Het slotje in je browser: wat SSL wel en niet doet

SSL zorgt ervoor dat het verkeer tussen de browser van je bezoeker en jouw website versleuteld is, zodat niemand onderweg kan meelezen of iets kan aanpassen. Het slotje in de adresbalk laat zien dat die versleutelde verbinding (HTTPS) actief is. Het zegt niets over de vraag of de website zelf betrouwbaar, goed beveiligd of vrij van fouten is. Juist omdat het zo basaal is, hoort SSL tegenwoordig gewoon standaard op elke website te staan.

Wat is het verschil tussen SSL, TLS en HTTPS?

SSL en TLS zijn de techniek die de verbinding versleutelt; HTTPS is de naam van een websiteverbinding die die versleuteling gebruikt. In de praktijk worden de termen door elkaar gebruikt, en dat is prima.

Strikt genomen is SSL de oudere naam en is TLS de opvolger die nu feitelijk wordt gebruikt. Toch zegt bijna iedereen nog "SSL-certificaat", ook hosters en browsers. Wil je het onthouden in één zin: het certificaat staat op de server, de versleuteling heet TLS, en het resultaat zie je als https:// met een slotje in de adresbalk.

Het certificaat zelf is een klein digitaal bestand dat twee dingen regelt:

• Het bevat de sleutels waarmee browser en server samen een versleutelde verbinding opzetten.
• Het bevestigt dat het certificaat echt bij jouw domeinnaam hoort, zodat een bezoeker niet ongemerkt met een andere server praat.

Wat beschermt het slotje precies?

Het slotje beschermt gegevens terwijl ze onderweg zijn tussen bezoeker en website. Wat iemand invult in een contactformulier, inlogscherm of bestelproces kan onderweg niet worden meegelezen of ongemerkt veranderd.

Denk aan iemand die op een openbare wifi in een café jouw contactformulier invult. Zonder HTTPS gaat die tekst in leesbare vorm over het netwerk. Met HTTPS is het voor een meelezer een onleesbare brij. Concreet beschermt het:

• Vertrouwelijkheid: formuliergegevens, wachtwoorden en betaalgegevens zijn onderweg niet leesbaar.
• Integriteit: niemand kan onderweg iets in je pagina injecteren, zoals advertenties of een kwaadaardig script.
• Echtheid van het domein: de browser controleert of de server echt hoort bij het adres dat de bezoeker heeft ingetypt.

Wat beschermt het slotje niet?

Het slotje zegt niets over de betrouwbaarheid van de eigenaar of over de beveiliging van de website zelf. Een oplichterssite kan net zo goed een slotje hebben, en een gehackte website ook.

Dit is het belangrijkste misverstand rond SSL. Een certificaat is tegenwoordig eenvoudig en vaak automatisch te krijgen, dus ook mensen met slechte bedoelingen gebruiken het. Wat SSL dus niet doet:

• Het beschermt je website niet tegen hackers die binnenkomen via een verouderde plugin of een zwak wachtwoord.
• Het beveiligt de gegevens niet zodra ze op de server zijn opgeslagen, bijvoorbeeld in je database of mailbox.
• Het voorkomt geen virussen, spam of phishingmails.
• Het garandeert niet dat het bedrijf achter de site bestaat of te vertrouwen is.

Zie het als een dichte envelop: niemand leest onderweg mee, maar de envelop zegt niets over wie de brief heeft geschreven of wat ermee gebeurt na aankomst. Voor de beveiliging van je website zelf zijn updates, back-ups en sterke wachtwoorden minstens zo belangrijk. Dat valt onder regelmatig onderhoud van je WordPress-website.

Waarom hoort SSL standaard op elke website?

Omdat browsers websites zonder HTTPS als "niet veilig" markeren en bezoekers daardoor afhaken. Daarnaast is versleuteling eenvoudig te regelen en levert het alleen maar voordelen op.

Je hoeft geen webshop te hebben om SSL nodig te hebben. Zodra er ergens een formulier, inlogscherm of zoekveld op je site staat, worden er gegevens verstuurd. En ook bij een eenvoudige informatieve website wil je niet dat een bezoeker een waarschuwing ziet in de adresbalk. Een paar redenen op een rij:

• Bezoekers zien geen waarschuwing en hoeven niet te twijfelen.
• Zoekmachines geven aan HTTPS als signaal mee te wegen; het helpt een beetje mee, maar het is geen wondermiddel voor je vindbaarheid.
• Moderne browserfuncties en snellere verbindingstechnieken werken alleen via HTTPS.
• Wie persoonsgegevens verwerkt, hoort die passend te beveiligen. Versleuteling onderweg is daar een logisch onderdeel van.

Wil je meer weten over de basis waar je website op draait, lees dan ook wat webhosting is en wat je ervan moet weten.

Hoe controleer ik of mijn website goed op HTTPS staat?

Open je website in een privévenster, typ het adres zonder https ervoor en kijk of je automatisch op de beveiligde versie met slotje terechtkomt. Controleer daarna een paar losse pagina's.

Een certificaat hebben is één ding, het goed ingesteld hebben is een tweede. Loop deze stappen eens door:

1. Doorsturen: typ jouwdomein.nl en www.jouwdomein.nl in. Beide moeten doorsturen naar dezelfde https-versie.
2. Slotje overal: klik door naar je contactpagina, een blogartikel en eventueel je winkelwagen. Overal hoort het slotje te staan.
3. Gemengde inhoud: zie je een slotje met een waarschuwing, dan laadt de pagina nog onderdelen via http, vaak een oude afbeelding of een extern script. Pas die links aan naar https.
4. Geldigheid: klik op het slotje en bekijk de certificaatgegevens. Zie je dat het binnenkort verloopt en wordt het niet automatisch vernieuwd, regel dat dan op tijd.
5. WordPress-instellingen: kijk bij Instellingen, Algemeen of zowel het WordPress-adres als het siteadres met https beginnen.

Wil je hier hulp bij van een AI-assistent, dan kun je deze vraag letterlijk gebruiken:

Prompt: Je bent een geduldige webspecialist voor ondernemers zonder technische achtergrond. Mijn website draait op WordPress en ik zie [omschrijf wat je ziet, bijvoorbeeld: een slotje met een waarschuwing / de melding niet veilig / geen doorsturing naar https]. Leg in eenvoudige stappen uit wat de waarschijnlijke oorzaak is en hoe ik het controleer, zonder dat ik iets kapot kan maken. Vertel me ook wanneer ik beter mijn hoster kan inschakelen. Vraag eerst door als je informatie mist.

Werkt je hoster met een eigen beheerpaneel, controleer dan voor de actuele stand de documentatie van dat paneel; menu's en opties verschillen per partij.

Welk soort SSL-certificaat heb ik nodig?

Voor vrijwel elke mkb-website is een standaard domeingevalideerd certificaat voldoende. Zwaardere varianten controleren de organisatie, maar dat zie je als bezoeker nauwelijks terug.

Er bestaan grofweg drie soorten: domeingevalideerd (DV), organisatiegevalideerd (OV) en uitgebreid gevalideerd (EV). De versleuteling is bij alle drie even sterk. Het verschil zit alleen in hoeveel er wordt gecontroleerd over de aanvrager. Vroeger toonden browsers bij EV een groene balk met de bedrijfsnaam, maar dat is grotendeels verdwenen. Voor een website van een kapper, installateur of adviesbureau is DV dus prima. Heb je subdomeinen, let dan wel op dat die ook gedekt zijn.

Ga je binnenkort verhuizen naar een andere hoster, lees dan ook wat er gebeurt als je je website verhuist, want het certificaat moet op de nieuwe server opnieuw actief worden.

SSL is geen spannend onderwerp, en dat is precies goed: het hoort gewoon te werken zonder dat jij erover nadenkt. Heb je geen tijd of zin om certificaten, doorsturingen en vernieuwingen in de gaten te houden, dan neem ik dat je graag uit handen met webhosting en domeinen bij WebsiteToday.

Veelgestelde vragen

Is een website met een slotje altijd veilig?

Nee, een website met een slotje is niet automatisch veilig. Het slotje betekent alleen dat de verbinding versleuteld is. Ook oplichters en gehackte websites kunnen een geldig certificaat hebben.

Heb ik SSL nodig als ik geen webshop heb?

Ja, ook zonder webshop heb je SSL nodig. Browsers markeren websites zonder HTTPS als niet veilig, en zodra je een contactformulier hebt, verstuur je al gegevens die je wilt beschermen.

Wat betekent de melding "niet veilig" in de adresbalk?

De melding "niet veilig" betekent dat de pagina via een onversleutelde verbinding wordt geladen. Dat kan komen door een ontbrekend of verlopen certificaat, of doordat de website niet automatisch doorstuurt naar https.

Verloopt een SSL-certificaat?

Ja, een SSL-certificaat heeft altijd een beperkte geldigheid en moet worden vernieuwd. Bij veel hostingpakketten gebeurt dat automatisch; controleer bij je hoster of dat bij jou ook zo is ingesteld.

Helpt HTTPS mijn website beter vindbaar te worden?

HTTPS helpt een klein beetje mee voor je vindbaarheid, omdat zoekmachines het als signaal meewegen. Het is vooral een basisvoorwaarde; inhoud, snelheid en techniek wegen veel zwaarder.

Beschermt SSL mijn website tegen hackers?

Nee, SSL beschermt je website niet tegen hackers. Het beveiligt alleen het verkeer onderweg. Tegen inbraak helpen updates, sterke wachtwoorden en goede back-ups.