Gratis SSL certificaat: zo stel je https in voor je website

Een gratis SSL certificaat is voor de meeste websites alles wat je nodig hebt om veilig via https bereikbaar te zijn. Zonder certificaat zet de browser van je bezoeker de melding "Niet veilig" naast je adres, en dat is precies wat je niet wilt zien als iemand net je contactformulier wil invullen.

In deze blog leggen we in gewone taal uit wat SSL en https zijn, wanneer een gratis certificaat volstaat en wanneer een betaald certificaat zinvol is. Daarna krijg je een stappenplan om https zelf in te stellen, met de fouten die we in de praktijk het vaakst tegenkomen.

Wat is een SSL certificaat en wat betekent https?

Een SSL certificaat is een klein digitaal bestand op de server van je website. Het doet twee dingen: het versleutelt de verbinding tussen de browser van je bezoeker en je website, en het bewijst dat de bezoeker echt met jouw domein praat en niet met een tussenpersoon.

Officieel heet de techniek tegenwoordig TLS, de opvolger van SSL. In de praktijk zegt iedereen nog "SSL certificaat" en bedoelt daarmee hetzelfde. Zodra het certificaat actief is, werkt je site via https:// in plaats van http://. De s staat voor secure.

Wat wordt er versleuteld? Alles wat over de lijn gaat: ingevulde formulieren, inloggegevens, zoekopdrachten op je site en de pagina's zelf. Iemand die meekijkt op hetzelfde wifi-netwerk ziet alleen onleesbare data.

Waarom heeft elke website https nodig?

Ook als je geen webshop hebt en niemand bij jou inlogt, is https geen luxe meer. Dit zijn de belangrijkste redenen:

• Geen "Niet veilig"-melding. Browsers als Chrome, Edge, Safari en Firefox waarschuwen bij pagina's zonder https. Veel bezoekers haken dan direct af.
• Formulieren zijn beschermd. Naam, e-mailadres, telefoonnummer en de vraag van een klant gaan versleuteld naar je toe. Dat past ook bij de AVG, die vraagt om passende beveiliging van persoonsgegevens.
• Vertrouwen. Het slotje of het ontbreken van een waarschuwing is voor bezoekers een basisteken dat de site serieus wordt onderhouden.
• Google. Google gebruikt https als een (licht) signaal bij het rangschikken van pagina's. Het brengt je niet in je eentje naar boven, maar zonder https begin je met een achterstand.
• Moderne functies. Veel browserfuncties, zoals locatie opvragen of bepaalde betaal- en inlogknoppen, werken alleen op https.

Wil je meer weten over de beveiliging rondom je site in het algemeen? Lees dan ook onze uitleg over een veilige website met SSL.

Gratis SSL of betaald: wat is het verschil?

Het goede nieuws: de versleuteling van een gratis certificaat is even sterk als die van een betaald certificaat. Het verschil zit in hoeveel er gecontroleerd wordt voordat het certificaat wordt uitgegeven, en in extra's zoals ondersteuning.

Gratis: Let's Encrypt

Let's Encrypt is een non-profit organisatie die gratis certificaten uitgeeft. Zo'n certificaat is standaard 90 dagen geldig en wordt automatisch verlengd door je hosting. Je hoeft er dus niets voor te doen, zolang die automatische verlenging goed staat ingesteld.

Betaald: DV, OV en EV

• DV (Domain Validation): alleen gecontroleerd dat jij het domein beheert. Technisch vergelijkbaar met Let's Encrypt, ook een DV-certificaat.
• OV (Organization Validation): daarnaast wordt gecontroleerd dat je bedrijf echt bestaat. De bedrijfsnaam staat in de details van het certificaat.
• EV (Extended Validation): de strengste controle van de organisatie. Browsers tonen dit tegenwoordig niet meer opvallend in de adresbalk, maar de gegevens zijn wel in het certificaat te zien.

Voor een gewone bedrijfswebsite, een portfolio of een site met contactformulier is een gratis certificaat ruim voldoende. Een betaald OV- of EV-certificaat kan zinvol zijn als een klant, keurmerk of aanbesteding daar expliciet om vraagt, of als je ondersteuning van de uitgever van het certificaat wilt.

Stappenplan: https instellen in 5 stappen

De precieze knoppen verschillen per hostingpakket, maar de volgorde is altijd hetzelfde. Neem deze stappen in volgorde door.

1. Certificaat activeren bij je hosting

Zoek in het controlepaneel van je hosting naar "SSL", "Let's Encrypt" of "Beveiliging". Activeer het certificaat voor je domein en kies daarbij zowel de versie met www als zonder www. Het domein moet al naar je hosting wijzen, anders kan de controle niet slagen.

2. Alles doorsturen naar https

Ook met certificaat blijft de http-versie vaak bereikbaar. Stel een permanente doorverwijzing (301) in van http naar https, en kies één vaste variant: met of zonder www. Veel hostingpanelen hebben hier een schakelaar voor; anders gaat het via een regel in de serverconfiguratie of het .htaccess-bestand.

3. Mixed content oplossen

Laadt een https-pagina nog een afbeelding, script of lettertype via http, dan heet dat mixed content. De browser blokkeert die onderdelen of toont alsnog een waarschuwing. Vervang daarom interne links en afbeeldingsadressen die met http:// beginnen door https:// of door relatieve paden. Vergeet ook embeds en externe scripts niet.

4. HSTS overwegen

Met HSTS vertel je de browser dat je site alleen nog via https geopend mag worden. Dat is veiliger, maar zet het pas aan als alles een tijd goed werkt. Begin met een korte geldigheid en verhoog die later.

5. Controleren

Open je site in een privévenster met http://, met en zonder www, en kijk of je overal netjes op dezelfde https-versie uitkomt. Klik op het slotje om de geldigheid te zien en open de ontwikkelaarstools van je browser om mixed content-meldingen op te sporen. Pas daarna in Google Search Console je voorkeursadres aan als dat nog op http stond.

SSL instellen in WordPress

Draait je site op WordPress, dan zijn er na stap 1 nog twee aandachtspunten. Ga naar Instellingen > Algemeen en zet zowel het WordPress-adres als het site-adres op https://. Zoek daarna in de database oude http-adressen op en vervang ze, bijvoorbeeld met een zoek-en-vervangplugin. Maak altijd eerst een back-up.

Een plugin die mixed content "onderweg" herschrijft kan als tijdelijke oplossing werken, maar het is netter om de adressen echt aan te passen. Dan ben je niet afhankelijk van een extra plugin en blijft je site sneller. Gebruik je een cacheplugin, leeg dan na de omzetting de cache zodat bezoekers geen oude versie meer krijgen.

Veelvoorkomende fouten met SSL en https

Een certificaat aanzetten is meestal zo gebeurd. Problemen ontstaan vaak pas later of in de details. Dit zijn de fouten die we het vaakst zien:

• Verlopen certificaat. De automatische verlenging faalt bijvoorbeeld omdat het domein tijdelijk naar een andere server wees. Bezoekers krijgen dan een paginagrote waarschuwing.
• Alleen www of alleen zonder www. Het certificaat dekt maar één variant, waardoor de andere een foutmelding geeft.
• Mixed content. Het slotje ontbreekt of afbeeldingen verdwijnen omdat er nog http-adressen in de pagina staan.
• Geen doorverwijzing. De site is via http en https bereikbaar, waardoor Google twee versies ziet.
• Doorverwijslus. Een dubbele regel in hosting en plugin zorgt dat de pagina blijft doorverwijzen en niet laadt.
• Subdomeinen vergeten. Een shop.- of portaal.-subdomein heeft een eigen certificaat nodig, of een certificaat dat dat subdomein dekt.

Wil je dit soort dingen niet zelf in de gaten houden? Bij website onderhoud controleren we onder meer je SSL, updates en back-ups doorlopend voor je.

Wat kost SSL bij IT Live?

Bij onze hosting, vanaf €9,95 per maand, zit een Let's Encrypt-certificaat gratis inbegrepen. We activeren het voor je domein en de verlenging gaat automatisch, dus je hoeft niet zelf op de vervaldatum te letten. Ook back-ups zijn bij de hosting inbegrepen.

Heb je een OV- of EV-certificaat nodig, bijvoorbeeld omdat een opdrachtgever daarom vraagt? Dan regelen we een premium SSL certificaat vanaf €49 per jaar, inclusief installatie.

Zelf doen of uitbesteden?

Heb je een standaard hostingpakket en een eenvoudige site, dan kun je https met dit stappenplan prima zelf instellen. Draai je een oudere site met veel handmatig ingevoerde links, meerdere subdomeinen of een eigen server, dan scheelt het tijd en frustratie om het te laten doen. Ook als je site op WordPress draait en je liever niet zelf in de database zoekt, kan WordPress onderhoud een uitkomst zijn.