Als websitebeheerder wil je dat bezoekers veilig contact maken met je website. Een SSL-certificaat zorgt voor die beveiligde verbinding. Bezoekers herkennen een beveiligde website meestal aan https:// in de adresbalk en aan het slotpictogram in hun browser.
Een SSL-certificaat heeft drie belangrijke functies. Het versleutelt gegevens, zoals wachtwoorden, contactinformatie en betaalgegevens. Daardoor kunnen anderen deze informatie tijdens de verzending niet zomaar meelezen.
Daarnaast helpt het certificaat om je website te authentiseren. De browser controleert zo of de bezoeker verbinding maakt met de bedoelde website. Ook bewaakt het de integriteit van gegevens, zodat wijzigingen tijdens de overdracht kunnen worden opgemerkt.
SSL is de historische benaming. Moderne websites gebruiken in de praktijk TLS, de veiligere opvolger van SSL. Toch blijft de term SSL-certificaat het meest bekend. In dit artikel ontdek je stap voor stap wat HTTPS betekent, hoe versleuteling werkt, welke certificaten bestaan en hoe je ze installeert en controleert.
Dat is belangrijk voor Belgische webshops, verenigingen, zelfstandigen en bedrijven. Zodra je persoonsgegevens of klantgegevens verwerkt, helpt een beveiligde verbinding om je bezoekers en je organisatie beter te beschermen.
Wat is een SSL-certificaat en waarom heb je het nodig?
Een SSL-certificaat beveiligt de verbinding tussen jouw website en de browser van je bezoeker. Het is een digitaal bestand dat de identiteit van een domein helpt bevestigen. De verbinding beschermt gegevens, zoals wachtwoorden, contactformulieren en betaalinformatie.
Het certificaat bevat onder meer de domeinnaam, de publieke sleutel van de server, de geldigheidsperiode en informatie over de certificaatautoriteit. Een digitale handtekening toont dat de autoriteit het certificaat heeft gecontroleerd en ondertekend.
De betekenis van SSL en TLS
SSL staat voor Secure Sockets Layer. Deze oudere techniek werd gebruikt om internetverbindingen te beveiligen. SSL 2.0 en SSL 3.0 zijn intussen verouderd en niet meer veilig.
Moderne browsers en servers gebruiken TLS, wat staat voor Transport Layer Security. TLS is de veiligere opvolger van SSL. Een goede server ondersteunt minstens TLS 1.2. TLS 1.3 biedt meestal een snellere en sterkere verbinding.
Een Certificate Authority, of certificaatautoriteit, controleert bepaalde gegevens van je domein of organisatie. Daarna ondertekent deze partij het certificaat. Let’s Encrypt, DigiCert, Sectigo en GlobalSign zijn bekende aanbieders.
Het verschil tussen HTTP en HTTPS
HTTP verstuurt informatie zonder versleuteling. Een aanvaller kan gegevens tijdens het transport onderscheppen of wijzigen. Dat risico is groot bij openbare wifi en onbeveiligde netwerken.
HTTPS gebruikt een beveiligde verbinding met TLS. De extra letter S staat voor secure. Je bezoeker ziet vaak een slotpictogram in de adresbalk. De website gebruikt dan een certificaat dat bij het domein hoort.
Waarom SSL belangrijk is voor je website
Met HTTPS bescherm je gevoelige gegevens van bezoekers. Je website wekt meer vertrouwen en veel browsers tonen geen onveilige waarschuwing bij formulieren. Zoekmachines en webshops verwachten steeds vaker een beveiligde verbinding.
Een certificaat lost niet alle beveiligingsproblemen op. Je hebt een actuele server, veilige software en sterke wachtwoorden nodig. Goed toegangsbeheer, tijdige updates en een correcte TLS-configuratie blijven even belangrijk.
Hoe versleutelt een SSL-certificaat gegevens tussen jou en je bezoeker?
Wanneer je bezoeker een URL met HTTPS opent, maakt de browser contact met de webserver. Dat start de TLS-handshake. De browser meldt welke TLS-versies en cryptografische algoritmen hij ondersteunt.
-
De server kiest geschikte beveiligingsinstellingen en stuurt zijn SSL/TLS-certificaat terug. Dat bevat de publieke sleutel, de domeinnaam en informatie over de certificaatautoriteit.
-
De browser controleert het certificaat. Het moet geldig en niet verlopen zijn. De domeinnaam moet overeenkomen met het certificaat. De ondertekening moet afkomstig zijn van een vertrouwde certificaatautoriteit.
-
De browser en server leggen de beveiligingsparameters vast. Ze brengen een gedeeld geheim tot stand voor de beveiligde verbinding.
-
Daarna gebruiken ze een tijdelijke symmetrische sessiesleutel. Die sleutel versleutelt en ontsleutelt de gegevens tijdens de sessie.
Bij asymmetrische cryptografie horen twee sleutels: een publieke sleutel en een private sleutel. Je mag de publieke sleutel delen. De private sleutel blijft strikt geheim. Deze methode helpt vooral om de server te herkennen en de sessie veilig op te zetten.
Symmetrische cryptografie gebruikt één gedeelde sessiesleutel. Dat werkt veel sneller bij grote hoeveelheden data. Het certificaat versleutelt dus niet elk bericht afzonderlijk. Het helpt bij authenticatie en bij het opzetten van de beveiligde verbinding.
Een certificaat staat meestal niet op zichzelf. Het servercertificaat is gekoppeld aan een intermediate certificaat. Die keten leidt naar een rootcertificaat dat browsers en besturingssystemen vertrouwen.
Mislukt een controle, dan toont je browser een waarschuwing. Dat kan gebeuren bij een verlopen certificaat, een verkeerde domeinnaam, een onbekende certificaatautoriteit of een onjuiste certificaatketen.
Moderne TLS-configuraties kunnen forward secrecy bieden. Wordt de private sleutel later buitgemaakt, dan blijven oude sessies beter beschermd. HTTPS beveiligt wel de verbinding tussen je bezoeker en de server. Je database, broncode, mailboxen, CMS-accounts en beheerdersomgeving vragen aparte beveiligingsmaatregelen.
Welke soorten SSL-certificaten bestaan er?
Het juiste SSL-certificaat hangt af van je website en de manier waarop je die beheert. Het verschil zit vooral in de controle door de certificaatautoriteit, het aantal domeinen en de beveiliging van subdomeinen.
Domeinvalidatie voor eenvoudige websites
Een Domain Validation-certificaat (DV) controleert of je controle hebt over het domein. Dat gebeurt via een e-mail naar een geregistreerd adres, een DNS-record of een tijdelijk bestand op je webserver.
Een DV-certificaat wordt vaak snel en goedkoop uitgegeven. Let’s Encrypt biedt gratis geautomatiseerde DV-certificaten aan. Dit type past bij persoonlijke websites, blogs, portfolio’s en informatiepagina’s.
De certificaatautoriteit controleert bij DV meestal niet uitgebreid wie achter de website zit. Automatische vernieuwing is belangrijk, want DV-certificaten hebben vaak een korte geldigheidsduur.
Organisatievalidatie voor bedrijven
Een Organization Validation-certificaat (OV) controleert zowel je domein als bepaalde gegevens van je organisatie. De certificaatautoriteit kan nagaan of je bedrijf officieel bestaat en bereikbaar is.
OV is geschikt voor bedrijfswebsites, professionele diensten en organisaties die extra vertrouwen willen tonen. Bezoekers zien niet altijd direct welk validatietype actief is. De controle geeft wel meer zekerheid over de organisatie achter het domein.
Uitgebreide validatie en vertrouwen
Een Extended Validation-certificaat (EV) vraagt om een grondige controle van de organisatie. Daarbij kunnen juridische gegevens, registratie en contactinformatie worden nagekeken.
EV kan passen bij banken, overheidsdiensten en grote webwinkels. Moderne browsers tonen het verschil minder opvallend dan vroeger. Het certificaat beschermt de verbinding, maar maakt een website niet automatisch betrouwbaar op elk vlak.
Wildcard- en multi-domeincertificaten
Een wildcardcertificaat beveiligt een hoofddomein en de bijbehorende subdomeinen. Met één certificaat kun je bijvoorbeeld www, shop en portal onder hetzelfde domein beschermen.
Een multi-domeincertificaat beveiligt meerdere aparte domeinen binnen één certificaat. Dat is handig wanneer je verschillende websites beheert. Controleer vooraf welke domeinen en subdomeinen de certificaatautoriteit ondersteunt.
Hoe installeer en controleer je een SSL-certificaat?
Begin met een overzicht van je omgeving. Noteer je hostingprovider, webserver, CMS, domeinnaam en subdomeinen. Kijk ook na of je aparte mail- of applicatieservers gebruikt. Kies daarna een certificaat dat bij je domeinen en het gewenste validatieniveau past. Bij veel Belgische hostingproviders activeert Let’s Encrypt SSL automatisch via het beheerpaneel.
Bij een handmatige installatie maak je op de server een private key en CSR aan. Je dient de CSR in bij de certificaatautoriteit en rondt de domein- of organisatiecontrole af. Daarna installeer je het servercertificaat, de intermediate certificaten en de juiste private key. Stel HTTPS in op poort 443 en gebruik alleen moderne TLS-versies. Bij beheerde hosting hoef je deze stappen vaak niet zelf uit te voeren.
Stuur HTTP met een permanente 301-redirect door naar HTTPS. Pas ook interne links, canonieke URL’s en sitemapadressen aan. Controleer afbeeldingen, scripts, lettertypen en stylesheets op mixed content. Dat ontstaat wanneer een HTTPS-pagina nog bestanden via HTTP laadt. Browsers kunnen zulke bronnen blokkeren of een waarschuwing tonen.
Open je website met https:// en klik op het slotpictogram. Controleer de domeinnaam, geldigheidsperiode, certificaatautoriteit en certificaatketen. Test de website op meerdere browsers en apparaten, bijvoorbeeld met Qualys SSL Labs of de controlefunctie van je hostingprovider. Controleer ook de vereiste subdomeinen, de koppeling met de private key en de doorsturing van HTTP. Vernieuw certificaten op tijd: Let’s Encrypt gebruikt meestal een geldigheid van 90 dagen. Stel automatische vernieuwing, monitoring en meldingen in. HSTS kan HTTPS afdwingen, maar configureer dit voorzichtig. Een SSL-certificaat beschermt gegevens tijdens de overdracht, maar blijft slechts één onderdeel van je totale beveiliging.
