Wat is Let’s Encrypt en hoe werkt het?
Auteur: Redactie Domeny.ForSale Gepubliceerd
Kort samengevat: Let’s Encrypt is een gratis certificeringsinstantie die certificaten uitgeeft waarmee je HTTPS op een website kunt inschakelen. Daarmee kan de browser de identiteit van de server voor een bepaalde domeinnaam bevestigen en een versleutelde verbinding tot stand brengen. Bij veel hostingdiensten hoef je alleen de juiste optie in het beheerpaneel in te schakelen, maar je moet ook zorgen voor automatische vernieuwing van het certificaat en een correcte configuratie van de website.
Wat biedt een certificaat van Let’s Encrypt?
Let’s Encrypt wordt beheerd door de non-profitorganisatie Internet Security Research Group (ISRG). Het is een certificeringsinstantie: een organisatie die digitale certificaten uitgeeft die door browsers en andere programma’s worden vertrouwd. Een certificaat koppelt een domeinnaam aan een publieke sleutel die wordt gebruikt om de verbinding te beveiligen.
HTTPS is het protocol HTTP, beveiligd met TLS — een mechanisme dat de communicatie versleutelt. Het beschermt verzonden gegevens tegen het lezen of wijzigen door derden onderweg tussen de browser en de server. Dat is belangrijk bij het inloggen, het versturen van een formulier of het plaatsen van een bestelling, maar ook wanneer je gewoon een website leest.
Bij hostingaanbieders kom je nog steeds de term ‘SSL-certificaat’ tegen. Daarmee wordt meestal een certificaat bedoeld dat wordt gebruikt met TLS, de moderne opvolger van het verouderde protocol SSL. Je hoeft dus niet naar een ander product te zoeken alleen omdat het hostingpaneel de oudere benaming gebruikt.
HTTPS bevestigt niet dat de eigenaar van een website betrouwbaar is. Ook een phishingwebsite kan een geldig certificaat hebben. Let’s Encrypt controleert of iemand zeggenschap heeft over het domein, niet of een webshop betrouwbaar is, de software veilig is of de identiteit van het bedrijf klopt.
Hoe worden certificaten uitgegeven en vernieuwd?
Let’s Encrypt geeft DV-certificaten uit, waarbij DV staat voor Domain Validation. Voordat een certificaat wordt uitgegeven, moet je aantonen dat je zeggenschap hebt over het opgegeven domein. Dit proces verloopt via ACME, een protocol waarmee software automatisch certificaten kan aanvragen en vernieuwen.
De meest gebruikte verificatiemethoden zijn:
- HTTP-01: de software stelt een speciaal bestand beschikbaar op een opgegeven adres van de website. De verificatieserver moet dit bestand via poort 80 kunnen ophalen.
- DNS-01: er wordt een speciaal TXT-record toegevoegd aan het DNS van het domein, het systeem waarin de netwerkinstellingen ervan worden opgeslagen. Met deze methode kun je ook een wildcardcertificaat verkrijgen dat subdomeinen omvat, bijvoorbeeld
*.example.com.
De wildcard *.example.com omvat bijvoorbeeld winkel.example.com, maar niet het domein example.com zelf of het adres paneel.winkel.example.com. Het hoofddomein kan als extra naam in het certificaat worden opgenomen.
Certificaten zijn beperkt geldig. Daarom is automatische vernieuwing een essentieel onderdeel van Let’s Encrypt. Vertrouw hiervoor niet op een handmatig ingestelde herinnering in je agenda. Raadpleeg de officiële documentatie van Let’s Encrypt voor de actuele geldigheidsduur, beschikbare certificaatprofielen en uitgiftelimieten. De vervaldatum van een specifiek certificaat kun je ook in de certificaatdetails bekijken.
Hoe schakel je Let’s Encrypt in op je website?
Begin bij gedeelde hosting in het beheerpaneel. Zoek naar een onderdeel met de naam ‘SSL’, ‘TLS’, ‘HTTPS’ of ‘Let’s Encrypt’. Controleer of de dienst zowel de uitgifte als de installatie en automatische vernieuwing van het certificaat omvat. Wat er precies wordt verzorgd, verschilt per aanbieder.
Als je blog bijvoorbeeld op example.com staat en het adres www.example.com naar dat blog doorstuurt, moet het certificaat beide namen omvatten. De browser maakt eerst een HTTPS-verbinding met het oorspronkelijke adres en ontvangt pas daarna de doorverwijzing.
Een praktische volgorde voor de invoering is:
- Controleer of het domein en de gebruikte subdomeinen naar de juiste server verwijzen.
- Activeer het certificaat voor alle namen waaronder de website bereikbaar moet zijn.
- Open de website via
https://en test de formulieren, het inloggen en de bestanden die de website laadt. - Stel in het contentmanagementsysteem HTTPS in voor het hoofdadres en configureer een doorverwijzing vanaf HTTP.
- Controleer of automatische vernieuwing en foutmeldingen werken.
Op een eigen server kun je een ACME-client gebruiken, bijvoorbeeld Certbot, of een webserver met ingebouwde ondersteuning voor ACME. De precieze commando’s hangen af van het besturingssysteem en de configuratie. Beperk bij het automatiseren van DNS-verificatie de rechten van de toegangsgegevens voor DNS en bescherm die gegevens tegen openbaarmaking.
Is een gratis certificaat voldoende voor een webshop of bedrijfswebsite?
Voor een doorsnee blog, bedrijfswebsite of webshop is Let’s Encrypt doorgaans voldoende om de HTTPS-verbinding te beveiligen. Een gratis certificaat betekent niet per definitie zwakkere versleuteling. De veiligheid hangt ook af van de configuratie van TLS, de bescherming van de privésleutel en het up-to-date houden van de server.
Een betaald certificaat kan zinvol zijn als je de gegevens van een organisatie wilt laten verifiëren, specifieke ondersteuning van de aanbieder nodig hebt of aan contractuele eisen moet voldoen. Bij OV- en EV-certificaten wordt de organisatie aanvullend gecontroleerd; Let’s Encrypt geeft deze certificaten niet uit. Alleen een certificaat kopen beschermt een applicatie niet tegen inbraak.
Let’s Encrypt geeft certificaten gratis uit, maar een hostingaanbieder kan kosten rekenen voor het beheer ervan. Controleer voordat je een dienst kiest de tarieven en voorwaarden van de aanbieder, vooral de kosten voor installatie en vernieuwing.
Wat controleer je als HTTPS niet goed werkt?
Een browserwaarschuwing kan worden veroorzaakt door een verlopen certificaat, het ontbreken van de juiste domeinnaam in het certificaat of een onvolledige certificaatconfiguratie op de server. Controleer na een verhuizing naar andere hosting of ook de nieuwe server het certificaat vernieuwt. De automatisering op de vorige server regelt dat niet voor de nieuwe server.
Een ander probleem is mixed content: bestanden worden via HTTP geladen op een pagina die via HTTPS is geopend. Dat kan bijvoorbeeld gebeuren met afbeeldingen, scripts of stylesheets. De browser kan zulke bestanden blokkeren. Je moet dan hun adressen aanpassen in de inhoud, het sjabloon of de instellingen van de applicatie.
Controleer na het inschakelen van HTTPS niet alleen de homepage, maar ook het contactformulier, de inlogpagina en het bestelproces. Schakel tot slot bewaking van de vervaldatum van het certificaat in, zodat een mislukte vernieuwing niet onopgemerkt blijft.
Lees ook
