Wat is een SSL-certificaat en waarom is het belangrijk?

Je zult vast wel op de hoogte zijn dat wanneer je een slotje boven in de balk van je browser ziet, de website die je bezoekt betrouwbaar is. Maar weet je ook waarom? Dit slotje betekent namelijk dat er een versleutelde (en dus veilige) verbinding is tussen de webserver en de internetbrowser. Dit heet een SSL-verbinding. SSL is een beveiligingsprotocol dat staat voor Secure Socket Layer dat je kunt krijgen doormiddel van een SSL-certificaat.

Wat houdt een versleutelde SSL-verbinding in?

Een versleutelde SSL-verbinding tussen de webserver en de internetbrowser is een verbinding waarbij de server en browser informatie kunnen uitwisselen zonder dat deze kan ‘lekken’ naar een externe partij. Dit betekent dat bij het uitwisselen van de informatie deze niet door andere partijen gezien of gelezen kan worden en dat de informatie ook niet gewijzigd kan worden terwijl deze wordt verstuurd tussen de verzender en ontvanger. Denk bijvoorbeeld aan wachtwoorden, persoonlijke informatie zoals adresgegevens of persoonsgegevens zoals je ID.

Wanneer een website een SSL-certificaat heeft, zal er een slotje bovenin de zoekbalk verschijnen op het moment dat je (persoonlijke) informatie moet invullen. Wanneer je bijvoorbeeld bij een website op je account inlogt, is het belangrijk dat je het slotje bovenin kunt zien staan. Alleen dan weet je zeker dat je bij de echte website aan het inloggen bent. Het SSL-certificaat kan namelijk alleen worden aangevraagd door de eigenaar van de website zelf. Iemand die zich dus probeert voor te doen als een andere website, kan dat niet.

SSL-certificaat essentieel voor websitebeveiliging

Een SSL-certificaat is essentieel voor je website en de beveiliging daarvan. Het SSL-certificaat zorgt ervoor dat gevoelige informatie die bezoekers delen beschermd wordt tegen diefstal en onderschepping door kwaadwillenden. Het verzorgt een versleutelde verbinding voor het veilig delen van gegevens. In sommige gevallen is het zelfs verplicht om een SSL-certificaat te hebben. Wanneer je om bepaalde soorten gegevens vraagt, zoals betalingsinformatie, ben je wettelijk verplicht om een SSL-certificaat te hebben. Anders mag je deze gegevens helemaal niet van je bezoekers vragen.

Het SSL-certificaat herkennen we allemaal door het slotje boven in de zoekbalk. Dit slotje verschijnt zodra we op een website komen waar we bijvoorbeeld moeten inloggen. Iedereen weet inmiddels dat het slotje linksboven betekent dat een website veilig is en ook de echte website is. Internetcriminelen worden steeds vaardiger in het namaken van websites en het proberen af te vangen van persoonsgegevens. Bij alle grote instanties, waaronder de overheid, wordt dan ook aangeraden om altijd de URL in de zoekbalk te controleren én om te kijken of er een slotje aanwezig is.

Ook heeft het SSL-certificaat zo zijn SEO-voordelen. Zoekmachines zoals Google geven inmiddels voorrang aan websites die hun SSL-certificaat in orde hebben. Dat betekent dat je website met SSL-certificaat hoger zal scoren dan zonder. Het SSL-certificaat is dus ook belangrijk voor je SEO-ranking!

Wat zijn de kosten van een SSL-certificaat?

De kosten voor een SSL-certificaat verschillen. Als je je eigen websites host, kun je dit ook zelf gratis regelen. Heb je je website bij een bedrijf gehost, dan is de prijs afhankelijk van de partij die het voor je moet regelen. Wij hebben in onze abonnementen de kosten van het SSL-certificaat in de webhosting erbij zitten.

Let's Encrypt

Let’s Encrypt is een gratis certificeringsautoriteit waarmee je kosteloos een SSL-certificaat voor je website kunt regelen. Je draait daarvoor software op je webhosting die het ACME-protocol gebruikt om een SSL-certificaat te genereren voor het domein van je website. Wanneer je SSH-toegang hebt tot de server van je website, kun je zelf Let’s Encrypt installeren om deze te gebruiken.

Als je je website bij een hostingpartij hebt staan en bijvoorbeeld gebruikmaakt van een controlepaneel zoals cPanel of Plesk, is de kans groot dat je deze toegang niet hebt. In dat geval kun je je hostingpartij vragen om Let’s Encrypt te installeren, zodat je het kunt gebruiken. Als je geen toegang hebt tot het controlepaneel, kun je altijd nog vragen hoe je hostingpartij het huidige SSL-certificaat heeft geregeld.

Hoe kom ik aan een SSL-certificaat?

Een SSL-certificaat kun je op verschillende manieren aanvragen. Zo is het bijvoorbeeld mogelijk via een functie in het controlepaneel van je hostingprovider om dit automatisch te regelen. Bij cPanel is dat bijvoorbeeld mogelijk. Je kunt het ook aanvragen bij een Certificate Authority zoals DigiCert of Symantec. Of via een cloudservice zoals Amazon Web Services.

We zullen dit proces in een ander artikel verder toelichten.

Verschillende soorten SSL-certificaten

Wanneer je een SSL certificaat aanvraagt kun je verschillende certificaten krijgen. Zo heb je bijvoorbeeld een SSL-certificaat ‘wildcard’ waarbij alleen domeinnamen zonder www worden meegenomen. Alle domeinnaam variaties met WWW worden niet meegenomen. De volgende 3 soorten certificaten worden het meeste aangevraagd:

Domain Validated
Het Domain Validated-certificaat is het basiscertificaat onder de SSL-certificaten. Dit certificaat wordt het meest aangevraagd en kan snel worden geleverd, vaak binnen enkele minuten. Voor het DV-certificaat hoef je alleen het domein te verifiëren. Dit kan worden gedaan door middel van een e-mailverificatie (door het versturen van een authenticatie-e-mail), het plaatsen van een tekstbestand in de root-directory of het aanpassen van CNAME DNS-records die worden gecontroleerd. Er wordt alleen gecontroleerd of de aanvrager controle heeft over het domein. Dit SSL-certificaat wordt voornamelijk gebruikt door websites die geen transacties uitvoeren of persoonsgegevens verzamelen/bewaren.

Organization Validation
Een Organization Validation (OV) SSL-certificaat ondergaat een uitgebreidere controle dan een Domain Validation (DV) SSL-certificaat. Er worden meer controlepunten gecontroleerd om het OV SSL-certificaat te verkrijgen. Dit omvat de verificatie van de registratie van je bedrijf in het land van vestiging, waarbij de aangeleverde informatie wordt vergeleken. Ze controleren of je bedrijf legaal is ingeschreven en fysiek aanwezig is op het opgegeven adres. Dit gebeurt via overheidsdocumenten of aanvullende informatie. Een actief telefoonnummer van je bedrijf is ook vereist. Vervolgens wordt de domeinvalidatie uitgevoerd om te bevestigen dat je de eigenaar bent van het domein waarvoor het certificaat wordt uitgegeven. Zodra dit bevestigd is, word je gebeld om het telefoonnummer te verifiëren en te bevestigen dat je het certificaat ontvangt.

Extended Validation
Voor een Extended Validation SSL-certificaat moet een uitgebreide identiteitsverificatie en controle worden uitgevoerd. Dit is het strengst gecontroleerde certificaat van alle drie de verschillende soorten certificaten en neemt ook het meeste tijd in beslag. Naast de stappen die voor een DV en OV worden genomen, wordt er een extra controle uitgevoerd. Allereerst worden de naam, titel en het bedrijf gecontroleerd van de persoon die het certificaat aanvraagt. Het bedrijf dat het certificaat uitgeeft, moet controleren of de aanvrager namens het bedrijf mag handelen en of deze persoon bevoegd is om een contract aan te gaan namens het bedrijf. Ook moeten alle gegevens van het bedrijf zelf worden gecontroleerd, zoals de inschrijving in het handelsregister, het fysieke adres en een werkend telefoonnummer. Wanneer het bedrijf door alle controles heen komt, ontvangt het telefonisch een bevestiging van het ontvangen van het EV-certificaat.

Is er een betere optie dan SSL?

Ook SSL is inmiddels verder ontwikkeld tot een ‘betere’ versie. Er wordt nu vooral gebruikgemaakt van TLS, terwijl wat wij voorheen SSL noemden, niet langer wordt ondersteund. TLS staat voor Transport Layer Security en wordt gezien als de nieuwste en veiligste manier om informatie uit te wisselen tussen de browser en server.

TLS heeft niet alleen een verbeterd encryptie-algoritme, maar ook een verbeterde beveiliging, verbeterde protocolversies, een efficiënter en veiliger handshake-proces en is achterwaarts compatibel. Ondanks dat TLS een verbeterde versie is, noemen we dit nog steeds een SSL-certificaat. Omdat de term SSL-certificaat een standaard is geworden op webgebied, gebruiken we ook voor TLS deze naam.

Meer informatie over het beveiligen van je website

Wil je graag meer lezen over het beveiligen van je website? Lees dan snel verder bij onze andere artikelen!