SSL, TLS en HTTPS uitgelegd: wat een certificaat doet en wat je controleert

HTTPS is de versleutelde versie van HTTP en gebruikt TLS om alle communicatie tussen een bezoeker en de server te versleutelen. Een certificaat, in de volksmond een SSL-certificaat, is in algemene termen het bewijs waarmee de server laat zien dat hij echt bij jouw domein hoort. Als site-eigenaar hoef je de techniek niet te bouwen. Je moet wel weten wat er verloopt, wat er automatisch vernieuwt en wat jij controleert, zeker nu Let’s Encrypt heeft aangekondigd dat de geldigheidsduur van zijn certificaten korter wordt.

Wat is het verschil tussen SSL, TLS en HTTPS?

De drie afkortingen worden door elkaar gebruikt. MDN Web Docs, de documentatie van Mozilla, omschrijft HTTPS als een versleutelde versie van het HTTP-protocol dat TLS gebruikt om alle communicatie tussen een client en een server te versleutelen. TLS, Transport Layer Security, is volgens MDN een protocol waarmee een client veilig met een server kan communiceren over een onvertrouwd netwerk, en wordt vooral gebruikt om HTTP te beveiligen. En SSL? Als algemene uitleg, niet uit de MDN-tekst: SSL is de naam van het oudere protocol waar TLS op volgde, en in het dagelijks spraakgebruik heet een certificaat nog steeds een SSL-certificaat.

MDN adviseert in de uitleg over TLS dat alle websites al hun pagina’s en subresources via HTTPS aanbieden en serverauthenticatie implementeren. Het woord subresources is belangrijk. Een pagina die zelf via HTTPS komt, maar een afbeelding, script of lettertype via gewoon HTTP laadt, is niet volledig beveiligd. Op een WordPress-site gebeurt dat bijvoorbeeld na een verhuizing, als oude links in berichten of in het thema nog naar de http-versie van het domein wijzen.

Wat doet een certificaat?

Wat doet een certificaat precies? Het koppelt een domeinnaam aan een sleutel waarmee de verbinding wordt opgezet, en het is afgegeven door een certificaatautoriteit die door browsers wordt vertrouwd. Dat is algemene uitleg; de details zijn technisch en voor het beheer van een gewone site niet nodig. Voor jou is vooral relevant dat een certificaat een einddatum heeft. Na die datum waarschuwt een browser bezoekers dat de verbinding niet veilig is, ook al is er aan je site zelf niets veranderd. Vraag je hostingpartij hoe het certificaat voor jouw domein wordt aangevraagd en vernieuwd.

Let’s Encrypt is, volgens de eigen website, een gratis, geautomatiseerde en open certificaatautoriteit die wordt beheerd door ISRG ten dienste van het publiek. Een hostingpartij kan het gebruiken om certificaten voor klanten uit te geven, zodat je geen apart certificaat hoeft te kopen. Gratis betekent wel dat je het vernieuwingsproces moet vertrouwen. Een certificaat dat door een geautomatiseerd proces wordt vernieuwd, werkt zolang dat proces werkt, en het stopt als het proces stilvalt.

Hoe lang is een Let’s Encrypt-certificaat geldig?

Per 11 oktober 2026 zijn Let’s Encrypt-certificaten standaard 90 dagen geldig, volgens de veelgestelde vragen van Let’s Encrypt. Dat gaat veranderen. In een bericht van 2 december 2025 schrijft Let’s Encrypt dat het nu certificaten van 90 dagen uitgeeft, die uiterlijk in 2028 worden gehalveerd tot 45 dagen. Dat is een aangekondigd plan van Let’s Encrypt, dat niets zegt over andere certificaatautoriteiten, en de planning kan wijzigen. Lees het bericht zelf als je de actuele stand wilt weten.

In datzelfde bericht noemt Let’s Encrypt een datum voor het classic-profiel: op 16 februari 2028 gaat dat profiel 45-daagse certificaten uitgeven. Ook die datum is een geplande datum. Wat je nu al kunt afleiden is de richting: certificaten worden korter geldig, dus ze worden vaker vernieuwd. Voor een site-eigenaar betekent dit dat vernieuwing niet meer iets mag zijn waar je jaarlijks aan denkt. Het hoort een proces te zijn dat zonder jou werkt.

Let’s Encrypt raadt daarom af om certificaten handmatig te vernieuwen, omdat dat bij kortere geldigheid vaker nodig is. Dat sluit aan op een tweede advies: zorg dat je systemen voldoende monitoring hebben om te alarmeren als certificaten niet tijdig worden vernieuwd. Dat advies staat ook in het bericht van 2 december 2025. Een geautomatiseerde vernieuwing zonder alarm is een risico dat je pas opmerkt als bezoekers een waarschuwing zien. Een alarm dat nooit afgaat omdat het niet is ingesteld, beschermt niemand.

Wat controleer je als site-eigenaar?

Wat controleer je als site-eigenaar? Begin met de basis. Open je site via http:// en kijk of je automatisch naar https:// wordt doorgestuurd. Klik door een paar pagina’s en let op het slotje in de adresbalk. Controleer de einddatum van het certificaat in de browser, noteer die en kijk een week later of de datum is verschoven. Zo zie je met eigen ogen of de automatische vernieuwing echt werkt. Doe dit ook voor een paar pagina’s die je zelden bezoekt, zoals het contactformulier en de afrekenpagina. Doe dat ook na een verhuizing naar een andere hostingpartij.

Controleer ook of alles via HTTPS wordt geladen. MDN adviseert dat alle pagina’s en subresources via HTTPS komen. Een pagina met een afbeelding via http kan een waarschuwing geven. Dit is bij WordPress-sites een bekend herstelwerkje na een verhuizing of een wijziging van het domein. Verbeter de links in de database en in het thema, en test daarna opnieuw. Test na een wijziging ook de oude adressen van je pagina’s, zodat ze netjes doorverwijzen naar de https-versie. Een controle van een paar minuten per kwartaal voorkomt dat bezoekers een melding zien over een onveilige verbinding.

Een volgende stap is HSTS. De HTTP-header Strict-Transport-Security informeert browsers volgens MDN dat een host alleen via HTTPS mag worden benaderd en dat elke latere poging om via HTTP te verbinden automatisch naar HTTPS wordt opgewaardeerd. Het is een extra bescherming, maar ook een verplichting: als je HSTS inschakelt en daarna je certificaat laat verlopen, kunnen bezoekers niet meer terugvallen op een gewone HTTP-verbinding. Zet het dus pas aan als vernieuwing aantoonbaar werkt en als je site volledig via HTTPS draait.

Heeft HTTPS invloed op je vindbaarheid?

Heeft HTTPS invloed op je vindbaarheid? Google kondigde in augustus 2014 aan HTTPS te gaan gebruiken als rankingsignaal. Toen was dat volgens Google Search Central een zeer licht signaal dat minder dan 1 procent van de wereldwijde zoekopdrachten raakte. Dat bericht is van 2014. Hoe zwaar het signaal nu weegt, zegt dit bericht niet, dus gebruik het niet als reden om te beweren dat HTTPS je positie verbetert. De betere reden is dat bezoekers geen waarschuwing willen zien.

Wat gebeurt er als een certificaat verloopt?

Voor een webshop geldt een extra overweging. WooCommerce schrijft dat je bij een extern gehoste betaalgateway mogelijk geen SSL-certificaat nodig hebt om WooCommerce te draaien, maar dat veel betaalplugins het vereisen en dat het voor alle WooCommerce-sites sterk wordt aanbevolen. Wat gebeurt er als het certificaat verloopt? Bezoekers krijgen dan een browserwaarschuwing te zien in plaats van je winkel. Zorg dus dat hosting de vernieuwing regelt en dat WordPress-onderhoud het controleert, vanaf €45 per maand.

Verhuis je naar een andere hostingpartij, neem het certificaat dan mee in je checklist. Bij een migratie hoort het uitgeven van een nieuw certificaat voor de nieuwe omgeving, en het controleren van de redirect van http naar https. Verder in deze reeks lees je over de verschillen tussen hostingvormen en over wat je doet bij een hack. Een certificaat is geen eenmalige taak, maar een datum die je in de gaten houdt. Noteer in je onderhoudsplan wie het certificaat controleert en op welke datum de volgende controle staat.

Laatst bijgewerkt op 11 oktober 2026