SSL-certificaat: waarom je website HTTPS nodig heeft
3 min lezen hieronder · WebYes kennisbank
Een SSL-certificaat versleutelt het verkeer tussen bezoeker en website. Lees hoe HTTPS werkt, welke certificaten er zijn en hoe je je site controleert.
Een SSL-certificaat (technisch: TLS-certificaat) zorgt dat het verkeer tussen de browser en je website versleuteld verloopt via HTTPS. Zonder certificaat kunnen derden meelezen of gegevens manipuleren, tonen browsers een waarschuwing en verlies je vertrouwen en vindbaarheid.
Hoe werkt SSL/TLS in het kort?
Wanneer een bezoeker je site opent via HTTPS, spreken browser en server eerst een versleutelde verbinding af. Het certificaat bewijst daarbij dat de server echt bij jouw domein hoort, en de versleuteling zorgt dat niemand onderweg wachtwoorden, betaalgegevens of formulierinvoer kan meelezen of aanpassen.
De naam SSL is ingeburgerd, maar het onderliggende protocol heet al jaren TLS (Transport Layer Security). Moderne servers gebruiken TLS 1.2 of 1.3; oudere versies gelden als onveilig en horen uitgeschakeld te zijn.
Welke soorten certificaten zijn er?
Certificaten verschillen in hoe streng de aanvrager gecontroleerd wordt, niet in de sterkte van de versleuteling. Voor de meeste websites volstaat een gratis domein-gevalideerd certificaat.
| Type | Wat wordt gecontroleerd | Voor wie |
|---|---|---|
| DV (domeinvalidatie) | Alleen dat je het domein beheert | Vrijwel elke website; gratis via bijv. Let's Encrypt |
| OV (organisatievalidatie) | Domein plus inschrijving van de organisatie | Bedrijven die extra herkenbaarheid willen |
| EV (uitgebreide validatie) | Volledige juridische controle van de organisatie | Banken, verzekeraars, betaaldiensten |
De versleuteling is bij alle drie even sterk; het verschil zit in de identiteitscontrole.
HTTPS afdwingen met HSTS
Een certificaat installeren is stap één; zorgen dat bezoekers ook echt altijd via HTTPS binnenkomen is stap twee. Stel een automatische doorverwijzing in van HTTP naar HTTPS en voeg de header Strict-Transport-Security (HSTS) toe. Die header instrueert browsers om je site voortaan uitsluitend via HTTPS te benaderen, ook als iemand het adres zonder https intikt.
HSTS is een van de security headers die de WebYes-scan controleert binnen de pijler veiligheid. Ontbreekt de header of is het certificaat verlopen, dan zie je dat direct terug in het rapport.
Veelgemaakte fouten
De meest voorkomende problemen die we in scans tegenkomen: een certificaat dat stilletjes verlopen is omdat automatische verlenging niet was ingesteld, mixed content (een HTTPS-pagina die afbeeldingen of scripts via HTTP laadt, waardoor de browser alsnog waarschuwt), en oude TLS-versies die nog aanstaan op de server.
Allemaal zijn ze eenvoudig te voorkomen: zet automatische verlenging aan, laad alle assets via HTTPS en laat je hostingpartij TLS 1.0 en 1.1 uitschakelen.
Veelgestelde vragen
Is een SSL-certificaat verplicht?
Er is geen wet die letterlijk een certificaat eist, maar in de praktijk kun je niet zonder. Browsers markeren HTTP-sites als 'niet veilig', formulieren zonder versleuteling zijn een privacyrisico onder de AVG en Google geeft HTTPS-pagina's voorrang in de zoekresultaten.
Wat kost een SSL-certificaat?
Een domein-gevalideerd certificaat is gratis via certificaatautoriteiten zoals Let's Encrypt en zit bij de meeste hostingpakketten inbegrepen. Betaalde OV- en EV-certificaten kosten tientallen tot honderden euro's per jaar en voegen vooral identiteitscontrole toe, geen sterkere versleuteling.
Hoe zie ik of mijn certificaat goed staat?
Klik op het slotje in de adresbalk voor de geldigheidsdatum en de uitgever. Een volledige controle, inclusief TLS-versies, doorverwijzingen en HSTS, krijg je met de gratis WebYes-scan: die toetst de hele SSL-configuratie binnen de pijler veiligheid.
Dit meet de WebYes-scan ook
Scan je website gratis op snelheid, veiligheid, mobiel en toegankelijkheid en zie waar je staat.
Start gratis scan