Een SSL-certificaat is het bewijs dat een website echt is wat hij zegt, en zorgt dat gegevens versleuteld worden verstuurd: het slotje bij https. Ontbreekt het of is het verlopen, dan waarschuwt de browser je bezoekers en haken veel mensen af. Het hoort bij je domein en moet geldig blijven.
Wat is een SSL-certificaat?
Zonder certificaat kunnen gegevens die tussen bezoeker en site reizen, zoals wachtwoorden en formulierinvoer, onderweg gelezen of aangepast worden. Browsers waarschuwen bezoekers ook als een certificaat ontbreekt of ongeldig is, en de meeste mensen haken dan af.
Een certificaat koppelt een domeinnaamEen domeinnaam is het webadres waarmee bezoekers jouw website vinden, zoals bedrijfsnaam.nl. aan een geheime sleutel die jouw server bewaart. Een betrouwbare organisatie, een certificaatautoriteit, controleert dat jij het domein beheert en ondertekent dan het certificaat. Maakt een browser verbinding, dan controleert hij de handtekening, kijkt hij of de naam bij het adres past en spreekt hij met de server encryptiesleutels af.
SSL is de oude naam. De techniek heet nu TLS, en oudere versies van SSL en vroege TLS zijn buiten gebruik gesteld. De naam SSL-certificaat is blijven hangen, daarom zie je beide termen voor hetzelfde bestand.
Wat het betekent voor een PHP- of WordPress-site
Het certificaat staat op de server of op de laag ervoor, niet in PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt.. Veel hostingpartijen regelen er automatisch een en verlengen het op de achtergrond, vaak met de gratis dienst Let’s Encrypt. Bij een eenvoudig pakket moet je het soms zelf aanzetten in het hostingpaneelEen hostingpaneel, zoals cPanel of Plesk, is de beheerpagina van je hosting, waar je domeinen, e-mail en PHP-versie instelt..
Er gaat meestal een van drie dingen mis. Het certificaat verloopt omdat de automatische verlenging mislukte. Het certificaat past niet bij de naam, bijvoorbeeld omdat het het adres zonder www dekt maar niet dat met www. Of de site bevat nog links en afbeeldingen naar http-adressen, wat waarschuwingen over gemengde inhoud geeft.
Bij WordPressWordPress is een programma waarmee je een website maakt en beheert zonder te hoeven programmeren. moet het siteadres in de instellingen met https beginnen, anders blijft de site http-links maken. En haalt PHP gegevens op bij andere servers via HTTPS, bijvoorbeeld met cURLcURL is een hulpmiddel waarmee software, zoals PHP, gegevens ophaalt van of verstuurt naar andere websites en diensten., dan hoort het het certificaat van de andere kant te controleren. Zet je die controle uit om een foutmelding kwijt te raken, dan haal je de bescherming weg waarvoor het certificaat er is.
Zo controleer je je certificaat
Klik in je browser op het slotje naast het adres en open de certificaatgegevens. Je ziet wie het uitgaf, voor welke namen het geldt en tot wanneer. Zet de einddatum in je agenda als de verlenging niet automatisch gaat. Een wijziging in DNSDNS is het telefoonboek van het internet: het vertaalt jouw domeinnaam naar de server waar je website staat. of een verhuizing naar een nieuwe server betekent vaak dat het certificaat opnieuw moet worden uitgegeven voor de nieuwe opzet, dus kijk direct na een migratie.
Het certificaat beschermt de verbinding. Aanvullende browserbescherming, zoals HSTS, stel je in via securityheadersSecurityheaders zijn instructies die je website meestuurt en waarmee de browser van je bezoeker extra beveiligingsregels toepast. bovenop het certificaat.
Wanneer onderneem je actie?
Handel meteen als bezoekers een certificaatwaarschuwing zien, want die houdt ze buiten de site. Handel snel als de einddatum nadert en verlenging niet automatisch gaat. Verschijnt een waarschuwing samen met andere fouten na een update of verhuizing, dan is een kapotte configuratie een waarschijnlijke oorzaak, en staat je website offline, dan zoeken wij die op en herstellen we hem. Houd er rekening mee dat een geldig certificaat een verouderde PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3. niet veilig maakt; daarvoor is een update nodig.
Veelgestelde vragen
Wat is het verschil tussen SSL en TLS?
TLS is de nieuwere versie van de techniek die ooit als SSL begon. De oude SSL-versies zijn buiten gebruik en horen niet meer gebruikt te worden. Mensen zeggen uit gewoonte nog SSL-certificaat, maar de verbinding zelf draait op TLS.
Waarom zegt mijn browser dat mijn site niet veilig is?
Veelvoorkomende oorzaken zijn een verlopen certificaat, een certificaat dat voor een andere domeinnaam is uitgegeven, of een pagina die sommige bestanden via gewoon http laadt. Bekijk eerst de certificaatgegevens in de browser en daarna de instellingen van je site.
Betekent HTTPS dat mijn site niet gehackt kan worden?
Nee. HTTPS beschermt de verbinding tussen bezoeker en server, zodat anderen het verkeer onderweg niet kunnen lezen of aanpassen. Het zegt niets over of de site zelf bij is of vrij van kwetsbaarheden.