Wat is HTTPS en hoe beschermt het je verbinding?
Auteur: Redactie Domeny.ForSale Gepubliceerd
In het kort: HTTPS is een manier waarop een browser met een website communiceert. Het versleutelt de verzonden gegevens en helpt te bevestigen dat je verbinding maakt met de juiste server voor het betreffende domein. Het beschermt onder meer wachtwoorden, formuliergegevens en de inhoud van antwoorden tegen meelezen of wijziging onderweg. Het garandeert echter niet dat de website zelf betrouwbaar is — ook een frauduleuze website kan HTTPS gebruiken.
Hoe werkt HTTPS en wat is het verschil met HTTP?
HTTP is een protocol: een reeks regels voor het verzenden van verzoeken en antwoorden tussen een browser en een server. De browser vraagt bijvoorbeeld een productpagina op en de server stuurt de inhoud terug. Gewoon HTTP versleutelt deze communicatie niet.
HTTPS is HTTP dat wordt beschermd door TLS, een protocol dat de verbinding beveiligt. Voordat de eigenlijke gegevens worden verzonden, spreken de browser en de server de beveiligingsinstellingen af en controleert de browser het aangeboden certificaat. Daarna verloopt de communicatie versleuteld.
HTTPS biedt drie basiseigenschappen:
- Vertrouwelijkheid: iemand die het netwerkverkeer volgt, kan de verzonden inhoud niet zomaar lezen.
- Integriteit: wijzigingen in gegevens tijdens de overdracht worden gedetecteerd.
- Authenticatie van de server: de browser controleert of het certificaat vertrouwd is en overeenkomt met de bezochte domeinnaam.
Als je bijvoorbeeld via openbare Wi-Fi inlogt bij een webwinkel, beschermt HTTPS je wachtwoord onderweg van de browser naar de server die de verbinding afhandelt. Bij gewoon HTTP zou iemand met de juiste toegang tot het netwerkverkeer de verzonden gegevens kunnen lezen. HTTPS beschermt je wachtwoord echter niet tegen schadelijke software op je apparaat.
Waarvoor dient een certificaat voor HTTPS?
Een digitaal certificaat koppelt een domeinnaam aan een publieke sleutel die wordt gebruikt om de verbinding te beveiligen. Doorgaans wordt het uitgegeven door een certificaatautoriteit: een partij die browsers binnen het certificaatstelsel vertrouwen. De browser controleert onder meer of de domeinnaam overeenkomt, of het certificaat geldig is en of de vertrouwensketen klopt.
In hostingaanbiedingen kom je nog vaak de term ‘SSL-certificaat’ tegen. Dat is een gangbare benaming: moderne HTTPS-verbindingen gebruiken TLS, de opvolger van het verouderde SSL. Alleen een certificaat is niet genoeg — de server moet versleutelde verbindingen ook correct ondersteunen.
Een basiscertificaat met domeinvalidatie bevestigt dat iemand controle heeft over het domein, niet dat de eigenaar betrouwbaar is. Er zijn zowel gratis als betaalde certificaten. Een hogere prijs betekent op zichzelf geen sterkere versleuteling; verschillen kunnen zitten in de omvang van de verificatie, de ondersteunde namen of de ondersteuning. Raadpleeg de documentatie van je hostingprovider of de uitgever voor de actuele voorwaarden voor uitgifte en verlenging.
Wat garandeert HTTPS niet?
Een veilige verbinding is niet hetzelfde als een betrouwbaar bedrijf of aanbod. Een oplichter kan een domein registreren dat op het adres van een bank lijkt en daarvoor een geldig certificaat krijgen. De verbinding met die website is dan versleuteld, maar de ingevoerde gegevens komen bij de oplichter terecht.
HTTPS beschermt ook niet tegen elk datalek. Het verhelpt geen kwetsbaarheden in de applicatie, beschermt niet automatisch de database op de server en voorkomt niet dat de website-eigenaar de ontvangen informatie misbruikt. Het beveiligt de overdracht, niet het volledige proces van gegevensverwerking.
Het biedt evenmin volledige anonimiteit. De netwerkbeheerder kan het IP-adres van de server, het tijdstip van de verbinding en de hoeveelheid verkeer zien. Afhankelijk van de gebruikte technologieën kan ook de bezochte domeinnaam zichtbaar zijn. HTTPS versleutelt wel het pad in het adres, de queryparameters en de inhoud van de communicatie. Dat de domeinnaam zichtbaar is, betekent dus niet automatisch dat ook zichtbaar is welk artikel je leest.
Hoe controleer je de verbinding en reageer je op waarschuwingen?
Controleer of het adres begint met https:// en open de verbindingsinformatie bij de adresbalk. Het pictogram verschilt per browser — het is niet altijd een hangslot. De beveiligingsinformatie gaat over de verbinding en is geen beoordeling van de betrouwbaarheid van de website-inhoud.
Lees de domeinnaam zorgvuldig voordat je een wachtwoord of betaalgegevens invoert. In het adres bank.example.com is example.com het bovenliggende domein; alleen het woord ‘bank’ bewijst geen verband met een bank. Ook een logo en de vormgeving van een formulier kunnen worden gekopieerd.
Waarschuwt de browser voor een ongeldig certificaat of een onbeveiligde verbinding, negeer die waarschuwing dan niet om toch in te loggen. De oorzaak kan een configuratiefout, een onjuiste datum op je apparaat of een netwerkprobleem zijn, maar zonder controle is dat niet vast te stellen. Controleer het adres en de klok van je apparaat en neem zo nodig contact op met de beheerder van de website.
Hoe schakel je HTTPS in op je eigen website?
Begin bij voorkeur in het hostingpaneel: veel aanbieders bieden de mogelijkheid om een certificaat uit te geven en automatisch te verlengen. Controleer in de officiële documentatie welke domeinen onder de dienst vallen en of er aanvullende configuratie nodig is. Het activeren van het certificaat is pas het begin van de controle of alles goed is ingesteld.
- Zorg dat het certificaat alle gebruikte namen dekt, bijvoorbeeld het hoofddomein en de variant met
www, als je die ondersteunt. - Activeer HTTPS en test de website, vooral het inloggen, formulieren, betalingen en integraties.
- Stel permanente redirects van HTTP naar HTTPS in, waarbij de paden naar de afzonderlijke pagina’s behouden blijven.
- Pas de adressen van bronnen aan naar HTTPS. Afbeeldingen, scripts of stylesheets die via HTTP worden opgehaald, vormen zogeheten gemengde inhoud; de browser kan zulke bronnen blokkeren of proberen ze via een beveiligde verbinding op te halen.
- Werk het websiteadres in het CMS, de interne links en de sitemap bij en controleer vervolgens of de certificaatverlenging werkt.
Zodra de configuratie stabiel is, kun je HSTS invoeren: een mechanisme dat de browser verplicht om bij volgende verbindingen HTTPS te gebruiken. Ga hier voorzichtig mee om, vooral als je ook subdomeinen wilt laten vallen onder deze verplichting. Onjuiste instellingen kunnen de toegang tot diensten bemoeilijken.
Voer je eerste praktijktest uit op het belangrijkste formulier van je website: controleer of de verbinding beveiligd is, of er geen waarschuwingen verschijnen en of een bezoek via HTTP correct wordt doorgestuurd naar HTTPS.
Zie ook: Wat is CDN?
Lees ook
