Wat is SSL en waarom heb je het nodig?

Zie je in de adresbalk van je browser een slotje en een adres dat begint met https? Dan gebruikt die website SSL. Zonder dat slotje laten browsers vaak een waarschuwing zien zoals "Niet beveiligd". Voor een bedrijfswebsite wil je dat natuurlijk niet. In dit artikel lees je wat SSL is, waarom je het nodig hebt en hoe je het goed regelt.

Wat is SSL?

SSL staat voor Secure Sockets Layer. Tegenwoordig wordt eigenlijk de opvolger TLS gebruikt, maar de naam SSL is blijven hangen. Het zorgt ervoor dat de verbinding tussen de browser van je bezoeker en je website versleuteld is. Gegevens die over die verbinding gaan, zoals een ingevuld contactformulier of inloggegevens, kunnen onderweg niet zomaar worden meegelezen of aangepast.

Om SSL te gebruiken heeft je website een SSL-certificaat nodig. Dat is een digitaal bewijs dat de website echt bij jouw domeinnaam hoort.

HTTP en HTTPS

Een website zonder SSL draait op http. Met SSL wordt dat https, waarbij de s staat voor secure. Je herkent het aan het slotje of een vergelijkbaar symbool in de adresbalk.

Waarom heb je SSL nodig?

Veiligheid van je bezoekers

Vult iemand op je website zijn naam, telefoonnummer of e-mailadres in, dan wil je dat die gegevens veilig bij je aankomen. Zonder versleuteling kunnen ze bijvoorbeeld op een openbaar wifi-netwerk worden onderschept.

Vertrouwen

Browsers waarschuwen bezoekers bij websites zonder https. Zo'n melding schrikt mensen af, zeker als ze gevraagd worden gegevens in te vullen. Met https laat je zien dat je je zaken op orde hebt.

Vindbaarheid

Google heeft aangegeven dat https meetelt als signaal bij het bepalen van zoekresultaten. Het is geen wondermiddel, maar het hoort bij een technisch goede website. Lees meer over wat telt voor Google in snelle website: waarom laadtijd telt.

Privacy en de AVG

Verwerk je persoonsgegevens via je website, dan moet je die passend beveiligen. Een versleutelde verbinding is daar een logisch onderdeel van.

Soorten certificaten

Domeinvalidatie (DV)

Hierbij wordt alleen gecontroleerd of je de domeinnaam beheert. Dit is het meest gebruikte type en voor de meeste bedrijfswebsites voldoende. Er zijn organisaties, zoals Let's Encrypt, die zulke certificaten gratis uitgeven.

Organisatievalidatie (OV) en Extended Validation (EV)

Bij deze certificaten wordt ook gecontroleerd of de organisatie achter de website bestaat. Ze worden vooral gebruikt door grotere organisaties. De versleuteling zelf is niet sterker; het verschil zit in de controle vooraf.

Wildcard en multidomein

Een wildcardcertificaat geldt voor alle subdomeinen, zoals mail.jouwbedrijf.nl en www.jouwbedrijf.nl. Een multidomeincertificaat dekt meerdere domeinnamen tegelijk.

Zo regel je het goed

• Certificaat installeren: bij veel hostingpartijen gaat dat automatisch. Vraag het na bij je hosting.
• Automatisch verlengen: certificaten zijn beperkt geldig. Zorg dat ze automatisch vernieuwd worden, anders krijgen bezoekers ineens een waarschuwing.
• Alles doorsturen naar https: zorg dat iedereen die de http-versie bezoekt automatisch op de https-versie terechtkomt, en kies één vaste variant (met of zonder www).
• Geen gemengde inhoud: als een https-pagina nog afbeeldingen of scripts via http laadt, kan de browser alsnog waarschuwen. Controleer dat alles via https gaat.
• HSTS overwegen: met deze instelling vertel je browsers dat je site alleen via https bezocht mag worden. Zet dit pas aan als alles goed werkt.

Wat zien bezoekers als het misgaat?

Is een certificaat verlopen of hoort het niet bij je domeinnaam, dan tonen browsers een paginagrote waarschuwing dat de verbinding niet privé is. De meeste bezoekers klikken dan direct weg. Ook je contactformulier en eventuele betaalmogelijkheden werken in die situatie niet meer zoals het hoort. Daarom is automatisch verlengen zo belangrijk, en is het verstandig dat iemand een melding krijgt als er iets misgaat, zodat het snel kan worden opgelost.

Veelgestelde vragen

Heb ik SSL nodig als ik geen webshop heb?

Ja. Ook een website met alleen informatie en een contactformulier hoort op https te draaien, al is het maar om de waarschuwing in de browser te voorkomen.

Maakt SSL mijn site trager?

Bij moderne servers en browsers is het verschil in de praktijk verwaarloosbaar. Moderne protocollen werken zelfs alleen via https.

Is mijn site met SSL volledig veilig?

Nee. SSL beveiligt de verbinding, niet de website zelf. Updates, sterke wachtwoorden en back-ups blijven nodig. Lees waarom in website onderhoud: waarom het belangrijk is.

SSL geregeld bij Krijg Het Online

Bij de websites die wij bouwen en hosten, is SSL standaard geregeld en wordt het certificaat automatisch verlengd. Je hoeft er zelf niet naar om te kijken.