Wat Is SSL/TLS?

In een tijdperk waarin sommige van onze belangrijkste informatie en transacties online plaatsvinden, is het garanderen van de veiligheid van digitale interacties essentieel geworden.

In deze beginnersvriendelijke gids (die niet bang is om diep te gaan!) zullen we de kernsystemen die achter de schermen werken en die elke website-eigenaar of -beheerder moet kennen om gebruikersprivacy en hun bedrijfsreputatie te behouden, ontrafelen.

Wat Is SSL?

SSL staat voor secure sockets layer. SSL is een protocol voor het behouden van een veilige verbinding en het beschermen van gevoelige gegevens om internetgebruikers veilig te houden tijdens online transacties, inlogreeksen en meer.

SSL wordt gebruikt in andere processen, zoals het beveiligen van bestandsoverdrachten en het beschermen van e-mailapplicaties, maar we zullen vooral verwijzen naar de invloed ervan op internetbeveiliging, aangezien het daar het meest erkend is.

Wat Is TLS?

Transport Layer Security (TLS) is de opvolger van SSL die tegenwoordig wordt gebruikt en kwetsbaarheden nog effectiever aanpakt.

Is SSL Verouderd?

SSL heeft sinds de introductie tientallen jaren geleden vele iteraties ondergaan, in een poging om de functionaliteit en beveiliging te blijven verbeteren. TLS is slechts een meer beveiligde en modernere versie van SSL.

In feite verwijzen zowel SSL als TLS naar hetzelfde. Echter, op het moment van schrijven is SSL nog steeds de meest gebruikte term voor het protocol, dus je zult het vaak tegenkomen — en we zullen het ook vaak gebruiken in dit artikel.

Hoe Ziet SSL/TLS Eruit?

Wanneer er een SSL/TLS-certificaat (later meer hierover) aanwezig is en up-to-date op een website, zou je moeten zien dat de URL in de adresbalk begint met “HTTPS” in plaats van “HTTP.” Als je de volledige URL niet ziet, zal deze waarschijnlijk verschijnen als je in de adresbalk klikt. Sommige browsers kiezen ervoor om het te verkorten voor eenvoud.

Je zou ook een klein groen hangsloticoon moeten zien — of soms andere kleuren afhankelijk van de browser — voorafgaand aan de URL wanneer SSL/TLS wordt gebruikt.

Wat Doet SSL/TLS?

SSL/TLS faciliteert een beveiligde verbinding tussen twee systemen. Deze kunnen een server en een client zijn (bijvoorbeeld een winkelwebsite en browser) of twee servers.

SSL/TLS gebruikt versleuteling en cryptografische sleutelparen om de identiteit van systemen te verifiëren en te voorkomen dat gegevens worden gedeeld met kwaadwillenden.

Die gegevens bevatten:

• Financiële gegevens zoals creditcardnummers, bankrekeninginformatie, etc.
• Persoonlijk identificeerbare gegevens — volledige naam, burgerservicenummer, adres, geboortedatum, etc.
• Gevoelige juridische documenten
• Privé medische dossiers
• Vertrouwelijke informatie zoals klantgegevens, handelsgeheimen, etc.
• Inloggegevens

Hoe Werkt SSL/TLS? De SSL Handshake

Nu alle voorbereidingen getroffen zijn, laten we ons verdiepen in hoe SSL/TLS werkt!

SSL/TLS werkt door gegevens te versleutelen tijdens de overdracht om te voorkomen dat hackers er toegang toe hebben terwijl ze over een netwerk reizen. Namen, adressen, creditcardnummers en andere mogelijk gevoelige gegevens zijn feiten die SSL/TLS wordt gebruikt om te beschermen.

Hier is een basisoverzicht van hoe het dat doet:

1. Wanneer een gebruiker een proces start dat beveiligd is met SSL/TLS, zoals een aankoop op een website, stuurt de client (de browser van de gebruiker) een welkomstpakket naar de server van de website. Dit pakket bevat een bericht over de transactie, het type TLS, ciphersuites en een “client random”, wat een reeks van willekeurige bytes is.
2. De server ontvangt dit bericht en reageert met zijn eigen welkomstpakket, met een antwoord op het bericht, zijn SSL/TLS-certificaat, ciphersuite en “server random” — nog een selectie van willekeurige bytes.
3. De client doorloopt een proces om het SSL/TLS-certificaat te authenticeren, wat bewijst dat de server de betrouwbare dienst is die hij beweert te zijn (oftewel, geen hacker). Vervolgens stuurt het iets dat een “premaster secret” wordt genoemd, gecodeerd met de publieke sleutel van het SSL/TLS-certificaat. Het idee is dat de server een privésleutel heeft die dit bericht kan decoderen.
4. Als alles goed gaat, heeft de server de privésleutel die bij het SSL/TLS-certificaat hoort en kan het de premaster secret decoderen. Na dit te hebben gedaan, creëert de server een sessiesleutel en stuurt de info naar de client.
5. Nu sturen zowel de client als de server een “finished” bericht naar elkaar, gecodeerd met de sessiesleutel. Dit geeft aan dat een veilige sessie is geopend tussen de twee en alle gegevens die erin worden gedeeld veilig moeten zijn.

Deze procedure wordt vaak de SSL-handdruk genoemd en vindt plaats in slechts milliseconden.

Waarom Is SSL/TLS Belangrijk?

SSL/TLS-bescherming is om vele redenen noodzakelijk op websites:

• Om de informatie van gebruikers te beschermen
• Om het vertrouwen van klanten in het merk op te bouwen
• Om website-eigendom te valideren
• Om te voorkomen dat kwaadwillende personen en programma’s een valse versie van een site bouwen en gevoelige informatie aftappen

Wanneer een website vereist dat gebruikers inloggen, om persoonlijke informatie vraagt, of toegang biedt tot privé-inhoud — is het vermogen om privacy voor de gebruiker te handhaven cruciaal.

SSL/TLS draagt bij aan de privacy van online communicatie en stelt bezoekers gerust dat een website betrouwbaar en veilig is.

Daarnaast zullen grote browsers websites zonder SSL/TLS-certificaten als “niet veilig” bestempelen. Dit werpt een enorme rode vlag op voor bezoekers en kan hen snel aanzetten om de website te sluiten en een andere te proberen. Vandaag de dag lopen websites die niet investeren in SSL/TLS waarschijnlijk het risico verkeer en inkomsten te verliezen.

Moet Ik SSL/TLS Uitzetten? Wat Gebeurt Er Als Ik Dat Doe?

Kortom, als website-eigenaar of beheerder is het vrijwel altijd beter om SSL/TLS te gebruiken dan het niet te gebruiken.

En dat is waar, zelfs als je geen gebruikersinformatie op je website verzamelt.

Niet alleen is SSL/TLS cruciaal voor gegevensbeveiliging zoals we al vele malen hebben vermeld — het helpt ook om te voorkomen dat je website wordt gekopieerd door kwaadwillenden en om die angstaanjagende “Je verbinding is niet privé” melding te vermijden die veel gebruikers kan afschrikken.

Aan het einde van 2023 maken ongeveer 85% van de websites gebruik van SSL/TLS om hun HTTPS-status te beveiligen.

Wat Is Een SSL-Certificaat?

Laten we nu wat diepgang toevoegen aan het concept van SSL/TLS-certificaten — die we vanaf hier zullen verkorten tot SSL-certificaat — dat we eerder hebben geïntroduceerd.

Een SSL-certificaat is een digitaal certificaat uitgegeven door niemand minder dan een certificaatautoriteit (CA). Het heeft als taak de identiteit van de website waaraan het is uitgegeven te koppelen aan een cryptografisch sleutelpaar — dit zijn de publieke en privésleutels waar we het al over gehad hebben.

Naast het ondersteunen van veilige transacties via zijn sleutels, zijn deze certificaten ook nuttig om gebruikers te informeren over de achtergrond van een website en wie deze bezit, zodat ze zelf kunnen beoordelen hoe betrouwbaar deze is.

Als gebruiker kun je de details van een SSL-certificaat bekijken door op het hangslotsymbool in de adresbalk te klikken. De informatie die je hier kunt zien, kan onder meer bevatten:

• De domeinnaam waarvoor het certificaat is
• De onderneming of persoon aan wie het certificaat is uitgegeven, en door welke certificaatautoriteit
• De digitale handtekening van de certificaatautoriteit en de publieke sleutel
• Wanneer het certificaat is uitgegeven en wanneer het verloopt

Als informatie op het certificaat verdacht lijkt of niet overeenkomt met de website die je bezoekt, weet je dat je beter goed kunt kijken voordat je persoonlijke informatie deelt.

5 Soorten SSL-Certificaten

Er zijn verschillende soorten SSL-certificaten, met uiteenlopende mate van validatie.

SSL-Certificaat Met Uitgebreide Validatie (EV SSL)

Uitgebreide validatie SSL-certificaten (EV SSL’s) vertegenwoordigen de hoogste en duurste vorm van SSL-certificering.

Om dit niveau van beveiliging te bereiken, moet de aanvrager een identiteitsverificatieproces doorlopen. Het wordt meestal gebruikt door websites die creditcardtransacties uitvoeren en gevoelige informatie verzamelen. Met een EV SSL worden HTTPS en het sloticoon weergegeven in de adresbalk samen met de gecertificeerde naam en het land van het bedrijf. Al deze details ondersteunen de betrouwbaarheid van een site.

SSL-certificaat met Organisatievalidatie (OV SSL)

Organisatie-gevalideerde SSL-certificaten (OV SSL’s) zijn vergelijkbaar met EV SSL’s in het aanvraagproces en de informatie die ze weergeven in de adresbalk, ze zijn gewoon een stap lager in beveiligingsniveau en kosten.

OV SSLs worden doorgaans gebruikt door commerciële of publiek toegankelijke websites om hun inzet voor het vertrouwelijk houden van informatie te tonen.

Domein Gevalideerd SSL-certificaat (DV SSL)

Domein gevalideerde SSL-certificaten (DV SSL’s) zijn minder veilige en minder strenge (en ook goedkopere!) certificeringen die vaak worden gebruikt door blogs en andere informatieve websites die geen gegevensverzameling of online betalingen betreffen.

Meestal vereist het validatieproces alleen dat website-eigenaren hun eigendom bevestigen via e-mail of telefoon. Met deze certificering wordt in de adresbalk meestal alleen HTTPS en een hangslotsymbool weergegeven.

Multi-Domain SSL-Certificaat (MD SSL)

Multi-Domain SSL-certificaten (MD SSL’s) worden ook wel aangeduid als subject alternate name (SAN) en unified communication certificate (UCC).

Een MD SSL-certificaat kan verschillende top-level domeinen evenals subdomeinen beschermen — denk aan en.domain.com, blog.domain.com, enz. Het aantal items dat het zal dekken, wordt bepaald door de certificaatautoriteit die het uitgeeft.

Elke eigenschap die je wilt beschermen onder deze certificering moet worden gedefinieerd op het moment van uitgifte. Om meer toe te voegen, moet de houder vragen om deze te updaten en opnieuw uit te geven door de CA. Deze voorzorgsmaatregel maakt het veiliger dan de volgende optie.

Wildcard SSL Certificaat

Wildcard SSL-certificaten bieden beveiliging voor één domein en een onbeperkt aantal eraan gekoppelde subdomeinen.

Voor websites met veel subdomeinen kan dit een snelle en betaalbare manier zijn om ervoor te zorgen dat elk deel van je website automatisch wordt beschermd door encryptie. Het nadeel is dat als slechts één subdomein gecompromitteerd wordt, andere subdomeinen onder hetzelfde Wildcard-certificaat ook gecompromitteerd kunnen worden.

Hoe Je Een SSL-Certificaat Krijgt In 7 Stappen

Als je klaar bent om te profiteren van de beveiliging die een SSL-certificaat kan bieden, moeten deze basisstappen de meeste website-eigenaren helpen de benodigde documentatie te krijgen:

1. Kies Je SSL Dekkingsniveau

Hoeveel domeinen en subdomeinen wil je beveiligen? Hoeveel beveiliging heb je nodig? Gebruik de bovenstaande gids voor SSL-certificaattypes om te bepalen welk type je zoekt.

2. Genereer Een Certificaatondertekeningsaanvraag

Een certificaataanvraag (CSR) is een versleuteld bestand dat bedrijfs- en domeininformatie bevat, evenals de privé- en publieke sleutels die jouw CA nodig heeft om jouw certificaat te creëren.

Hoe je een CSR genereert, varieert afhankelijk van het platform waarop je zit of via welke websitehost je gaat. De meeste hosts staan je toe om een CSR te creëren via hun admin panel. Hier is hoe DreamHost klanten een CSR kunnen aanmaken.

Als je deze stap liever zelf wilt aanpakken zonder hulp van de host, kan deze gids je helpen om de specifieke stappen te vinden die je moet volgen.

3. Koop Je Certificaat Via Een Certificaatautoriteit

Je volgende stap is het zoeken van een betrouwbare CA om je SSL-certificaat van aan te schaffen. Er zijn veel opties, waaronder:

• letsencrypt.org
• sectigo.com
• verisign.com

Welke provider je ook kiest, hun website zou je moeten begeleiden bij het selecteren van je SSL-certificaattype, het indienen van je CSR en het afronden van je aankoop.

DreamHost-klanten kunnen een SSL-certificaat verkrijgen — gratis of betaald — via het klantenpaneel. Zie hier hoe.

4. Volledige Validatie (Indien Nodig)

Als je een zeer veilig certificaattype hebt gekozen dat vereist dat je jouw identiteit en/of website-eigendom bewijst, zal je CA je stappen geven om validatie te leveren.

5. Installeer Je Nieuwe SSL-Certificaat

Als alles volgens plan verloopt, zou je nu de certificaatbestanden die door je CA zijn verstrekt, moeten kunnen downloaden. Nu is het tijd om deze op je website te installeren.

Dit is een andere stap die behoorlijk kan variëren afhankelijk van je websiteplatform, je hostingprovider en zelfs het type certificaat waarvoor je hebt gekozen. Neem contact op met je hostingprovider of log in op het klantenpaneel van je websitehost en zoek naar iets dat “SSL/TLS-instellingen” of “SSL/TLS-beheer” heet en volg de stappen om de bestanden die je hebt gedownload te installeren.

Of, als je het liever zelf doet, DigiCert heeft een andere handleiding om je te helpen navigeren op de meeste platformen.

Voor WordPress-gebruikers kan de installatie van SSL-certificaten worden afgehandeld met een plugin zoals Really Simple SSL. Klanten van DreamHost kunnen een SSL-certificaat van derden toevoegen door deze instructies te volgen.

Gerelateerd: Wat is een Plugin?

6. Test Je SSL-Installatie

Om te controleren of je certificaat correct is geïnstalleerd en goed functioneert, zoek je de frase “SSL checker tool” op Google om een platform te vinden dat snel een analyse voor je uitvoert. De CA die je hebt gebruikt, heeft mogelijk ook een SSL checker op hun website.

7. HTTP-URL’s Omleiden

Ten slotte moet je alle HTTP URLs omleiden naar HTTPS URLs nadat je jouw SSL-certificaat hebt geïnstalleerd om ervoor te zorgen dat gebruikers alleen de meest veilige versie van jouw website bezoeken.

DreamHost leidt bezoekers automatisch door naar de HTTPS-versie van je site zodra je een SSL-certificaat toevoegt, en andere websitehosts kunnen hetzelfde doen.

Als dit geen optie voor je is en je je server handmatig moet bijwerken, hebben we instructies voor het toegang krijgen tot een Apache of Nginx server om hier een omleiding te forceren.

Voor WordPress-gebruikers, als je een SSL-installatieplugin hebt gebruikt, kan het zijn dat deze ook ingebouwde HTTP-naar-HTTPS migratiediensten heeft. Zo niet, dan kan Redirection of een andere plugin hier erg behulpzaam zijn.

Gerelateerd: Wat Is Een Redirect?

Verlopen SSL-certificaten?

Ja, SSL-certificaten verlopen.

Volgens het Certificate Authority/Browser Forum, dat alles regelt wat met SSL te maken heeft, zouden certificaten na ongeveer 13 maanden moeten verlopen. Deze beslissing werd genomen als reactie op Apple, dat aangaf dat ze geen certificaten meer zouden accepteren met een geldigheidsduur van twee jaar — wat eerst de norm was. Wanneer die van jou verloopt, hangt af van de CA die jouw SSL heeft verstrekt.

SSL-certificering verloopt vanwege de snelle veranderingen op het internet. Regelgeving die invloed heeft op gegevensverzameling komt en gaat, bedrijven en websites wisselen van eigenaar, en oudere sleutelparen worden minder veilig naarmate hackers geavanceerder worden. Her-certificering geeft website-eigenaren de kans om hun beveiliging te vernieuwen en CA’s tijd om de aan het certificaat gekoppelde informatie te beoordelen om er zeker van te zijn dat alles klopt.

Wanneer een SSL-certificaat verloopt en de website niet langer wordt beschermd door dit beveiligingsprotocol, zal de browser een waarschuwing geven om gebruikers te laten weten dat de site niet veilig is en voorzichtig te werk te gaan.

Natuurlijk komt een SSL-verloop niet zomaar uit de lucht vallen. De CA waar je jouw documentatie van hebt gekregen, zal een melding sturen als het tijd is om te vernieuwen. Ze beginnen doorgaans ongeveer 90 dagen voor het verlopen, en we raden je aan om er zo snel mogelijk op te handelen zodra je ze ontvangt. En zorg ervoor dat je je aanmeldt om deze meldingen naar een e-mailadres te laten sturen waarvan je weet dat je het altijd zult controleren en toegang toe hebt.

Hoe Je SSL-certificaat Te Vernieuwen

Met veel SSL-certificaataanbieders zijn de stappen voor het vernieuwen van je SSL-certificaat hetzelfde als wanneer je er voor de eerste keer een aanschaft. Dus je moet een CSR genereren, een SSL-certificaat kopen bij een CA, alle vereiste validatie voltooien, en je certificaat installeren en testen.

Dat gezegd hebbende, beginnen veel SSL-aanbieders en websitehosts zoveel mogelijk van dit proces te automatiseren. Dus misschien hoef je niet elke keer alle stappen te doorlopen — maar het is handig om te weten welk soort onderhoud je zou kunnen hebben als je SSL-certificering en onderhoud van je website overweegt.

Gerelateerd: Hoe Veelvoorkomende SSL-Problemen In WordPress Op Te Lossen 

Kies Een Webhost Die Je Beveiligingsdoelen Ondersteunt

Gelukkig is het beveiligen van de online gebruikerservaring en het vertrouwen in je merk versterken met SSL/TLS-dekking een redelijk toegankelijk proces. Dat betekent echter niet dat elke website-eigenaar de wens of de tijd zal hebben om niet alleen de beste SSL-certificeringsoptie te vinden, maar ook om deze te installeren en jaar na jaar te onderhouden.

Als je je liever richt op de zakelijke kant van de zaken, kan het DreamHost websitebeheer professionele diensten team je ondersteunen in je beveiligings- en ervaringsdoelen door alles te beheren van kleine updates tot hackherstel, linkmigratie, en volledige websiteadministratie en -monitoring.