Wat doet een SSL-certificaat voor je website?

“SSL-certificaat” is een gebruikelijke naam in hostingpakketten. Moderne HTTPS-verbindingen gebruiken TLS. Een certificaat is een onderdeel van die verbinding: de browser controleert onder meer of het geldig is voor de opgevraagde domeinnaam en of de certificaatketen wordt vertrouwd. Daarna kunnen browser en server versleuteld communiceren.

Volgens Mozilla’s uitleg over TLS biedt de techniek bescherming voor communicatie tussen browser en server. Voor een ondernemer betekent dat bijvoorbeeld dat een formulierinzending niet als gewone leesbare tekst over die verbinding wordt verzonden. De verwerking en opslag ná ontvangst zijn afzonderlijke onderdelen.

HTTPS bewijst niet dat de eigenaar van een site eerlijk is, dat het bedrijf goede producten levert of dat de website vrij is van kwetsbaarheden. Ook een misleidende website kan een geldige HTTPS-verbinding hebben. Gebruik het daarom niet als algemene belofte “de hele website is veilig”.

Een certificaat vervangt evenmin updates en websiteonderhoud. Beheerdersaccounts, formulieren, gebruikte software en back-ups vragen eigen aandacht. Bij de keuze van hosting bespreek je wie het certificaat instelt, wie vernieuwing bewaakt en wie een storing opvolgt.

Neem een fictieve bedrijfswebsite die is omgezet van HTTP naar HTTPS. De homepage opent goed, maar een oude kaart of afbeelding wordt nog via een HTTP-adres ingeladen. De bovenliggende pagina en het ingesloten onderdeel gebruiken dan verschillende beveiligingsniveaus. Dat heet gemengde inhoud, ook wel mixed content.

De browser kan zulke verzoeken opwaarderen naar HTTPS of blokkeren, afhankelijk van het soort inhoud en de situatie. Daardoor kan een pagina onvolledig werken, ook als het hoofdadres met HTTPS begint. Mozilla beschrijft mixed content en de browserafhandeling. Laat de bouwer de meldingen onderzoeken in plaats van beveiliging uit te schakelen.

Controleer representatieve pagina’s, niet alleen de homepage. Oude berichten, downloadpagina’s of ingebedde onderdelen kunnen nog oude adressen bevatten. Ook formulieren en koppelingen moeten via de bedoelde beveiligde route werken. Een link naar een andere site is iets anders dan een bestand dat de pagina zelf onveilig inlaadt.

Een certificaat geldt voor specifieke domeinnamen. Je hoofddomein, een www-variant en een afzonderlijk subdomein moeten correct worden afgedekt wanneer je die gebruikt. Een certificaat voor het ene adres geldt niet automatisch voor alle andere adressen. Laat de beheerder controleren of de gekozen dekking bij de inrichting past.

Als bezoekers een HTTP-adres gebruiken, hoort de site hen normaal gesproken naar de bedoelde HTTPS-versie door te sturen. Controleer daarbij dat er geen eindeloze omleiding ontstaat en dat subpagina’s hun eigen inhoud behouden. Een redirect naar alleen de homepage maakt oude links minder bruikbaar.

Blijft er een browserwaarschuwing over, noteer dan het adres en de melding. Een verlopen certificaat, een verkeerde domeinnaam en een onvolledige certificaatketen zijn verschillende oorzaken. Laat de verantwoordelijke beheerder die oorzaak oplossen. Vraag bezoekers niet om waarschuwingen te negeren om toch contact op te nemen.

Certificaten hebben een geldigheidsperiode en moeten worden vernieuwd. Veel hostingomgevingen ondersteunen automatische vernieuwing. Vraag niet alleen of die functie aanstaat, maar ook wie een mislukte vernieuwing opmerkt en herstelt. Automatisering neemt verantwoordelijkheid voor meldingen niet weg.

Een verandering in domeinbeheer, DNS of hosting kan invloed hebben op certificaatvalidatie of installatie. Neem HTTPS daarom mee in het verhuisplan. Lees hoe je domein, DNS en e-mail bij een overstap uit elkaar houdt. Controleer na de wijziging de adressen die klanten werkelijk gebruiken.

Loop voor oplevering een korte controle door: open de website zonder waarschuwing, test de domeinvarianten, bekijk belangrijke pagina’s en dien een testformulier in. Controleer of afbeeldingen en ingebedde functies laden. Laat technische meldingen over gemengde inhoud door de bouwer beoordelen.

Leg vast waar certificaatmeldingen aankomen. Een bericht naar het adres van een voormalig medewerker helpt weinig. Wijs een verantwoordelijke aan die toegang heeft tot de juiste hosting- of certificaatomgeving en weet wie kan helpen bij een probleem. Geheim materiaal, zoals privésleutels, hoort niet in openbare bestanden.

Bij de oplevering van je website hoort een begrijpelijke uitleg van de beheerafspraken. Vraag wat inbegrepen is, welke controles periodiek plaatsvinden en hoe je hulp krijgt. Voor herstel bij gegevensverlies blijft een passende back-up nodig; HTTPS is geen reservekopie van je website.