Je kent het slotje in de adresbalk van je browser. Dat slotje betekent dat de website een SSL-certificaat heeft en dat alles wat jij en de site uitwisselen, versleuteld is. Zonder certificaat toont de browser de melding “Niet beveiligd”. Voor een bedrijfswebsite is dat niet meer aanvaardbaar.

Wat doet een SSL-certificaat?

Een SSL-certificaat (tegenwoordig eigenlijk TLS, maar iedereen zegt nog SSL) doet twee dingen:

  1. Versleutelen. Gegevens die tussen de bezoeker en je website reizen, zoals een ingevuld contactformulier, kunnen onderweg niet gelezen of aangepast worden.
  2. Bevestigen. Het certificaat bewijst dat de bezoeker echt met jouw domein verbonden is en niet met een nagemaakte kopie.

Het resultaat is een adres dat begint met https:// in plaats van http://.

Twee adresbalken. Met SSL-certificaat toont de browser een slotje en https voor het adres. Zonder certificaat staat er in het rood: Niet beveiligd.

Waarom je er niet zonder kunt

  • Vertrouwen. Bezoekers zien de waarschuwing “Niet beveiligd” en haken af, zeker bij een formulier.
  • Google. Beveiligde sites krijgen de voorkeur in de zoekresultaten. Een site zonder https scoort structureel slechter.
  • Privacywetgeving. De GDPR verplicht je om persoonsgegevens passend te beveiligen. Een contactformulier zonder versleuteling voldoet daar niet aan.
  • Browsers. Steeds meer functies, zoals locatiebepaling of betalingen, werken alleen op https.

Welke soorten bestaan er?

Er zijn drie validatieniveaus. Ze verschillen niet in de sterkte van de versleuteling, wel in hoe grondig de uitgever controleert wie je bent.

  1. Domeinvalidatie (DV). De uitgever controleert alleen dat je het domein beheert. Dit is de standaard voor vrijwel elke website en ruim voldoende voor een bedrijfssite met een contactformulier.
  2. Organisatievalidatie (OV). De uitgever controleert ook je bedrijfsgegevens. Zinvol voor webshops en organisaties waar identiteit een rol speelt.
  3. Uitgebreide validatie (EV). De strengste controle, vooral gebruikt door banken en grote bedrijven. Browsers tonen dit tegenwoordig nauwelijks anders dan een gewoon certificaat, waardoor het nut voor kleine ondernemingen beperkt is.

Moet je ervoor betalen?

Nee. Sinds Let’s Encrypt zijn DV-certificaten gratis en worden ze automatisch vernieuwd. Ze zijn even veilig als betaalde certificaten. Betaalde varianten bieden vooral extra’s zoals organisatievalidatie of een verzekering, die de meeste kleine bedrijven niet nodig hebben.

Bij elke website die ik host, zit een certificaat standaard inbegrepen en wordt het automatisch vernieuwd. Je hoeft er niets voor te doen.

Zelf nakijken

Open je website en kijk naar de adresbalk. Zie je een slotje en begint het adres met https://, dan is het in orde. Zie je “Niet beveiligd”, of laadt een deel van de pagina nog via http (dan krijg je een gemengde melding), dan is het tijd om je hosting aan te spreken.

Heeft je website nog geen certificaat, of twijfel je? Stuur me een berichtje, dan kijk ik het na.