Op deze pagina
Twee dingen die je bezoeker niet ziet, maar wel merkt
Zonder geldig SSL-certificaat toont elke browser je bezoeker een waarschuwing in plaats van je site. Met een geldig certificaat begint je adres met https en ziet de bezoeker een slotje. Zonder certificaat staat er http, en markeert Chrome je site sinds juli 2018 als niet beveiligd. Wanneer het jouwe vervalt, zie je met de SSL checker.
Dat versleutelen is geen detail. Alles wat iemand op je site intypt, van een naam in je contactformulier tot een wachtwoord in je klantenportaal, reist over netwerken van anderen: de wifi van een café, de router van een provider. Met https leest onderweg niemand mee en verandert niemand iets aan de pagina. Het certificaat zelf wordt uitgegeven en ondertekend door een certificaatautoriteit (CA), een organisatie die browsers vertrouwen.
SSL 3.0, TLS en de kortere looptijd
- 1996SSL 3.0Netscape legt op 18 november 1996 de versie van SSL vast waarop alles daarna voortbouwt.
- 1999TLS 1.0De opvolger krijgt in januari 1999 een nieuwe naam: Transport Layer Security, gebaseerd op SSL 3.0.
- 2014Https in GoogleOp 7 augustus 2014 maakt Google https een licht signaal in de ranking.
- 2015SSL 3.0 verbodenDe internetstandaard zegt in juni 2015: SSL 3.0 mag niet meer gebruikt worden.
- 2018TLS 1.3 en niet beveiligdTLS 1.3 verschijnt in augustus 2018; Chrome 68 markeert vanaf juli 2018 elke http-site als niet beveiligd.
- 2026Nog 200 dagenSinds 15 maart 2026 mag een publiek certificaat hooguit 200 dagen geldig zijn, op weg naar 47 dagen in 2029.
SSL bestaat al lang niet meer, TLS wel
Het protocol SSL is al jaren niet meer in gebruik. Na SSL 3.0 kwam in 1999 TLS 1.0, en de standaarden schaften SSL 3.0 in 2015 af en TLS 1.0 en 1.1 in maart 2021. Een moderne site praat TLS 1.2 of TLS 1.3, de versie uit augustus 2018 die sneller een verbinding opzet en oude, zwakke versleuteling weglaat. Het woord SSL-certificaat bleef hangen omdat iedereen het zo kent; hosters en aanbieders verkopen het nog altijd onder die naam. Een SSL-certificaat en een TLS-certificaat zijn hetzelfde ding.
Wat er gebeurt in de eerste fractie van een seconde
Typt iemand je adres, dan vraagt zijn browser je server om een beveiligde verbinding. De server toont zijn certificaat: voor welk domein het geldt, wie het uitgaf en tot wanneer. De browser controleert drie dingen: is het ondertekend door een CA die hij vertrouwt, klopt het domein, en is het niet verlopen? Pas als alle drie kloppen, maken browser en server via TLS de sleutels af waarmee ze de rest van het gesprek versleutelen. Een fout in een van de drie, en de bezoeker krijgt een waarschuwing in plaats van je site.
Vier stappen, en een steeds kortere looptijd
- Stap 1Browser klopt aanEen bezoeker typt je adres. De browser vraagt je server om een beveiligde verbinding.
- Stap 2Server toont certificaatHet certificaat zegt voor welk domein het geldt, wie het uitgaf en tot wanneer.
- Stap 3Browser controleertOndertekend door een erkende uitgever, juist domein, niet verlopen? Anders volgt een waarschuwing.
Maximale geldigheid van een publiek certificaat
Tot 14 maart 2026398dagen
ongeveer dertien maanden
Vanaf 15 maart 2026200dagen
nu van kracht
Vanaf 15 maart 2027100dagen
Vanaf 15 maart 202947dagen
acht vernieuwingen per jaar
Wie zijn certificaat met de hand vernieuwt, doet dat in 2029 acht keer per jaar. Automatisch vernieuwen is dan de enige werkbare weg.
Drie soorten controle: DV, OV en EV
Elk certificaat versleutelt even sterk. Het verschil zit in wat de CA controleert voor ze het uitgeeft.
| Soort | Wat de CA controleert | Voor wie | Prijs per jaar |
|---|---|---|---|
| DV, domeinvalidatie | Alleen dat je het domein beheert, automatisch in minuten | Elke bedrijfssite, webshop en blog | Gratis bij Let's Encrypt en bij AWS voor CloudFront; vanaf 132,25 euro bij Combell |
| OV, organisatievalidatie | Ook dat je bedrijf bestaat en het domein gebruikt | Bedrijven die de bedrijfsnaam in het certificaat willen | Vanaf 178,25 euro bij Combell |
| EV, uitgebreide validatie | Een grondiger controle van bedrijf, adres en wie de aanvraag doet | Banken en grote webshops die het eisen in contracten | Vanaf 332,93 euro bij Combell |
| Wildcard | Een DV- of OV-certificaat voor alle subdomeinen | Wie veel subdomeinen heeft, zoals app. en klant. | 258,75 euro bij Combell |
De prijzen van Combell zijn exclusief btw, met een lagere prijs het eerste jaar. Let's Encrypt geeft alleen DV-certificaten uit en heeft geen plannen voor OV of EV, omdat die controle niet te automatiseren is. Voor een kmo-site volstaat DV bijna altijd.
Gratis of 132 euro per jaar
Het certificaat zelf kan gratis. Let's Encrypt, een nonprofit, rekent niets. Wie zijn site op Amazon CloudFront zet, krijgt bij AWS een publiek certificaat zonder kost; alleen een certificaat dat je wil exporteren naar een andere server kost 7 dollar per domein, of 79 dollar voor een wildcard. Een betaald DV-certificaat bij een Belgische hoster kost rond 132 euro per jaar exclusief btw.
De echte kost zit in de tijd. Een certificaat moet geplaatst, vernieuwd en gecontroleerd worden, en dat wordt elk jaar vaker. Wat je website verder per jaar kost aan hosting, domein en onderhoud, staat in wat kost een website per jaar.
Nu 200 dagen, in 2029 nog maar 47
Het CA/Browser Forum, waarin certificaatautoriteiten en browsermakers de regels afspreken, keurde in 2025 een schema goed dat de maximale geldigheid stap voor stap verkort. Tot 14 maart 2026 was dat 398 dagen. Sinds 15 maart 2026 is het 200 dagen, vanaf 15 maart 2027 wordt het 100 dagen en vanaf 15 maart 2029 47 dagen. Let's Encrypt volgt met 64 dagen vanaf 10 februari 2027 en 45 dagen vanaf 16 februari 2028.
Stel: een tuinaannemer in Sint-Niklaas betaalt zijn hoster 132,25 euro per jaar voor een DV-certificaat dat hij zelf installeert. Tot maart 2026 deed hij dat een keer per jaar. Met 200 dagen wordt het twee keer per jaar, vanaf 2027 vier keer, en vanaf 2029 acht keer: 365 gedeeld door 47 is 7,8. Een vergeten vernieuwing betekent een site die een waarschuwing toont. Wie automatisch laat vernieuwen, met Let's Encrypt of het certificaat van zijn hoster, betaalt niets en hoeft er niet meer aan te denken. Dat hoort bij goed website onderhoud en beheer.
Verlopen: wat je bezoeker te zien krijgt
Geen klein icoontje, maar een volledige waarschuwing over de hele pagina, in Chrome met de foutcode NET::ERR_CERT_DATE_INVALID. De meeste bezoekers klikken weg, formulieren komen niet meer binnen en betaalde advertenties sturen mensen naar die waarschuwing. Vernieuw het certificaat, kijk of het automatisch vernieuwen weer loopt en test de site op een gsm en een computer.
Https, de AVG en Google
Geen wet zegt letterlijk dat je een SSL-certificaat moet hebben. De AVG vraagt wel in artikel 32 een passende beveiliging van persoonsgegevens en noemt versleuteling als voorbeeld. Een contactformulier dat namen en telefoonnummers over http verstuurt, is daar moeilijk mee te verzoenen. Wat je verder op je site moet zeggen over die gegevens, staat in privacyverklaring verplicht?; met de leverancier die je formulieren verwerkt, sluit je een verwerkersovereenkomst. Valt je organisatie of je klant onder NIS2, dan hoort versleuteling bij de maatregelen die je moet kunnen tonen.
Voor Google is https sinds 2014 een licht rankingsignaal, met minder gewicht dan goede inhoud. Het helpt je SEO niet vooruit, maar zonder https verlies je bezoekers aan de waarschuwing. Stap je over van http naar https, stuur dan elk oud adres met een 301-redirect door, zodat je posities meeverhuizen. Hoe dat gaat bij een overstap naar een andere host, lees je in website verhuizen.
Over prijzen, slotjes en verlopen
Is een SSL-certificaat verplicht?
Niet met zoveel woorden. Maar de AVG vraagt passende beveiliging van persoonsgegevens, met versleuteling als voorbeeld, en elke browser zet een site zonder https als niet beveiligd in beeld. Voor een site met een formulier, een login of een webshop is het in de praktijk een must.
Wat is het verschil tussen SSL en TLS?
TLS is de opvolger van SSL sinds 1999. SSL 3.0 is sinds 2015 verboden. Wat vandaag een SSL-certificaat heet, wordt gebruikt met TLS 1.2 of 1.3; de oude naam bleef in de handel hangen.
Hoe lang is een SSL-certificaat geldig?
Sinds 15 maart 2026 hooguit 200 dagen. Vanaf 15 maart 2027 wordt dat 100 dagen en vanaf 15 maart 2029 47 dagen. Een certificaat van Let's Encrypt is standaard 90 dagen geldig en zakt naar 64 en later 45 dagen.
Heb ik een wildcard-certificaat nodig?
Alleen als je veel subdomeinen hebt, zoals app., portaal. en mail. van hetzelfde domein. Een gewoon certificaat dekt je domein met en zonder www. Met automatische certificaten per subdomein kan het ook zonder wildcard.