HTTPS en SSL: waarom je website het nodig heeft
Nog op http://? Browsers waarschuwen, Google weegt het mee en bezoekers klikken weg. Wat HTTPS is, waarom het gratis kan en hoe je het regelt.
Je opent een website en bovenaan je browser staat “Niet veilig”. Grote kans dat je instinctief een stap terugzet. Dat gevoel heeft je bezoeker ook, en browsers en zoekmachines nemen het minstens zo serieus. HTTPS is allang geen extra optie meer, het is de standaard. Hieronder leggen we in gewone taal uit wat het is, waarom het telt, en wat je ermee moet.
HTTPS versleutelt de verbinding tussen je website en de browser van je bezoeker. Websites zonder HTTPS krijgen een “Niet veilig”-waarschuwing in Chrome en Firefox, kunnen lager scoren in Google, en wekken terecht minder vertrouwen. Via Let’s Encrypt is een geldig SSL-certificaat tegenwoordig gratis. De meeste hostingproviders regelen het automatisch, maar er zijn valkuilen.
Wat is het verschil tussen HTTP en HTTPS?
HTTP (HyperText Transfer Protocol) is het protocol waarmee data tussen een browser en een webserver heen en weer gaat. HTTPS voegt daar een S aan toe: Secure. Die S staat voor een versleutelde verbinding via SSL of TLS, zodat de gegevens onderweg niet kunnen worden afgelezen of aangepast.
In de praktijk betekent dit: als iemand via een openbaar wifinetwerk jouw website bezoekt en jij draait nog op HTTP, kan iemand anders op datzelfde netwerk in theorie meelezen wat er wordt uitgewisseld. Bij een informatiesite valt de directe schade mee. Bij een formulier waar iemand naam, e-mail of telefoonnummer invult, is het een ander verhaal.
Waarom telt Google HTTPS als rankingfactor?
Google heeft in 2014 openbaar gemaakt dat HTTPS een kleine rankingboost geeft ten opzichte van HTTP-sites. Sindsdien is dat beleid aangescherpt, omdat onveilige verbindingen ook Google-gebruikers raken.
Dat betekent concreet: twee vergelijkbare sites, één op HTTP en één op HTTPS: bij gelijke kwaliteit scoort de HTTPS-versie beter. Het is geen enorme factor vergeleken met sterke content of relevante backlinks, maar het is een drempel die je wegneemt door een SSL-certificaat te installeren. Een gratis drempel.
Wil je begrijpen hoe technische website-kwaliteit breder samenhangt met je vindbaarheid? Dat leggen we uit in Core Web Vitals uitgelegd.
Let’s Encrypt maakt SSL gratis, maar er zijn nuances
Vroeger kostte een SSL-certificaat een paar honderd euro per jaar bij een certificaatautoriteit. Dat is veranderd. Let’s Encrypt is een non-profit certificaatautoriteit die gratis SSL-certificaten uitgeeft. Vrijwel alle gerenommeerde hostingproviders ondersteunen Let’s Encrypt tegenwoordig, en veel panelen zoals cPanel of Plesk installeren het certificaat automatisch.
Wat dat betekent voor jou: als je bij een goede hostingprovider zit, is er geen reden meer om zonder HTTPS te draaien. Het is geen kostenpost.
De nuances zijn er wel:
- Let’s Encrypt-certificaten verlopen na 90 dagen en moeten automatisch worden vernieuwd. De meeste providers doen dit automatisch, maar als de vernieuwing mislukt en er niemand op let, loop je plotseling een verlopen certificaat op.
- Er zijn typen certificaten die Let’s Encrypt niet biedt, zoals uitgebreide validatie (EV) met de groene bedrijfsnaam in de adresbalk. Voor de meeste mkb-sites maakt dat geen enkel verschil.
Bij SSL en HTTPS voor je website lees je wat we precies doen rondom certificaten, monitoring en hosting. En voor het bredere plaatje van hosting: hosting en domeinen.
Wat is “mixed content” en hoe los je dat op?
Je hebt HTTPS ingesteld, maar je browser geeft nog steeds een waarschuwing. Dat is vaak mixed content: een situatie waarbij de pagina zelf via HTTPS geladen wordt, maar bepaalde elementen (afbeeldingen, scripts, stylesheets) nog via HTTP worden ingeladen. Eén HTTP-verzoek op een HTTPS-pagina is genoeg voor de waarschuwing.
Hoe dat gebeurt: je schakelt over naar HTTPS, maar de linkjes naar afbeeldingen of externe scripts in je content staan nog op http://. De pagina zelf is veilig, maar de browser waarschuwt toch.
Hoe je het herstelt:
- Controleer de broncode van je pagina op
http://-verwijzingen in afbeeldingen, scripts en stylesheets. - Gebruik een plugin of tool: bij WordPress zijn er plugins die dit automatisch converteren, zoals Really Simple SSL.
- Controleer ook ingebedde content van externe bronnen: YouTube-embeds, Google Maps, formuliertools: die moeten ook via HTTPS geladen worden.
- Test na de fix via een browser-devtool of een tool als Why No Padlock om te controleren of de waarschuwing is verdwenen.
Mixed content is de meest voorkomende reden waarom ondernemers zeggen “ik heb al SSL” maar nog steeds een waarschuwing in de browser zien. Het is bijna altijd op te lossen, maar het vraagt een handmatige check.
Hoe weet je of jouw site het goed heeft?
De makkelijkste test: open je website in Chrome en kijk of er een slotje staat links van de URL. Geen slotje, of een “Niet veilig”-melding? Dan loopt jouw site achter. Klik op het slotje en je ziet details over het certificaat en of er mixed content is.
Wil je een bredere check? Vraag de gratis website-check aan. Dan kijken we tegelijk naar HTTPS, laadtijd, Core Web Vitals en een reeks andere technische punten. Zo weet je meteen wat er speelt, niet alleen op het gebied van HTTPS.