Ja, uw website heeft een SSL-certificaat nodig als u persoonsgegevens verwerkt, een contactformulier, klantenaccount of checkout aanbiedt. Dat volgt direct uit de AVG, die HTTPS als passende beveiligingsmaatregel beschouwt, en uit de praktijk: browsers waarschuwen bezoekers voor onbeveiligde sites en dat kost u vertrouwen en omzet. Heeft u alleen een simpele informatiepagina zonder formulieren? Dan is een certificaat niet wettelijk verplicht, maar wel verstandig.
Kort samengevat:
- Als uw website persoonsgegevens verzamelt, zoals via formulieren of betaalpagina’s, bent u wettelijk verplicht om HTTPS te gebruiken met een SSL-certificaat.
- Voor kleine en middelgrote sites volstaat meestal een gratis DV-certificaat van Let's Encrypt, dat automatisch wordt aangevraagd en verlengd.
- Het certificaat versleutelt gegevens tijdens verzending, maar beschermt niet uw server zelf, en moet correct geconfigureerd worden tegen mixed content en verouderde protocollen.
- Automatisering via het ACME-protocol is essentieel, omdat de geldigheid van certificaten nu korter wordt en handmatige verlenging niet meer haalbaar is.
- Voor sites die alleen informatie tonen zonder formulieren of gegevensverwerking is een certificaat niet wettelijk verplicht, maar blijft wel verstandig voor vertrouwen en zoekmachineranking.
Inhoudsopgave
- Welke websites moeten een ssl certificaat hebben
- Wat doet een ssl/tls-certificaat precies
- Types ssl certificaten: dv, ov, ev, wildcard en multi-domain
- Ssl certificaat kosten: gratis via Let's Encrypt of toch betalen?
- Hoe lang is een certificaat geldig en wat verandert er?
- TLS-instellingen, HSTS en mixed content: de basis op orde
- Hoe vraag je een ssl certificaat aan en installeer je het?
- Checklist: dit moet elke ondernemer afvinken
- Waarom Durfmakers https standaard instelt
- Website nodig zonder risico op verspilling?
- Bronnen
- Veelgestelde vragen
Welke websites moeten een ssl certificaat hebben
De vraag "is een ssl certificaat nodig" draait in de praktijk om één ding: verwerkt uw site persoonsgegevens? Onder persoonsgegevens valt meer dan u denkt. Een naam en e-mailadres in een contactformulier telt al mee. Een klantenaccount met bestelhistorie, een betaalformulier met adresgegevens, een reserveringssysteem met telefoonnummers: het zijn allemaal persoonsgegevens die bescherming vereisen.
De Autoriteit Persoonsgegevens is daar helder over: als u persoonsgegevens verzamelt via uw website, moet u https gebruiken, want dat is een passende technische maatregel onder de AVG. Als ondernemer bent u de verwerkingsverantwoordelijke. Dat betekent dat u, en niet uw hostingpartij, aansprakelijk bent als gegevens onderweg worden onderschept omdat uw site nog op onbeveiligd http draait.
In de praktijk zijn er drie signalen die het antwoord snel geven:
- Verplicht (feitelijk geen keuze): u heeft een inlogportaal, een winkelwagen, een betaalformulier of verzamelt gevoelige gegevens zoals gezondheid of financiële informatie.
- Sterk aan te raden: u heeft een contactformulier, nieuwsbriefinschrijving of reviewformulier waarin bezoekers persoonlijke gegevens invullen.
- Verstandig, ook zonder wettelijke plicht: een pure brochurewebsite zonder formulieren, puur ter informatie. Zoekmachines en browsers behandelen onbeveiligde sites nog altijd als minder betrouwbaar, ook als er niets wordt ingevuld.
Twijfelt u? Ga uit van de hoofdregel: zodra een bezoeker iets typt en verstuurt, heeft u een certificaat nodig.
Wat doet een ssl/tls-certificaat precies
Een SSL-certificaat is een digitaal bestand dat uw server aan bezoekers bewijst: "dit is echt de website die je denkt te bezoeken, en het verkeer tussen jou en mij is versleuteld." Technisch gezien heet het protocol dat vandaag wordt gebruikt TLS (Transport Layer Security), de opvolger van het oudere SSL. In de volksmond en in zoekopdrachten blijft "SSL-certificaat" de gangbare term, dus die gebruiken we hier ook.
Het certificaat wordt uitgegeven door een certificaatautoriteit (CA), volgens de X.509-standaard. De CA controleert of u eigenaar bent van het domein, koppelt een publieke en een private sleutel aan uw server en tekent dat geheel digitaal. Bezoekers zien het resultaat als een slotje in de adresbalk.
Wat het beschermt: de inhoud van formulieren, wachtwoorden, betaalgegevens en cookies onderweg tussen browser en server, zodat niemand op het netwerk kan meekijken of gegevens kan aanpassen. Wat het niet beschermt: uw server zelf. Een verouderd CMS, een lek plug-in of een slecht beveiligd wachtwoord blijft een risico, ook met een geldig certificaat. HTTPS is één laag beveiliging, niet de hele muur.
Een veelgemaakte fout is mixed content: een pagina laadt wel via https, maar haalt afbeeldingen, scripts of stijlbestanden nog op via het onbeveiligde http. Browsers blokkeren dat vaak of tonen een waarschuwing, waardoor het slotje alsnog een gebroken indruk geeft.
Types ssl certificaten: dv, ov, ev, wildcard en multi-domain
Niet elk certificaat is gelijk. Het verschil zit in hoe grondig de certificaatautoriteit controleert wie u bent, en hoeveel domeinen het certificaat afdekt.
Domain Validation (DV) is de meest gebruikte variant voor kleine en middelgrote sites. De CA checkt alleen of u eigenaar bent van het domein, vaak binnen minuten geregeld. Voor een bedrijfswebsite, blog of webshop zonder extreem hoge vertrouwenseisen is dit meestal voldoende.
Organization Validation (OV) gaat een stap verder: de CA controleert ook of uw bedrijf daadwerkelijk bestaat, via het handelsregister. Dit type wordt vaker gebruikt door organisaties die extra zekerheid willen tonen aan klanten of partners, bijvoorbeeld in de financiële sector.
Extended Validation (EV) vereist de zwaarste controle en werd vroeger beloond met een groen bedrijfsnaam-label in de adresbalk. Belangrijk om te weten: moderne browsers zoals Chrome en Safari tonen dat visuele onderscheid tegenwoordig niet meer zo prominent. Het beveiligingsniveau van EV is technisch gelijk aan DV; het verschil zit puur in de identiteitscontrole, niet in de sterkte van de versleuteling.
Wildcard-certificaten dekken een hoofddomein plus alle subdomeinen (bijvoorbeeld *.uwbedrijf.nl) met één certificaat. Handig als u meerdere subdomeinen beheert, maar let op: als de private key van een wildcard-certificaat uitlekt, staan al die subdomeinen open. Sleutelbeheer moet dan waterdicht zijn.
Multi-domain (SAN) certificaten dekken meerdere losse domeinnamen in één certificaat, wat handig is als u naast uw hoofdsite ook een paar losse merksites beheert.
Voor de meeste zzp'ers en mkb-bedrijven is een correct geconfigureerd DV-certificaat ruim voldoende.
Ssl certificaat kosten: gratis via Let's Encrypt of toch betalen?
Het goede nieuws: een SSL-certificaat aanvragen kost tegenwoordig meestal niets. Let's Encrypt, een non-profit certificaatautoriteit, geeft gratis DV-certificaten uit en wordt inmiddels door het grootste deel van het internet gebruikt. Certificaten worden automatisch aangevraagd en verlengd via het ACME-protocol, zonder handmatig papierwerk.
Voor de meeste kleine ondernemers is dit de standaardkeuze, en terecht: het beveiligingsniveau is technisch identiek aan een betaald DV-certificaat.
Waarom kiezen organisaties dan toch voor een betaald certificaat? Meestal om drie redenen: uitgebreidere klantenservice bij problemen, een aansprakelijkheidsgarantie van de uitgever bij een beveiligingsincident, en de mogelijkheid om via OV of EV de organisatienaam te laten verifiëren. Dat laatste is relevant voor sectoren waar klanten expliciet naar bedrijfsverificatie zoeken, zoals bankieren of verzekeren.
Betaalde SSL-certificaten kosten meestal variëren, met prijzen die afhangen van het validatieniveau en de leverancier. Voor een gewone bedrijfswebsite, webshop of dienstenpagina is die meerprijs zelden nodig: gratis, geautomatiseerd en betrouwbaar wint het meestal van betaald en handmatig.
Hoe lang is een certificaat geldig en wat verandert er?
Certificaten hebben een houdbaarheidsdatum, en die wordt korter. Let's Encrypt gaf lange tijd certificaten uit met een geldigheidsduur van 90 dagen, maar heeft aangekondigd dit terug te brengen richting 45 dagen. De reden is beveiliging: een korter venster beperkt de schade als een sleutel toch een keer uitlekt.
Voor u als ondernemer betekent dit vooral één ding: handmatig certificaten verlengen is geen haalbare strategie meer. Automatisering via het ACME-protocol is niet langer een luxe, maar een noodzaak. Het NCSC adviseert nadrukkelijk om certificaatbeheer te automatiseren in plaats van te vertrouwen op handmatige herinneringen.
Een nieuwe standaard die daarbij helpt heet ARI (ACME Renewal Information): uw server krijgt automatisch te horen wanneer een vernieuwing nodig is, zonder dat u zelf de kalender moet bijhouden. Gebruikt uw hostingpartij of beheerpanel nog geen ARI-ondersteuning? Vraag er dan actief naar, of zet een agendaherinnering ruim vóór de verloopdatum als vangnet.
Bouw daarnaast een eenvoudig noodplan: weet wie er bij uw hostingaccount kan als een certificaat onverwacht verloopt, en test die toegang minstens één keer per jaar. Een site die plots "niet veilig" toont, kost u binnen uren al bezoekers en vertrouwen.
TLS-instellingen, HSTS en mixed content: de basis op orde
Een certificaat installeren is stap één. Het correct configureren is stap twee, en die stap wordt vaak overgeslagen.
Zorg dat uw server alleen moderne TLS-versies accepteert (TLS 1.2 en 1.3) en verouderde, onveilige protocollen zoals SSL 3.0 en TLS 1.0 uitschakelt. De meeste hostingpartijen doen dit inmiddels standaard, maar bij oudere serverconfiguraties is het de moeite van het checken waard.
HSTS (HTTP Strict Transport Security) vertelt browsers: bezoek deze site voortaan altijd via https, nooit via het onbeveiligde http, zelfs niet als iemand per ongeluk de oude link intikt. Voor overheidswebsites is HTTPS met HSTS zelfs wettelijk verplicht sinds 2023, wat aangeeft hoe hoog de norm inmiddels ligt. Voer HSTS wel voorzichtig in: begin met een korte geldigheidsduur tijdens het testen, want een verkeerd ingestelde HSTS-regel kan uw site tijdelijk onbereikbaar maken voor terugkerende bezoekers.
Controleer verder op mixed content (afbeeldingen of scripts die nog via http laden), zorg dat de intermediate keten van uw certificaat compleet is meegeïnstalleerd, en bewaar uw private key nooit los in een openbare bestandsmap. Het NCSC publiceert concrete richtlijnen voor veilige TLS-configuratie die u samen met uw hostingpartij kunt doorlopen.
Hoe vraag je een ssl certificaat aan en installeer je het?
Voor niet-technische ondernemers zijn er twee routes. De eerste is een managed oplossing: uw hostingpartij of webbureau regelt aanvraag, installatie en verlenging voor u. De tweede is self-service: u regelt het zelf via een beheerpanel of server, wat meer controle geeft maar ook meer kennis en opvolging vraagt.
Wilt u het zelf doen, dan ziet het proces er ongeveer zo uit:
- Kies uw route. Bepaal of u een gratis certificaat via Let's Encrypt aanvraagt of een betaald certificaat bij een commerciële CA koopt.
- Valideer uw domein. De CA controleert eigendom via een HTTP-bestand op uw server (HTTP-01) of een DNS-record (DNS-01). De meeste beheerpanelen doen dit automatisch.
- Installeer het certificaat. Bij managed hosting gebeurt dit vaak met één klik; bij een eigen server moet u het certificaat en de intermediate keten handmatig koppelen.
- Forceer de omleiding. Zorg dat elk bezoek aan de HTML-versie automatisch doorstuurt naar https.
- Test het resultaat. Controleer de vervaldatum, de certificaatketen en de algehele status via Internet.nl, de gratis testtool die ook de Autoriteit Persoonsgegevens aanraadt.
Checklist: dit moet elke ondernemer afvinken
Loop deze punten geregeld na, niet alleen bij de eerste installatie:
- HTTPS staat overal actief, ook op elke subpagina en elk formulier.
- Elke http-link stuurt automatisch door naar https.
- HSTS staat aan, met een geleidelijk opgebouwde geldigheidsduur.
- Automatische vernieuwing via ACME werkt en is getest, niet alleen ingesteld.
- U monitort de vervaldatum actief, met een back-up plan als de automatisering faalt.
Pro-tip: Beheert u meerdere sites, subdomeinen of een webshop met betalingen? Dan is betaalde support of een managed SSL-dienst vaak de moeite waard: één gemiste vernieuwing op een drukke webshop kost meer dan een jaar aan certificaatkosten.
Waarom Durfmakers https standaard instelt
Bij elke website staat HTTPS vanaf de eerste testversie aan, niet als latere toevoeging. Dat past bij de werkwijze: de site wordt eerst volledig afgemaakt en getoond op een testadres, en u betaalt alleen als u hem wilt houden. Geen technische nazorg die u zelf moet regelen.
Na betaling krijgt u broncode en ontwerp in eigendom, inclusief een correct ingestelde beveiliging. De site is vanaf dag één technisch vindbaar in zoekmachines en AI-assistenten. Zo hoeft u zich nooit af te vragen of het slotje in de adresbalk wel goed staat.
— Patrick
Website nodig zonder risico op verspilling?
Durfmakers is het alternatief voor het traditionele bureaumodel waarbij u eerst een offerte tekent en dan maar afwacht wat er komt. Bij Durfmakers ziet u de complete, werkende website eerst op een testadres, inclusief correct ingestelde HTTPS, en betaalt u pas als u hem daadwerkelijk wilt houden. Bevalt de site niet, dan betaalt u niets.
De pakketten zijn eenmalig en vooraf duidelijk: er is een pakket voor een onepager en een pakket voor een site met meerdere pagina's, zonder abonnement en zonder verborgen kosten achteraf. Na betaling krijgt u de broncode en het ontwerp in eigendom.
Twijfelt u nog of uw huidige site technisch in orde is, of wilt u gewoon zien hoe uw nieuwe website eruit zou kunnen zien? Bekijk de pakketten en start de bouw van uw testversie via Start en Compleet.
Bronnen
Voor de juridische kant raadpleegt u de Autoriteit Persoonsgegevens, voor technische configuratie het NCSC, voor een gratis certificaat Let's Encrypt en voor een snelle statuscheck Internet.nl. Ook het Forum Standaardisatie publiceert relevante normen over HTTPS en HSTS. Test uw site na installatie minstens één keer via Internet.nl en lees de NCSC-richtlijn erbij.
- Stap 4: Maak de beveiliging in orde | Autoriteit Persoonsgegevens
- Zorgeloos certificaatbeheer | NCSC
- Decreasing Certificate Lifetimes to 45 Days - Let's Encrypt
Veelgestelde vragen
Hoeveel kost een SSL-certificaat per jaar?
Een basiscertificaat via Let's Encrypt is gratis en wordt automatisch verlengd. Betaalde OV- of EV-certificaten met extra organisatiecontrole en garantie kosten doorgaans tussen enkele tientjes en enkele honderden euro's per jaar, afhankelijk van de leverancier en het validatieniveau.
Wat doet een SSL-certificaat precies?
Het versleutelt het verkeer tussen de browser van uw bezoeker en uw server, zodat wachtwoorden, formuliergegevens en betaalinformatie niet door derden kunnen worden onderschept. Daarnaast bevestigt het certificaat dat de bezoeker echt met uw website communiceert, en niet met een nagemaakte versie.
Wie geeft SSL-certificaten uit?
Certificaatautoriteiten (CA's) geven certificaten uit, waarvan Let's Encrypt de bekendste gratis variant is. Daarnaast bestaan commerciële CA's die betaalde certificaten met uitgebreidere validatie en support aanbieden.
Hoe krijg je een SSL-certificaat?
U vraagt het aan bij een certificaatautoriteit, valideert uw domeineigendom via een technische check en installeert het certificaat vervolgens op uw server of hostingaccount. Bij de meeste moderne hostingpartijen en bij sommige webbureaus gebeurt dit automatisch, zonder dat u er zelf naar hoeft om te kijken.
Is een SSL-certificaat verplicht voor elke website?
Wettelijk verplicht is het vooral zodra u persoonsgegevens verwerkt via formulieren, accounts of betalingen, wat onder de AVG als passende beveiligingsmaatregel geldt. Voor een pure informatiepagina zonder formulieren is het niet strikt verplicht, maar wel sterk aan te raden voor vertrouwen en vindbaarheid.