Website beveiligen met een SSL Certificaat

Wat is SSL of Secure Sockets Layer?

Een SSL Certificaat kunt u zien als een identiteitskaart voor uw website en geeft een duidelijk signaal aan uw bezoekers dat de verbinding met de website versleuteld is en alle gegevens die u invult of deelt met deze website beveiligd zijn.

SSL (Secure Sockets Layer) is de naam voor het encryptie-protocol dat het mogelijk maakt om communicatie op internet te beveiligen. Door middel van een complexe versleuteling van de verzonden gegevens kan zowel de authenticiteit van een website, als de veiligheid van de verbinding waarover de gegevens worden verzonden, worden gewaarborgd. Met andere woorden, een website mét SSL-verbinding kan garanderen dat de website is van wie een bezoeker denkt dat deze is.

De communicatie met de website, wanneer er gegevens worden verzonden (denk aan invullen van online formulieren), kan niet worden afgeluisterd.

SSL is een krachtig instrument bij het beschermen van uw klanten of bezoekers tegen misbruik van gegevens die op uw website worden ingevuld of opgehaald. Denk hierbij bijvoorbeeld aan creditcardgegevens, online bestellingen van producten, contactgegevens, wachtwoorden en gebruikersnamen, en vertrouwelijke communicatie via een website.

Wanneer u met gevoelige persoonsgegevens omgaat – zoals wachtwoorden, NAW-gegevens en betalingsgegevens – zijn SSL-certificaten sinds de introductie van de nieuwe privacywet, verplicht en dragen zeker ook bij aan het bezoekersvertrouwen van uw website.

Het gebruik van SSL heeft ook een positieve invloed op de positie van uw website in de zoekresultaten van Google. Hiermee motiveert Google, eigenaren van websites steeds meer om bij te dragen aan een veilig gebruik van het internet.

Verschil in SSL-certificaten

Grofweg kunt u SSL-certificaten indelen in 4 categorieën:

• LE – Let’s Encrypt
• DV – Domain Validation
• OV – Organisation Validation
• EV – Extended Validation

Het grote verschil tussen de verschillende certificaten zit hem in de mate van controles die worden uitgevoerd om de identiteit van de organisatie die het certificaat aanvraagt, vast te stellen. Een en ander wordt in de veelgestelde vragen over SSL behandeld, deze vragen en antwoorden vindt u op deze pagina.

Let’s Encrypt levert gratis SSL-certificaten

DigiState levert ook de gratis SSL-certificaten van Let’s Encrypt voor uw hostingomgeving. Let’s Encrypt levert uitsluitend certificaten met domein validatie, deze zorgen voor een beveiligde verbinding (encryptie), maar geeft geen identiteitsgarantie (authenticatie). Bezoekers aan websites met een LE weten dus wel dat hun gegevens veilig worden verzonden, maar kunnen helaas niet in de gegevens van het certificaat controleren naar wie de gegevens worden gestuurd.

Waar er bij een gratis Let’s Encrypt certificaat weinig tot geen controle is (en alles volledig is geautomatiseerd zonder dat er een mogelijkheid is contact met iemand op te nemen) is dat bij een Extended Validation een geheel ander verhaal.

Het gebeurt steeds vaker dat op de zogenaamde phishing domeinen gebruik wordt gemaakt van LE en DV-certificaten, internetcriminelen proberen hiermee phishing websites een betrouwbare uitstraling te geven. Door de eenvoudige beschikbaarheid, zonder echte controle bij de uitgifte van deze LE-certificaten neemt het misbruik hiermee de laatste tijd enorm toe.

Dit maakt, naast encryptie, de identiteitscheck een nog belangrijkere functie van een SSL-certificaat. Hiervoor heb je een certificaat met minimaal bedrijfsgegevens nodig (OV of EV- certificaten). Omdat deze bedrijfsgegevens handmatig gecontroleerd moeten worden, kan Let’s Encrypt deze certificaten niet leveren. Voor levering van een OV of een EV-certificaat, zult u altijd moeten terugvallen op certificaten van andere uitgevers van SSL, de zogenaamde Certifcate Authorities (CA), deze kunt u bijvoorbeeld via DigiState aanvragen.