodat bezoekers die de HTTP-versie bereiken automatisch naar de beveiligde versie gaan
Een complete uitleg over wat HTTPS betekent en hoe het je bezoekers en ranking raakt, vind je in het artikel over wat HTTPS is en hoe het je website beschermt. Een volledige gids over je website beschermen buiten het certificaat om vind je in het artikel over hoe je je website beschermt tegen hackers. Over back-ups als aanvullende beveiligingsmaatregel lees je het artikel over hoe je een back-up van je website maakt.
Hoe WEMASY SSL-certificaten regelt
SSL-certificaten zijn inbegrepen in elk WEMASY-abonnement. Zodra een website op het WEMASY-platform wordt gemaakt, wordt het certificaat automatisch geïnstalleerd en geactiveerd. Alle pagina's worden standaard via HTTPS geleverd, zonder dat de site-eigenaar iets hoeft in te stellen.
Certificaten worden automatisch vernieuwd voordat ze verlopen. Er is geen handmatig vernieuwingsproces en geen risico dat het certificaat verloopt en waarschuwingen in de browser veroorzaakt. De SSL-infrastructuur wordt op platformniveau onderhouden, dus site-eigenaren hoeven er zelf niets aan te beheren.
Bekijk wat erbij zit op de WEMASY Websitebouwer, of vergelijk de abonnementen op de prijzenpagina.
Veelgestelde vragen
Wat is een SSL-certificaat?
Een SSL-certificaat is een digitaal bestand op een webserver dat versleutelde verbindingen mogelijk maakt tussen de server en de browsers van bezoekers. Het zorgt ervoor dat een website HTTPS kan gebruiken in plaats van HTTP. Controleert de browser van een bezoeker een geldig SSL-certificaat, dan zet hij een versleuteld kanaal op, zodat gegevens tijdens de sessie niet leesbaar zijn als ze onderweg worden onderschept. Met de Websitebouwer van WEMASY stel je dit direct op je eigen website in.
Heb ik een SSL-certificaat nodig voor mijn website?
Ja. Elke openbare website heeft een SSL-certificaat nodig. Browsers tonen een waarschuwing "Niet veilig" bij sites zonder certificaat, en HTTPS is een bevestigd rankingsignaal voor zoekmachines. Ook een website die alleen formulieren van een contactpagina ontvangt, verstuurt bezoekersgegevens die onderweg beschermd moeten zijn. Welk type SSL-certificaat nodig is, hangt af van het doel van de site, maar elke website heeft een of andere vorm van certificaat nodig.
Wat is het verschil tussen SSL en TLS?
TLS (Transport Layer Security) is de moderne, vernieuwde versie van het SSL-protocol (Secure Sockets Layer). SSL wordt al meer dan twintig jaar niet meer actief gebruikt, maar de term wordt nog veel informeel gebruikt voor de techniek die webverbindingen beveiligt. Als iemand "SSL-certificaat" zegt, bedoelt hij bijna altijd een certificaat dat TLS gebruikt. Het onderliggende protocol voor de versleuteling is vernieuwd, maar de certificaten zelf zijn in het gebruik niet veel veranderd.
Wat gebeurt er als mijn SSL-certificaat verloopt?
Verloopt een SSL-certificaat, dan tonen browsers meteen een waarschuwing over het hele scherm aan bezoekers die de site proberen te openen. De waarschuwing zegt dat de verbinding niet privé is en raadt bezoekers af om door te gaan. De site is dan feitelijk onbereikbaar voor iedereen die de waarschuwing ziet en niet kiest om hem te omzeilen. Zoekmachines kunnen ook de zichtbaarheid van de site verlagen. Certificaten moet je vernieuwen voordat ze verlopen, en de meeste hostingproviders en certificaatbeheersystemen doen dat automatisch.
Heeft een SSL-certificaat invloed op de prestaties van een website?
De TLS-handshake die een versleutelde verbinding opzet, voegt een kleine hoeveelheid tijd toe aan de eerste verbinding. Op moderne servers en netwerken wordt dit in milliseconden gemeten en merken bezoekers het niet. HTTP/2, dat breed wordt ondersteund en HTTPS vereist, kan de laadprestaties verbeteren ten opzichte van HTTP/1.1. In de praktijk laadt een goed ingestelde HTTPS-site dus vaak sneller dan zijn HTTP-equivalent.
Is een gratis SSL-certificaat even goed als een betaald certificaat?
Voor de versleuteling geeft een gratis certificaat met domeinvalidatie hetzelfde niveau als een betaald certificaat met hetzelfde validatieniveau. Het hangslotje en het voorvoegsel HTTPS zien er in de browser identiek uit. Betaalde certificaten met organisatievalidatie of uitgebreide validatie bieden extra identiteitscontrole, wat kan tellen voor financiële instellingen of grote webwinkelplatforms waar geverifieerde organisatiegegevens belangrijk zijn. Voor de meeste websites is een gratis certificaat ruim voldoende.