Welke soort SSL Certificaat moet ik kiezen?

Is het gratis Lets Encrypt wel verstandig om te gebruiken

Welke soort SSL Certificaat moet ik kiezen?

In de laatste jaren is er steeds meer aandacht gekomen voor de online wereld. Ook wel de wereld van de bereikbaarheid, waarbij wij als mensen eigenlijk 24/7 bereikbaar moeten zijn. Allemaal natuurlijk erg leuk en aardig, maar dit vraagt ook om veranderingen binnen het gebruik van online diensten. Denkt u bijvoorbeeld maar eens aan de beveiliging. Vandaag bespreek ik samen met u wat voor soorten beveiligingscertificaten (SSL Certificaten) u kunt kopen. Maar eerst zal ik beginnen met een korte uitleg wat een SSL Certificaat eigenlijk precies is.

Wat is een SSL Certificaat?

Een SSL Certificaat is een certificaat die u bij uw webhosting (of een erkende organisatie) kunt kopen. Hiervoor moet u enkele gegevens genereren (zogeheten CRS-code) om uw identiteit te versturen na de webhosting of erkende organisatie. Zij sturen u een bevestigingse-mail die u moet bevestigen.

Wanneer alles is geregeld krijgt u een private key en een public key, samen met een CA-root certificaat. Deze kunt u installeren op uw webserver zodat u een beveiligde verbinding kunt hebben. Dit is te herkennen aan het groene slot en https:// in de adresbalk van uw browser.

Werking van het SSL Certificaat (zo werkt het)

Wat is de levensduur van een SSL Certificaat?

Een betaalde SSL Certificaat heeft een levensduur van één, twee of drie jaar. Afhankelijk van uw keuze en doel van de website, kunt u uit deze drie levensduren kiezen om zo de beveiligde verbinding te kunnen realiseren.

Bij de meeste webhostingbedrijven of erkende organisaties krijgt u vaak korting wanneer u een certificaat afneemt met een langere looptijd. Dit heeft in sommige gevallen een besparing van tientallen Euro’s (bij de uitgebreide certificaten). Maar over het algemeen kunt u het beste kiezen voor een certificaat met één jaar. Wanneer dit certificaat bijna verloopt, kunt u een nieuw certificaat aanvragen of bij een ander bedrijf aanschaffen. Dit gaat altijd op dezelfde manier als die ik eerder in dit artikel heb geschreven.

Inmiddels is het bekende Let’s Encrypt ook een oplossing voor hobbywebsites. Deze certificaten hebben een levensduur van 3 maanden (90 dagen). Voor bedrijven raad ik deze keuze ten strengste af, omdat dit goedkoop oogt na uw bezoeker en dat u zijn of haar veiligheid niet serieus neemt. Meer nadelen over Let’s Encrypt heb ik geschreven in het artikel Is het gratis Let’s Encrypt wel verstandig om te gebruiken?

Wat voor SSL Certificaten zijn er?

Nu we duidelijk hebben wat een SSL Certificaat precies doet en wat de levensduur een certificaat heeft, dan is het nog belangrijks om te kijken welk certificaat u nodig heeft voor uw website. Allereerst wil ik u zeggen dat bij alle certificaten ook uw e-mail beveiligen samen met uw domeinnaam (in de meeste gevallen dus mjbeventspr.com en www.mjbeventspr.com). Maar daarop zijn uitzonderingen, waar ik later in dit stukje op terug zal komen.

Domeinvalidatie SSL Certificaat

De meest bekende vorm van een SSL Certificaat is de domeinvalidatie. Dit certificaat zorgt ervoor dat uw e-mail en website (mjbeventspr.com en www.mjbeventspr.com) worden beveiligd. De levensduur kan verschillen van één, twee of drie jaar en is alleen geldig voor één domeinnaam. Het certificaat kan in de meeste gevallen binnen 15 minuten worden geleverd waarna u het certificaat kunt installeren op uw webserver.

Multi-domeinnaam SSL Certificaat (MDC)

Een organisatie SSL Certificaat is handig wanneer u een bedrijf bent die meerdere domeinnamen beheerd die beveiligd moeten worden. U kunt hierbij in één certificaat deze domeinnamen toevoegen. Een nadeel is dat alle domeinnamen gevalideerd moeten worden. Dit gebeurt door de webhosting (of erkende bedrijf) die een bevestigingse-mail naar een bepaalde e-mailadres stuurt van uw website (bijvoorbeeld admin@, administrator@ of info@). Het verschilt dan per webhosting (of erkende bedrijf) of dit certificaat inclusief of exclusief het www. is. Soms heeft u tegen een kleine extra vergoeding beide varianten beveiligd.

Uitgebreide validatie SSL Certificaat

Een uitgebreide validatie SSL Certificaat kent u ongetwijfeld, bijvoorbeeld wanneer u inlogt bij online bankieren van uw bank. Dan ziet u voor de URL een groene balk met de naam van de bank, bijvoorbeeld ABN Amro Nederland. Hieronder heb ik een voorbeeld weergegeven.

Uitgebreide SSL Certificaat verificatie

Deze certificaten duren meestal enkele dagen tot een week. Er moet op verschillende manieren geverifieerd worden dat u de eigenaar bent van de website. Dit gebeurt bijvoorbeeld via een bevestigingse-mail zoals bij een domeinvalidatie, door een brief die op het adres wordt afgeleverd en door een telefonisch gesprek met de uitgevers van het certificaat. Wanneer alles in orde is, zal het certificaat van het aangevraagde domeinnaam worden uitgegeven. De levensduur kan één, twee of drie jaar zijn.

Wildcard SSL Certificaat

Wildcard SSL Certificaten zijn certificaten die niet alleen uw website (mjbeventspr.com en/of www.mjbeventspr.com) beveiligen, maar ook alle subdomeinnamen. Bijvoorbeeld demo.mjbeventspr.com of demo1.mjbeventspr.com. Wanneer u een gewone SSL Certificaat (domeinvalidatie) heeft geïnstalleerd, dan kunt u niet de subdomein mee beveiligen. Daarom heeft u deze Wildcard nodig. Tot tegenstelling wat met een Multi-Domeincertificaat niet kan tegen lage kosten, zijn alle subdomeinen bij een Wildcard beveiligd. Dus bij een installatie van een Wildcard certificaat maakt het niet uit hoeveel subdomeinen u aanmaakt.

Hoe herken ik een veilige website? Is mijn eigen website veilig?

Waarschijnlijk vraagt u zich af na de installatie of alles goed is gegaan of dat er toch iets onveilig is. In het volgende gedeelte geef ik u enkele handige websites en tools om te kijken of alles klopt.

URL Check

Allereerst kunt u kijken of uw beveiligde verbinding al beschikbaar is met uw website. Dit doet u bijvoorbeeld door https:// toe te voegen aan uw URL. Wanneer uw website goed beveiligd is, dan krijgt u een groen slotje met de groene tekst https://. Wanneer uw beveiliging niet beveiligd is, krijgt u vaak een foutmeldingspagina (bijvoorbeeld de onveilige waarschuwing in Google Chrome) in uw browser. Wanneer u wel https:// ziet maar deze lichtgrijs wordt weergegeven, dan moet u het één en ander nog aanpassen. Hierover kunt u hieronder meer lezen bij Bonus: Beveiligd maar niet helemaal.

SSL Check

De eerste (en waarschijnlijk de bekendste) is www.sslcheck.nl (website kan soms traag zijn). Hier vult u de betreffende domeinnaam in (dus www.mjbeventspr.com bijvoorbeeld). Wanneer alles goed is, dan krijgt u allemaal groene vinkjes met de melding Het certificaat kon worden gecontroleerd en is op de juiste wijze geïnstalleerd.

SSL Labs

Internationaal word veel gebruik gemaakt van www.sslabs.com/ssltest/. Hier vult u de betreffende domeinnaam is (dus www.mjbeventspr.com bijvoorbeeld). Wanneer de test afgerond is (kan soms 3 minuten – 180 seconden duren), krijgt u een cijfer A, B of C. Onder dit cijfer kunt u per onderdeel kijken wat goed beveiligd is of wat uw aandacht nodig heeft om te verbeteren.

Internet

Internet.nl is een website die in het leven is geroepen op websites, e-mailadressen en uw browser controleren op de beveiliging. Kortgezegd waarmee u verbonden bent met het internet. Wanneer u uw domeinnaam of e-mailadres invoert, worden er verschillende punten weergegeven. De groene vinkjes geven aan wat goed beveiligd is, maar de ronde kruizen geven aan wat nog onbeveiligd is. Een geel driehoekje betekend dat er instellingen anders moeten worden ingesteld.

Omdat dit veel technische kennis nodig heeft, kunt u het beste uw webhosting, webmaster of een andere contactpersoon inschakelen om de punten met een rode of gele driehoek te verhelpen. Raadpleeg ook eventueel internetforums of Facebookgroepen om hulp.

Inspecteren Google Chrome (CTRL + SHIFT + i)

Waarschijnlijk hebben andere browsers zoals Microsoft Edge, Safari en Mozilla deze functie ook. Wanneer u in Google Chrome een website bezoekt, kunt u rechtsklikken met de rechtermuisknop. Onderaan het menuutje krijgt u de optie inspecteren (CTRL + SHIFT + i). Wanneer u hierop klikt krijgt u een nieuw pop-up scherm binnen Google Chrome. U ziet in de tabbladen “Security” staan. Hier krijgt u een melding van Google Chrome wanneer de website volledig beveiligd is. Binnen dit tabblad kunt ook het certificaat bekijken die op dat moment actief is op uw website.

Bonus: Beveiligd maar niet helemaal

Soms kan het voorkomen dat uw website wel beschikbaar is over https://, maar dat het groene slotje niet zichtbaar is. Dit betekend dat u mixed content heeft. Dit kan dus betekenen dat er bijvoorbeeld een afbeelding, video of downloadbare bestand (PDF of Word-document) die via een onveilige verbinding (http://) worden geladen. U kunt in Google Chrome (maar waarschijnlijk ook in andere browsers) door enkele klikken controleren waar het probleem zich bevindt.

Klik daarvoor rechts op uw rechtermuisknop en vervolgens op inspecteren (CTRL + SHIFT + i). Onder het tabblad Console kunt u kijken waar de oorzaak is. Google Chrome geeft dan een URL weer met de tekst als mixed content of geladen via een onbeveiligde verbinding.

Installatie van SSL Certificaat

Onlangs heb ik het artikel Website stappenplan van http naar https geschreven. In dit artikel leg ik uit hoe u een SSL Certificaat moet installeren en hoe u de onveilige verbinding kunt forceren, zoals het vaak wordt genoemd. Zo kunt u al (in de meeste gevallen) wanneer u het certificaat heeft (private key en public key) al binnen 10 minuten een beveiligde verbinding hebben.

Soms is het allemaal iets technischer dan dat u denkt of wat u heeft gehoopt. Daarom wil ik u graag de mogelijkheid aanbieden dat ik de beveiligde verbinding voor u instel. Dit kan dan al in 10 minuten voor u geregeld zijn, wanneer er toegang is tot het certificaat en tot de server van uw website. U hoeft daarna alleen zelf nog te controleren of alle andere bestanden (zoals PDF en Word-documenten) over de beveiligde verbinding worden geladen.

Van https naar http

Ik raad u aan, eenmaal een beveiligde verbinding blijf bij de beveiligde verbinding. Het is natuurlijk mogelijk dat u terug kunt stappen naar het onbeveiligde http://. Maar ik adviseer u graag om de beveiligde verbinding te houden.

Wanneer u terug stapt naar http:// dan moet u de volledige website forceren. Eigenlijk het tegenover gestelde van wat ik zonet heb uitgelegd bij het installeren van een SSL Certificaat. Wanneer u dit allemaal heeft geregeld, moet u de volledige website doorlezen om te kijken dat er geen afbeeldingen, PDF-bestanden of interne linken over de beveiligde verbinding worden gestuurd. Als loopt u het risico dat de bezoeker een foutmeldingspagina van de browser ontvangt. Dit betekent dus dat de meeste bezoekers direct de website weer verlaten, omdat ze denken dat de website onveilig is!

Dit is slecht voor uw website en voor uw bedrijf of merk. Daarom raad ik u aan, blijf bij de beveiligde verbinding over https://. Zo voorkomt u extra werk en het verlies op bezoekers!

Conclusie

Er is dus genoeg keuze om uw website te kunnen beveiligen met een SSL Certificaat. De ene persoon neemt de beveiliging serieus en de andere persoon vindt dat het niet nodig zal zijn. Sinds de update van Google Chrome met versie 61 en hoger, kijkt Google streng naar onbeveiligde websites.



 

Volg MJB Events PR op Instagram