Elke website hoort tegenwoordig op https:// te draaien. Zonder zet de browser “Niet veilig” naast je adres, en dat schrikt bezoekers af. Wat daarvoor nodig is, is een SSL-certificaat. In dit artikel leggen we uit wat het is en wat je ervan moet weten.
Wat doet een SSL-certificaat?
Een SSL-certificaat doet twee dingen:
- Het versleutelt de verbinding. Wat een bezoeker invult, zoals een wachtwoord, een contactformulier of betaalgegevens, gaat versleuteld tussen zijn browser en je website. Iemand die meekijkt op een openbaar wifi-netwerk ziet alleen onleesbare gegevens.
- Het bewijst dat de website echt bij het domein hoort. Een erkende uitgever (een certificaatautoriteit) heeft gecontroleerd dat het certificaat voor jouw domeinnaam is uitgegeven. De browser controleert dat bij elk bezoek.
De naam SSL is eigenlijk verouderd: het protocol dat vandaag wordt gebruikt heet TLS. In de praktijk zegt iedereen nog SSL-certificaat, en bedoelt daarmee hetzelfde.
Waarom heb je het nodig?
- Vertrouwen. Browsers waarschuwen bij elke pagina zonder https. Bij een formulier of inlog is die waarschuwing nog nadrukkelijker.
- Vindbaarheid. Zoekmachines geven de voorkeur aan beveiligde websites.
- Techniek. Veel moderne browserfuncties, en de meeste betaalproviders, werken alleen via een beveiligde verbinding.
- Privacy. Verwerk je persoonsgegevens via je website, dan hoort een versleutelde verbinding bij de basisbeveiliging die je moet bieden.
De soorten certificaten
| Soort | Wat wordt gecontroleerd | Geschikt voor |
|---|---|---|
| DV (domeingevalideerd) | Dat jij het domein beheert | De meeste websites en webshops |
| OV (organisatiegevalideerd) | Ook dat je organisatie bestaat | Organisaties die dat moeten kunnen aantonen |
| EV (extended validation) | Een uitgebreidere controle van de organisatie | Specifieke eisen van een sector of opdrachtgever |
Belangrijk om te weten: de versleuteling is bij alle drie even sterk. Het verschil zit alleen in hoeveel er over de eigenaar is gecontroleerd. Browsers tonen dat verschil bovendien niet meer opvallend in de adresbalk. Voor vrijwel elke website is een DV-certificaat daarom genoeg.
Daarnaast bestaan er certificaten voor meerdere namen tegelijk, zoals jouwbedrijf.nl en www.jouwbedrijf.nl, en wildcardcertificaten voor alle subdomeinen van een domein.
Certificaten verlopen, en steeds sneller
Een certificaat is maar een beperkte tijd geldig. Die maximale geldigheid wordt de komende jaren stap voor stap korter; daarover schreven we eerder in SSL-certificaten: maximaal 200 dagen geldig. Een certificaat dat je met de hand aanvraagt en installeert, moet je dus steeds vaker vernieuwen. Vergeet je het, dan toont je website ineens een grote waarschuwing en haken bezoekers af.
De oplossing is automatisch verlengen. Bij de meeste moderne hosting gebeurt dat vanzelf: het certificaat wordt aangevraagd, geplaatst en ruim voor de vervaldatum vervangen.
Een checklist
- Opent je website op https:// zonder waarschuwing?
- Werkt het ook voor de variant met en zonder www?
- Wordt http:// automatisch doorgestuurd naar https://?
- Wordt het certificaat automatisch verlengd, en weet je tot wanneer het geldig is?
- Laden afbeeldingen en scripts ook via https? Anders meldt de browser “gemengde inhoud”.
Je kunt het certificaat van elke website controleren met onze gratis HTTPS lookup. Bij onze webhosting krijgt elk domein automatisch een SSL-certificaat dat zichzelf verlengt; meer daarover lees je op onze pagina over het SSL-certificaat.