Een SSL-certificaat is het ding achter het slotje in de adresbalk en achter de s in https. Het versleutelt wat er tussen de bezoeker en je website heen en weer gaat, zodat niemand ertussen kan meelezen.
Wat het wel doet
Drie dingen. Het versleutelt de verbinding, zodat een ingevuld contactformulier of wachtwoord onderweg niet leesbaar is. Het bevestigt dat het domein is wie het zegt te zijn. En het zorgt dat browsers je site normaal tonen in plaats van met een waarschuwing.
Dat laatste is in de praktijk het belangrijkste. Chrome en Safari zetten bij een site zonder certificaat een melding dat de verbinding niet veilig is. Een bezoeker die dat ziet, klikt terug. Niet omdat hij weet wat er aan de hand is, maar omdat het eng oogt.
Wat het niet doet
Hier gaat het vaak mis in de verwachting. Een SSL-certificaat maakt je website niet veilig. Het versleutelt alleen het transport. Een site met een verouderde plug-in, een zwak wachtwoord of een lek in het thema is met certificaat precies zo makkelijk over te nemen als zonder.
Het slotje betekent dus: niemand leest mee onderweg. Het betekent niet: deze website is te vertrouwen. Phishingsites hebben tegenwoordig ook gewoon een certificaat.
Wat het kost
Voor een normale zakelijke website: niets. Let’s Encrypt levert gratis certificaten en vrijwel elke hostingpartij heeft dat ingebouwd. Je zet het aan en het vernieuwt zichzelf elke paar maanden.
Betaalde certificaten van tientallen tot honderden euro’s per jaar bestaan ook. Die verschillen niet in de versleuteling zelf maar in de controle vooraf en in de garantieregeling erachter. Voor een bank of een webshop met veel transacties kan dat verdedigbaar zijn. Voor de meeste bedrijven is het geld voor iets wat de bezoeker niet ziet.
Hoe je controleert of het klopt
Typ je adres in met http ervoor en kijk of je automatisch naar https gaat. Doet hij dat niet, dan is het certificaat er wel maar staat de omleiding niet goed en heb je feitelijk twee versies van je site.
Kijk daarna of het slotje op elke pagina staat en niet alleen op de homepagina. Een pagina met een afbeelding die nog via http geladen wordt, krijgt in sommige browsers alsnog een waarschuwing. Dat heet gemengde inhoud en het is een van de meest voorkomende restjes na een overstap.
En Google?
Google gebruikt https als signaal, maar een klein signaal. Je komt er niet hoger door, je valt er wel door op als je het niet hebt. Zie het als de deur van je winkel: hij levert je geen klanten op, maar zonder komt er niemand binnen.
Bij elk onderhoudscontract staat het certificaat en de omleiding naar https standaard goed, inclusief controle op gemengde inhoud.
Veelgestelde vragen
Maakt een SSL-certificaat mijn website veilig?
Nee. Het versleutelt alleen het verkeer tussen bezoeker en site. Een site met een verouderde plug-in of een zwak wachtwoord is met certificaat precies zo makkelijk over te nemen als zonder. Het slotje betekent dat niemand meeleest, niet dat de site te vertrouwen is.
Moet ik betalen voor een certificaat?
Voor een normale zakelijke website niet. Let’s Encrypt levert gratis certificaten en vrijwel elke hoster heeft dat ingebouwd, inclusief automatische vernieuwing. Betaalde certificaten verschillen niet in de versleuteling maar in de controle vooraf en de garantie erachter.
Mijn site heeft https maar toch een waarschuwing. Hoe kan dat?
Waarschijnlijk gemengde inhoud: er wordt ergens nog een afbeelding of script via http geladen. Dat is een van de meest voorkomende restjes na een overstap naar https en het is op te lossen zonder het certificaat aan te raken.
Liever niet zelf bijhouden?
Updates, back-ups buiten de server, beveiliging en controle op storingen elke vijftien minuten. Voor 45 euro per maand.
