[Top] 149 Beveiligde verbinding (https) is belangrijk voor alle websites

Een SSL-verbinding zorgt voor versleutelde communicatie tussen website en gebruiker. Het is niet alleen veiliger, zoekmachines geven er de voorkeur aan.

Is het je opgevallen? De melding van je browser ‘Verbinding is niet beveiligd’ of ‘Je verbinding is niet privé’? Dat gaat Chrome steeds vaker tonen in de adresbalk van het programma. Google is in 2014 begonnen om de beveiligde verbinding – met https:// – mee te nemen in de ranking factor van websites. Vanaf dit jaar scoren websites met een SSL/TLS certificaat echt beter. Toch zijn er nog andere redenen om dit goed te regelen.

Natuurlijk zijn betere veiligheid en privacy door zo’n SSL/TLS verbinding allereerst van belang. De afkortingen staan voor Secure Sockets Layer en Transport Layer Security. Hoewel TLS de opvolger is, wordt het vaak gewoon SSL genoemd.

Deze afkorting gelijk ook maar: HTTPS = HyperText Transfer Protocol Secure.

Enfin. Het gaat erom dat dit protocol drie dingen doet.

• Encryptie – de datacommunicatie tussen website en de gebruikers wordt zo versleuteld dat anderen er niet ‘mee kunnen luisteren’.
• Verificatie – is de website daadwerkelijk wie hij zegt te zijn, https controleert of een gebruiker met de juiste website/server ‘spreekt’. (Alleen een bevoegde tussenpersoon of de eigenaar kan SSL installeren.)
• Integriteit – de data die wordt uitgewisseld, kan niet ongemerkt worden veranderd. Is ook zinloos zonder sleutel.

Een website met zo’n verbinding kun je herkennen aan het groene slotje in de adresbalk van de browser (Chrome, Firefox). De communicatie van een website (server) met bezoekers kan door derde partijen niet meer worden afgeluisterd. Persoonlijke gegevens, creditcard gegevens, wachtwoorden zijn daardoor veel veiliger. Zeker voor webshops met betaalverkeer is zo’n beveiligde verbinding verplicht.

Google gaat die melding in Chrome voor alle websites vaker laten zien om het gebruik van SSL-certificaten te stimuleren. Het zegt namelijk iets hoe een website met zijn bezoekers omgaat.

Daarmee kom ik op een andere reden om dit voor je website te regelen. Nu is het nog zo dat Chrome een melding geeft, maar het gaat een waarschuwing worden. Dat vergroot natuurlijk niet het vertrouwen van mensen die je website bekijken.

Dat zal dus ook gevolgen hebben voor websites zonder betaalverkeer. Bedrijven met een webshop zullen hier intussen mee bekend (moeten) zijn.

SSL: verschillende soorten certificaten

Het gaat je als website eigenaar waarschijnlijk wel wat geld kosten. Hoewel er gratis SSL-certificaten verkrijgbaar zijn, zullen die toch correct geïnstalleerd moeten worden. Ze zijn er in meerdere smaken.

1. Met domein validatie: dit certificaat bevat geen bedrijfsgegevens, maar wordt gecontroleerd op het eigendom van de domeinhouder. Voor 1 domein (en subdomeinen).
2. Met organisatie validatie: hier worden de bedrijfsgegevens wel meegestuurd, zodat bezoekers kunnen controleren met welk bedrijf te maken hebben. Eventueel voor meerdere domeinen.
3. Met uitgebreide validatie: dan worden de bedrijfsgegevens ook gecheckt via een openbaar register (zoals de KvK) en zijn andere documenten en handtekeningen nodig. De bedrijfsnaam is dan ook te zien in het linkergedeelte van de adresbalk.

De kosten hiervoor kunnen nogal verschillen. Kijk dus goed naar wat je echt nodig hebt. Of wat je bereid bent te betalen. Mijn provider biedt gratis certificaten via Let’s Encrypt op domein aan. Dat is een non-profit organisatie die een veiliger en privacy respecterend internet nastreeft voor alle gebruikers.

Op mijn websites heb ik ze inmiddels geïnstalleerd. Helaas zie ik op de lijst met providers die Let’s Encrypt aanbieden verder nauwelijks Nederlandse partijen staan. Het is namelijk wel handig om SSL te regelen via je provider, omdat zij dan de periodieke licentiesleutel automatisch updaten.

SSL voor WordPress websites

1. Stap één om je website via een beveiligde verbinding aan te bieden, is dus informeren naar de mogelijkheden van je provider.
2. Stap twee is het zorgen voor en activeren van het certificaat.

Maar dan ben je er vaak nog niet helemaal. Je kan dan nog meldingen krijgen als ‘fout met ssl verbinding’. Of je hebt wel een certificaat, maar er is sprake van ‘mixed content’. Dat betekent dat niet alle onderdelen van je website via de https-verbinding gaan.

Voor WordPress is er een enorm handige plugin om je te helpen: Really Simple SSL. Die zorgt dat in principe alle URL naar https worden omgezet. Voor sommige URL’s die in CSS en JavaScript bestanden gecodeerd staan, zullen handmatig moeten worden aangepast.

Dat kunnen absolute adressen (volledig pad met http://) in de code zijn van bijvoorbeeld het thema dat je gebruikt. Die dienen relatief gemaakt te worden (met alleen ‘//’).

Of het kan gaan om afbeeldingen, stylesheets of scripts die vanaf een ander, onbeveiligd domein worden geladen. Deze moeten echter binnen je beveiligde domein worden gebracht om de SSL-verbinding volledig te activeren. En zie, het groene slotje verschijnt.

Online kun je een SSL check doen via bijvoorbeeld SSL Labs. Dan krijg je de testresultaten zo voorgeschoteld.