Wat is een SSL-certificaat?

Een SSL-certificaat (technisch een TLS-certificaat) is een digitaal document dat bewijst dat een website daadwerkelijk is wie hij beweert te zijn, en dat versleutelde verbindingen mogelijk maakt. Je herkent een website met certificaat aan https:// en het slotje in de adresbalk.

SSL of TLS: wat is het verschil?

SSL is het oude protocol, TLS de moderne opvolger. SSL zelf wordt al jaren niet meer gebruikt, maar de naam “SSL-certificaat” is blijven hangen. Wat je tegenwoordig koopt of gratis aanvraagt, is dus altijd een TLS-certificaat. Meer over het protocol lees je bij wat is SSL/TLS?

Hoe werkt een SSL-certificaat?

Een certificaat bevat de domeinnaam, de eigenaar, de uitgever (CA), een geldigheidsperiode en een publieke sleutel. Maak je verbinding met een website, dan:

1. stuurt de server zijn certificaat naar je browser;
2. controleert je browser of het certificaat geldig is en door een vertrouwde uitgever is ondertekend;
3. spreken browser en server samen een geheime sleutel af;
4. wordt alle verdere communicatie met die sleutel versleuteld.

Hierdoor kan niemand onderweg, bijvoorbeeld op openbare wifi, je wachtwoorden of formuliergegevens meelezen.

Wie geeft deze certificaten uit?

Certificaten worden uitgegeven door een Certificate Authority (CA), een vertrouwde organisatie die controleert of de aanvrager daadwerkelijk zeggenschap heeft over het domein waarvoor het certificaat wordt aangevraagd. Bekende voorbeelden zijn Let’s Encrypt (gratis) en commerciële partijen. Browsers en besturingssystemen bevatten een lijst met CA’s die ze vertrouwen.

Soorten SSL-certificaten

• DV (Domain Validation): controleert alleen of je het domein beheert. Snel en vaak gratis; voldoende voor de meeste websites.
• OV (Organization Validation): controleert ook de organisatie achter de website.
• EV (Extended Validation): de strengste controle van de organisatie. Browsers tonen dit niet meer zo opvallend als vroeger.
• Wildcard: dekt een domein en al zijn subdomeinen, zoals *.voorbeeld.nl. Zie wat is een subdomein?

Hoe lang is een certificaat geldig?

Certificaten verlopen altijd na een bepaalde periode. Let’s Encrypt-certificaten gelden 90 dagen en worden meestal automatisch vernieuwd. Verloopt een certificaat zonder vernieuwing, dan toont de browser een waarschuwing en bezoekers haken af.

Wat gebeurt er als een certificaat ongeldig is?

Je browser toont dan een waarschuwing, bijvoorbeeld omdat het certificaat is verlopen, niet bij het bezochte domein hoort, of niet is uitgegeven door een vertrouwde CA. Dit kan wijzen op een verlopen configuratie, maar in sommige gevallen ook op een man-in-the-middle-aanval. Op een onbekende website klik je beter niet door.

Betekent een geldig certificaat dat een website te vertrouwen is?

Nee. Het bewijst alleen dat de verbinding versleuteld is en (bij de meeste certificaten) dat de aanvrager controle had over het domein, niet dat de inhoud van de website betrouwbaar is. Ook phishingsites gebruiken tegenwoordig vaak https.

Heb ik een SSL-certificaat nodig?

Ja, voor vrijwel elke website. Zonder certificaat toont de browser “Niet beveiligd”, is zoekmachineranking nadelig en gaat al het verkeer onversleuteld over het netwerk. Het verschil lees je bij HTTP vs. HTTPS.

Zie ook

End-to-end encryptie, wat is een VPN? en wat is een IP-adres?