SSL-certificaten: welk type en waarom
Wat is een SSL-certificaat, welk validatieniveau past bij je bedrijf en hoe kosten browserwaarschuwingen je conversies? Een in de praktijk geteste gids.
Gepubliceerd door: Hızlı Yazılım
Wat is een SSL-certificaat en waarom het slotje ertoe doet
Een SSL-certificaat versleutelt het verkeer tussen de browser en je server en werkt als een digitale identiteitskaart. Zien bezoekers het slotje, dan vertrouwen ze erop dat formuliergegevens en inloggegevens beschermd zijn tegen afluisteren. Zonder versleuteling kan elk onversleuteld HTTP-verzoek worden meegelezen door iemand op hetzelfde netwerk. Zelfs een brochuresite heeft HTTPS nodig, omdat moderne browsers gewoon HTTP als 'niet veilig' bestempelen. Die waarschuwing alleen al jaagt voorzichtige gebruikers weg voordat ze één productbeschrijving hebben gelezen.
Het certificaat authenticeert ook de server. Een domeinvalidatiecertificaat bewijst alleen dat jij het domein beheert; het bevestigt niet je juridische bedrijfsnaam. Voor een contactformulier is dat prima. Bij betaalgegevens verwachten gebruikers een sterkere verificatie. Het juiste validatieniveau kiezen is een zakelijke beslissing, niet alleen een technische.
DV-certificaten: snel, maar zwakke validatie
Een DV-certificaat (Domain Validation) controleert alleen of jij de domeinnaam beheert. De certificaatautoriteit verifieert een DNS-record, een e-maillink of een bestand op de server. Dat duurt een paar minuten en is vaak gratis. DV verifieert echter niet de juridische naam van je bedrijf, je fysieke adres of je inschrijvingsnummer. Een phishingsite kan hetzelfde DV-certificaat krijgen voor een domein dat op het jouwe lijkt. Gebruikers bekijken zelden certificaatdetails, maar zonder bedrijfsidentiteit blijft het vertrouwen bij risicovolle handelingen beperkt.
DV volstaat voor persoonlijke blogs, portfoliosites, landingspagina's en eenvoudige contactformulieren waarbij geen gevoelige gegevens worden verzameld. Run je een kleine webwinkel in de eerste maanden, dan kan DV met een goede betaalprovider ook nog werken. De betaalprovider verwerkt kaartgegevens buiten je site, dus je eigen certificaat komt niet in aanraking met kaartnummers. Begrijp wat het certificaat beschermt en wat niet.
OV en EV: bedrijfsidentiteit in de certificaatdetails
Een OV-certificaat (Organization Validation) verifieert het domein én de rechtspersoon erachter. De autoriteit controleert de bedrijfsregistratie, het fysieke adres en het telefoonnummer. Dat duurt een paar werkdagen en vraagt om documenten. OV is de juiste balans voor bedrijven die facturen uitschrijven, contracten tekenen of groothandelsorders verwerken. In de meeste browsers ziet het slotje er hetzelfde uit als bij DV, maar de certificaatdetails tonen de geverifieerde bedrijfsnaam. Voor een KOBİ of mkb-bedrijf telt dat extra vertrouwen wanneer zakelijke kopers even snel controleren.
EV (Extended Validation) toonde vroeger een groene bedrijfsnaam in de adresbalk; browsers hebben dat geschrapt. Het zichtbare voordeel van EV is daardoor kleiner geworden. EV vraagt het meeste papierwerk, maar levert voor gewone websites nauwelijks extra zekerheid op die gebruikers zien. Tenzij je in het bankwezen, op grote marktplaatsen of in sterk gereguleerde sectoren actief bent, is EV meestal een overbodige uitgave. Besteed dat budget liever aan sitesnelheid of een betere checkout.
Wanneer een gratis certificaat volstaat
Gratis certificaten van Let's Encrypt of vergelijkbare autoriteiten bieden dezelfde versleutelingssterkte als betaalde DV-certificaten. Ze werken voor bedrijfspresentatiesites, catalogi, portfolio's en afspraakformulieren. Dankzij automatische verlenging via Certbot of je hostingpaneel zijn ze vrijwel onderhoudsvrij. Een gratis certificaat betekent geen zwakke beveiliging; de versleutelingsalgoritmen zijn identiek. Voor een klein bedrijf dat alleen naam, e-mailadres en bericht verzamelt, is een gratis DV-certificaat een verstandige standaardkeuze.
Gratis certificaten schieten tekort als je zelf betalingen ontvangt, een klantenportaal hebt of persoonsgegevens opslaat. Ze verifiëren je bedrijfsidentiteit niet, waardoor een bezoeker je site niet kan onderscheiden van een gekloond domein. Bovendien hebben gratis certificaten een korte looptijd, en zonder automatisering verlopen ze. Gratis is genoeg voor de meeste informatieve sites, maar niet voor transactionele systemen waar vertrouwen gelijkstaat aan omzet.
Mixed content: SSL geïnstalleerd, maar de browser waarschuwt nog steeds
Je hebt een SSL-certificaat geïnstalleerd, maar één afbeelding, CSS-bestand of JavaScript laadt nog via HTTP. De browser markeert de pagina dan als 'niet veilig' of toont een gebroken slotje. Dat is een mixed-contentfout. De pagina zelf wordt via HTTPS geleverd, maar elke subresource moet ook HTTPS gebruiken. Eén oude logo-URL of één plug-ininstelling kan het vertrouwenssignaal waar je hard aan hebt gewerkt tenietdoen.
Mixed content duikt vaak op na een sitemigratie of wanneer oude berichten hardgecodeerde HTTP-links bevatten. WordPress-databases, themabestanden en plug-ininstellingen zijn de gebruikelijke boosdoeners. De browserconsole laat precies zien welke resource onveilig is. Dit oplossen is niet optioneel: een bezoeker ziet geen verschil tussen een mixed-contentfout en een ontbrekend certificaat. Beide lijken op een beveiligingsprobleem, en beide kosten conversies.
Wat er gebeurt als je vergeet te verlengen
Elk SSL-certificaat heeft een vervaldatum. Is die verstreken, dan tonen browsers een rode waarschuwing over de hele pagina die de toegang blokkeert totdat de bezoeker via 'geavanceerd' doorklikt. De meeste gebruikers klikken niet door; ze gaan terug naar de zoekresultaten. Voor een webwinkel stopt de verkoop direct bij een verlopen certificaat. Zoekmachines kunnen het domein ook tijdelijk als onveilig markeren. Tussen het verlopen en het opmerken kunnen uren zitten, en elke minuut kost je potentiële kopers.
Vertrouw nooit op handmatig verlengen. Zet voor gratis certificaten automatisch verlengen aan in Certbot of je hostingpaneel. Ga er bij betaalde certificaten niet van uit dat de herinneringsmail van de provider je bereikt. Zet de vervaldatum in je agenda en in een monitoringdienst. Eén gemiste verlenging op een drukke verkoopdag stuurt je trouwe klanten naar een concurrent, en misschien komen ze niet terug.
Browserwaarschuwingen en conversie: een realiteitscheck uit de praktijk
Een browserwaarschuwing met 'je verbinding is niet privé' laat de meeste bezoekers het tabblad sluiten. Dat is geen speculatie; we zien het terug op elke KOBİ-website die we doorlichten. Ontbreekt het slotje op een afrekenpagina, dan kan het aantal afgeronde bestellingen tot bijna nul dalen. Gebruikers hebben geen beveiligingsdiploma nodig om te voelen dat een waarschuwing gevaar betekent. SSL is geen technisch vinkje; het zit midden in je aankooptrechter.
Toch weegt niet elke waarschuwing even zwaar. Een eenmalige certificaatfout op een puur informatieve site maakt een merk niet blijvend kapot. Maar terugkerende vertragingen of genegeerde mixed-contentfouten tasten herhaalbezoeken wel aan. Begin met een gratis DV-certificaat, stap over op OV als je transactievolume groeit en zie EV als een nicheoptie. Kies het certificaatniveau op basis van het werkelijke risico voor je bezoekers, niet op basis van marketingpraat.