Een website van HTTP naar HTTPS overzetten verandert één letter in de adresbalk en alles aan hoe gegevens tussen de site en zijn bezoekers reizen. HTTPS, kort voor Hypertext Transfer Protocol Secure, is de versleutelde versie van het protocol waarmee websites gegevens versturen en ontvangen. Het beïnvloedt je positie in zoekresultaten, bepaalt hoe browsers je site aan bezoekers tonen en bepaalt of persoonlijke gegevens die via je pagina's worden verstuurd onderweg beschermd of blootgesteld zijn. Precies weten wat HTTPS wel en niet doet, maakt het verschil tussen een echt veilige opzet en een opzet die alleen zo oogt.
HTTP is de basis van gegevensverkeer op het web. Elke keer dat een browser een pagina opvraagt en de server hem levert, gebeurt dat via HTTP. Het probleem is dat onversleutelde HTTP gegevens als gewone tekst verstuurt. Iedereen met toegang tot het netwerkverkeer tussen de browser en de server kan lezen wat er wordt verstuurd. HTTPS lost dit op door via een SSL-certificaat versleuteling over dezelfde communicatie te leggen. Een volledige uitleg over hoe SSL-certificaten werken, vind je in het artikel over wat een SSL-certificaat is en hoe het werkt.
Wat is het verschil tussen HTTP en HTTPS?
Hoe gegevens reizen
- HTTP verstuurt gegevens als gewone tekst. Een formulier dat via HTTP wordt verstuurd, stuurt de invoer van de bezoeker over netwerken in een leesbare vorm, die kan worden gelezen als hij wordt onderschept
- HTTPS versleutelt gegevens voordat ze de browser verlaten en ontsleutelt ze pas als ze de server bereiken. Onderschepte gegevens zijn zonder de sleutel onleesbaar
- Dit verschil is voor bezoekers bij normaal gebruik onzichtbaar, maar het bepaalt of de gegevens die ze versturen onderweg beschermd of blootgesteld zijn
Wat browsers aan bezoekers tonen
- Sites die via HTTPS worden geleverd, tonen een hangslotje in de adresbalk van de browser, als teken dat de verbinding veilig is
- Sites die via HTTP worden geleverd, tonen het label "Niet veilig". Op pagina's met invoervelden tonen sommige browsers een nadrukkelijkere waarschuwing
- Bezoekers die het label "Niet veilig" zien voordat ze een formulier versturen of iets kopen, gaan minder vaak door
De rol van het SSL-certificaat
- HTTPS vraagt om een SSL-certificaat op de server. Het certificaat maakt de versleutelde verbindingen mogelijk
- Zonder geldig certificaat kan de browser geen beveiligde verbinding opzetten en toont hij een waarschuwing in plaats van de pagina normaal te laden
- Het certificaat controleert ook de identiteit van de website en bevestigt dat het domein van de organisatie is die het zegt te vertegenwoordigen
Hoe beschermt HTTPS de gegevens van je bezoekers?
Als een bezoeker verbinding maakt met een HTTPS-website, zetten de browser en de server een versleuteld kanaal op via een proces dat de TLS-handshake heet. Alle gegevens die daarna worden uitgewisseld, zijn gedurende de sessie versleuteld.
Wat HTTPS beschermt
- Verstuurde contactformulieren, met namen, e-mailadressen en berichten
- Inloggegevens, zoals gebruikersnamen en wachtwoorden die op je site worden ingevoerd
- Betaalgegevens, zoals kaartnummers en factuurgegevens op afrekenpagina's
- Zoekopdrachten die in zoekvelden op je site worden ingevoerd
Wat HTTPS niet beschermt
- HTTPS versleutelt gegevens onderweg, maar beschermt geen gegevens zodra ze op de server zijn opgeslagen. Een datalek in een database is een apart beveiligingsprobleem dat HTTPS niet voorkomt
- HTTPS maakt een website niet immuun voor andere aanvallen. SQL-injectie, cross-site scripting en brute-force-aanvallen richten zich op de website zelf en niet op gegevens onderweg
- HTTPS is een onderdeel van een bredere beveiligingsaanpak, geen complete oplossing
Een breder overzicht van welke bedreigingen websites tegenkomen en hoe je die aanpakt, vind je in het artikel over waarom websitebeveiliging belangrijk is.
Hoe beïnvloedt HTTPS je positie in zoekresultaten?
HTTPS is een bevestigd rankingsignaal. Zoekmachines gebruiken het als een van de factoren bij het beoordelen van pagina's, en sites zonder HTTPS hebben een nadeel ten opzichte van gelijkwaardige pagina's die veilig worden geleverd.
HTTPS als direct rankingsignaal
- Pagina's die via HTTPS worden geleverd, hebben een voordeel boven HTTP-pagina's die verder identiek zijn
- Bij pagina's die dicht bij elkaar concurreren in de ranking, kan HTTPS de factor zijn die bepaalt welke hoger staat
De link met paginaervaring
- HTTPS is een onderdeel van de signalen voor paginaervaring die zoekmachines naast de Core Web Vitals beoordelen
- Een pagina die niet aan de HTTPS-eis voldoet, voldoet niet volledig aan de criteria voor paginaervaring, en dat beïnvloedt hoe hij wordt behandeld ten opzichte van pagina's die er wel aan voldoen
- Een volledig overzicht van wat Core Web Vitals meten en hoe ze meewegen in de beoordeling van paginaervaring, vind je in het artikel over wat Core Web Vitals zijn
Waarschuwingen in zoekresultaten
- Wordt een site gemarkeerd wegens beveiligingsproblemen, dan kunnen zoekmachines waarschuwingen aan de vermelding in de resultaten toevoegen of de zichtbaarheid helemaal verlagen
- Een site die via HTTP wordt geleverd en ook andere beveiligingsproblemen heeft, kan een steeds grotere daling van de zichtbaarheid in zoekresultaten krijgen
Nauwkeurigheid van verwijzingsgegevens
- Klikt een bezoeker op een link van een HTTPS-site naar een HTTP-site, dan wordt de verwijzingsbron weggehaald en verschijnt het bezoek in analytics als direct verkeer
- Sites die op HTTP draaien, missen nauwkeurige verwijzingsgegevens van HTTPS-bronnen, waardoor het volgen van marketingprestaties lastiger wordt
- Verwijzingen van HTTPS naar HTTPS geven de volledige verwijzingsinformatie correct door
Wat komt er kijken bij het overzetten van een website naar HTTPS?
Een SSL-certificaat aanvragen
- HTTPS vraagt om een SSL-certificaat op de server. Voor websites op platforms die certificaten meeleveren, gebeurt dit automatisch
- Voor sites op zelfbeheerde servers moet je een certificaat bij een certificeringsinstantie aanvragen en handmatig installeren
Interne links en bestandsverwijzingen bijwerken
- Na het inschakelen van HTTPS moeten alle interne links en bestandsverwijzingen (afbeeldingen, scripts, stylesheets) op de site naar HTTPS-URL's wijzen
- Pagina's die bestanden via HTTP laden terwijl de pagina zelf via HTTPS wordt geleverd, veroorzaken waarschuwingen voor gemengde inhoud. Die kunnen het beveiligingsvoordeel tenietdoen en waarschuwingen in de browser geven
Redirects instellen
- Een redirect van HTTP naar HTTPS zorgt dat iedereen die de HTTP-versie bereikt, automatisch naar de beveiligde versie gaat
- Zonder redirect heeft de site feitelijk twee versies van elke pagina, wat problemen met dubbele inhoud geeft en linksignalen over beide versies verdeelt
Je sitemap en Search Console-instellingen bijwerken
- Werk na de overstap naar HTTPS je XML-sitemap bij met de HTTPS-URL's en dien hem opnieuw in bij zoekmachines
- Gebruik je een Search Console-account, voeg dan de HTTPS-versie van je site toe als aparte property en verifieer die
Een volledige gids over je website beschermen buiten HTTPS om vind je in het artikel over hoe je je website beschermt tegen hackers.
Hoe WEMASY HTTPS regelt
Alle websites die met WEMASY zijn gebouwd, worden standaard via HTTPS geleverd. SSL-certificaten zitten in elk abonnement en worden automatisch geactiveerd zodra een site wordt gemaakt. Er is geen aparte installatie, geen certificaat om te kopen en geen vernieuwingsproces om te beheren.
Interne links, bestanden en alle inhoud die via het platform wordt geleverd, gebruiken standaard HTTPS-URL's. Waarschuwingen voor gemengde inhoud zijn geen zorg voor sites die bij WEMASY worden gehost, omdat het platform overal HTTPS afdwingt. Ook redirects van HTTP naar HTTPS worden op platformniveau geregeld, zodat bezoekers en zoekmachines altijd naar de beveiligde versie van de site worden geleid.
Bekijk wat erbij zit op de WEMASY Websitebouwer, of vergelijk de abonnementen op de prijzenpagina.
Veelgestelde vragen
Wat betekent HTTPS?
HTTPS staat voor Hypertext Transfer Protocol Secure. Het is de versleutelde versie van HTTP, het protocol waarmee gegevens tussen een browser en een webserver worden verstuurd. De "S" betekent dat de verbinding met een SSL-certificaat is beveiligd, wat gegevens onderweg versleutelt zodat ze niet leesbaar zijn als ze worden onderschept. Een website die op HTTPS draait, toont een hangslotje in de adresbalk van de browser. Met de Websitebouwer van WEMASY stel je dit direct op je eigen website in.
Is HTTPS verplicht voor alle websites?
Ja. HTTPS is nodig voor elke openbare website, niet alleen voor sites die betalingen of gevoelige gegevens verwerken. Browsers tonen een label "Niet veilig" bij HTTP-sites, wat het vertrouwen van bezoekers verlaagt. HTTPS is ook een bevestigd rankingsignaal, dus HTTP-sites hebben een nadeel in zoekresultaten. Elke website die via formulieren, reacties of logins gegevens van bezoekers verzamelt, moet minimaal via HTTPS worden geleverd.
Verbetert HTTPS je SEO?
Ja, direct. HTTPS is een bevestigd rankingsignaal, en pagina's die via HTTPS worden geleverd, hebben een voordeel boven gelijkwaardige HTTP-pagina's. HTTPS is ook een onderdeel van de signalen voor paginaervaring die zoekmachines naast de Core Web Vitals beoordelen. Naast de ranking geeft verwijzingsverkeer van HTTPS naar HTTPS de volledige brongegevens door aan analytics, terwijl HTTP-sites de verwijzingsbron van HTTPS-herkomsten missen.
Wat is het verschil tussen HTTP en HTTPS?
HTTP verstuurt gegevens als gewone tekst, dus formulieren, inloggegevens en andere invoer gaan in een leesbare vorm over het netwerk. HTTPS versleutelt die gegevens voordat ze de browser verlaten, zodat alleen de bedoelde server ze kan lezen. HTTPS controleert ook de identiteit van de website via een SSL-certificaat en bevestigt dat de site is wie hij zegt te zijn. Browsers markeren HTTP-sites als "Niet veilig" en tonen een hangslotje bij HTTPS-sites.
Kan een site zowel HTTP- als HTTPS-pagina's hebben?
Technisch gezien wel, maar het geeft problemen. Zoekmachines kunnen beide versies indexeren en als dubbele inhoud behandelen. Linksignalen worden over de twee versies verdeeld in plaats van op één gebundeld. Bezoekers kunnen op de onbeveiligde versie terechtkomen als redirects niet goed zijn ingesteld. Pagina's die bestanden via HTTP laden terwijl de pagina via HTTPS wordt geleverd, veroorzaken waarschuwingen voor gemengde inhoud. De juiste aanpak is alle pagina's via HTTPS te leveren en alle HTTP-URL's door te sturen naar hun HTTPS-equivalent.
Beschermt HTTPS mijn website tegen hackers?
HTTPS beschermt gegevens onderweg tussen de browser en de server. Het beschermt niet tegen andere soorten aanvallen, zoals SQL-injectie, cross-site scripting of brute-force-inlogpogingen, die zich op de website zelf richten en niet op gegevens onderweg. HTTPS is een onmisbare basismaatregel, maar werkt naast andere beveiligingen en vervangt ze niet.