Wat is SSL? Het slotje voor je website in gewone taal

Boven in je browser, naast het webadres, staat bij de meeste websites een klein slotje. Klanten letten erop, browsers waarschuwen als het ontbreekt, en in offertes duikt ineens de term SSL-certificaat op. Wat is dat eigenlijk? In dit stuk leg ik in gewone taal uit wat SSL doet, wat het slotje wel en niet zegt over een website, en waarom je er tegenwoordig meestal niks voor hoeft te regelen.

Het slotje in de adresbalk

Het slotje betekent dat een website een SSL-certificaat heeft. Dat is een klein digitaal bewijsstuk waarmee de verbinding tussen de bezoeker en de website versleuteld wordt. Alles wat er tussen die twee heen en weer gaat, wordt in een soort geheimtaal omgezet die alleen de browser en de website kunnen lezen.

Je ziet het ook aan het webadres zelf. Dat begint dan met https:// in plaats van http://. Die extra s staat voor secure, veilig dus. Hoe zo'n webadres verder in elkaar zit, lees je in wat is een URL.

Voor de volledigheid: de techniek achter het slotje heet tegenwoordig officieel TLS. Dat is de opvolger van SSL. Maar bijna iedereen zegt nog gewoon SSL, van hostingpartijen tot browsers, en dat doe ik in dit stuk dus ook. Kom je ergens TLS tegen, dan gaat het over hetzelfde.

Wat beschermt SSL wel?

Alles wat een bezoeker naar jouw website verstuurt, reist in stukjes over het internet. Zonder versleuteling zijn die stukjes onderweg mee te lezen, bijvoorbeeld op een openbaar wifi-netwerk in een cafeetje of op een station. Met SSL kan dat niet. De gegevens zijn onderweg versleuteld en voor buitenstaanders onleesbaar.

Denk aan wat mensen op jouw site invullen: een naam en telefoonnummer in het contactformulier, een adres voor een offerte, een bericht met details over een klus. Met een slotje komt dat allemaal in een gesloten envelop aan. Zonder slotje is het eerder een ansichtkaart: iedereen die 'm onderweg in handen krijgt, kan meelezen.

Ook het andere verkeer is beschermd. Niemand kan onderweg stiekem iets aan je pagina toevoegen of veranderen, zoals een valse knop of een vervalst rekeningnummer. Wat jij op je site hebt gezet, is wat de bezoeker te zien krijgt.

Wat zegt het slotje niet?

Nu het eerlijke deel, want dit wordt vaak verkeerd uitgelegd. Het slotje zegt niks over de betrouwbaarheid van het bedrijf achter de website. Een SSL-certificaat is voor iedereen te krijgen, dus ook een malafide webshop kan een keurig slotje in de adresbalk hebben.

Onthoud het zo: het slotje gaat over de verbinding, niet over het bedrijf. Het betekent dat je gegevens onderweg beschermd zijn. Het betekent niet dat de ontvanger te vertrouwen is. Een oplichter met een slotje ontvangt jouw gegevens net zo goed, alleen keurig versleuteld.

Wil je weten of een bedrijf deugt, kijk dan naar andere dingen: een vindbaar adres en KVK-nummer, echte reviews, een telefoonnummer dat wordt opgenomen. Het slotje is een basisvoorwaarde, geen keurmerk.

Waarom heb je het dan toch nodig?

Om drie redenen. De eerste is de zichtbaarste: browsers zoals Chrome zetten bij een website zonder https de melding "niet veilig" in de adresbalk. Dat is precies het woord dat je niet naast je bedrijfsnaam wilt zien. Veel bezoekers klikken dan meteen weg, en gelijk hebben ze.

De tweede reden: Google geeft websites met https al jaren een lichte voorkeur in de zoekresultaten. Het is geen wondermiddel, maar zonder begin je met een kleine achterstand op elke concurrent die het wel op orde heeft. SIDN, de organisatie achter alle .nl-domeinnamen, schrijft dat ook: een SSL-certificaat telt mee in je vindbaarheid, en dan wel op je hele website.

De derde reden: heb je een formulier waar mensen hun naam of telefoonnummer invullen, dan hoor je die verzending gewoon te beveiligen. Dat zijn persoonsgegevens, en daar ben je als eigenaar van de site verantwoordelijk voor.

Zo check je of jouw site het heeft

Dit kost je een halve minuut. Open je eigen website en kijk naar de adresbalk. Zie je een slotje, of na een klik op het icoontje voor het adres de melding dat de verbinding beveiligd is? Dan zit het goed. Staat er "niet veilig", dan weet je ook genoeg.

Doe daarna nog een tweede test: tik je webadres in met https:// ervoor, dus bijvoorbeeld https://www.jouwbedrijf.nl. Laadt de site gewoon, dan werkt het certificaat. Krijg je een waarschuwing of foutmelding, dan is er iets mis en kan je hostingpartij je vertellen wat.

Sommige browsers verstoppen het slotje tegenwoordig achter een klein instellingen-icoontje. Klik erop en je ziet meteen of de verbinding versleuteld is.

Wat het kost: meestal niks extra

Hier heb ik goed nieuws. Bij de meeste hostingpartijen zit een SSL-certificaat er tegenwoordig gewoon gratis bij. Het wordt automatisch aangevraagd en automatisch verlengd, zonder dat jij er iets voor hoeft te doen. Alleen bij oude of hele goedkope pakketten is het soms nog een betaald extraatje.

Zie je op een offerte of jaarrekening een losse post voor een standaard SSL-certificaat staan, vraag dan even na waarom. Soms is daar een goede reden voor, maar vaak betaal je voor iets wat er elders gewoon bij zit. Het certificaat hoort bij je domeinnaam en je hosting; heb je die nog niet, lees dan eerst domeinnaam kiezen.

Bij mij zit het er standaard bij. Certificaat, automatische verlenging, de hele techniek erachter: het is onderdeel van het abonnement en je hoeft er niks voor te regelen. Zo hoort het wat mij betreft ook.

Eerst het slotje, dan de rest

Een slotje is tegenwoordig de basis, zoals een deurslot op je werkplaats. Het maakt je website niet ineens goed, maar zonder begin je met een achterstand: een waarschuwing in de browser, wantrouwen bij bezoekers en een minpuntje bij Google.

Doe daarom vandaag nog die check van een halve minuut. Staat het slotje er, mooi, dan kun je je richten op de dingen die echt verschil maken: duidelijke teksten, goede foto's en een site die snel laadt. Ontbreekt het, bel dan je hostingpartij of je websitebouwer. In de meeste gevallen is het binnen een dag geregeld, en vaak zonder extra kosten.