Wat is een SSL-certificaat? Definitie en gids

In de vroege dagen van het internet werden alle verzoeken en antwoorden van websites verzonden in "platte tekst." Dit betekende dat ze potentieel zichtbaar waren voor digitale afluisteraars, wat het riskant maakte om dingen zoals inloggegevens, creditcardnummers en andere gevoelige persoonlijke informatie te verzenden.

Halverwege de jaren 90 ontwikkelde Netscape een beveiligingsprotocol voor het versleutelen van vertrouwelijke informatie voor het leveren en overdragen van webinhoud. Dit protocol werd SSL (Secure Sockets Layer) genoemd en zou later evolueren tot een ander protocol, genaamd TLS (Transport Layer Security).

Hoewel SSL en TSL verschillen in hun mogelijkheden en architectuur, bieden ze beide beveiliging door middel van een digitale technologie die een SSL-certificaat wordt genoemd.

Wat is een SSL-certificaat?

Een SSL-certificaat is een digitaal certificaat dat de identiteit van een website verifieert en een versleutelde verbinding tussen een website en een browser creëert. Een SSL-certificaat wordt soms een “SSL/TLS-certificaat” of simpelweg een “certificaat” genoemd.

SSL-certificaten beschermen de identiteit van de externe verbinding en maken online interacties privé, zodat niemand behalve de afzender en de ontvanger de inhoud die via de beveiligde verbinding wordt gedeeld kan lezen of wijzigen. Een SSL-certificaat fungeert als een paspoort om de identiteit van de website-eigenaar te verifiëren en als een sleutel om gebruikersgegevens veilig te houden via sterke versleuteling.

Wat is een SSL-certificaatautoriteit (CA)?

SSL-certificaten worden uitgegeven door organisaties die certificaatautoriteiten worden genoemd. Een CA is een vertrouwde derde partij die de identiteit van een website garandeert. Ze worden vertrouwd omdat ze in aantal beperkt zijn, goed bekend staan en hoge toetredingsdrempels moeten overwinnen. Wereldwijd zijn er net iets meer dan 100 certificaatautoriteiten en ze worden gecontroleerd om als vertrouwde root te worden opgenomen door de leveranciers van webbrowsers en besturingssystemen.

Voordat een certificaat wordt uitgegeven, verifieert de CA de informatie van de certificaataanvrager, zoals site-eigendom, naam, locatie en meer, volgens vastgestelde industriestandaarden. De CA ondertekent ook het certificaat digitaal met een eigen privésleutel, zodat klanten het kunnen verifiëren. Voor het verlenen van deze service vragen de meeste CA's een kleine jaarlijkse vergoeding (hoewel gratis SSL-certificaten beschikbaar zijn bij sommige webhosts en non-profit CA's).

Het daadwerkelijke SSL-certificaat is een klein digitaal bestand, meestal van een paar kilobytes, dat op de server die TLS ondersteunt is geïnstalleerd en met anderen wordt gedeeld. Dit bestand bevat:

• De domeinnaam van de site waarvoor het certificaat is uitgegeven
• De organisatie aan wie het is uitgegeven (de certificaathouder)
• De naam van de uitgevende certificaatautoriteit
• De digitale handtekening van de certificaatautoriteit
• Eventuele bijbehorende subdomeinen
• De uitgiftedatum en vervaldatum van het certificaat
• De publieke sleutel (opmerking: de privésleutel wordt niet gedeeld)

Als je een browser gebruikt om verbinding te maken met een URL die begint met “https,” of een groen hangslotje ziet in de adresbalk van de browser, weet je dat je een veilige TLS-verbinding hebt die is geverifieerd door een SSL-certificaat dat is uitgegeven door een CA. Door op het hangslot te klikken, krijg je aanvullende informatie over het SSL-certificaat, de domeineigenaar en de verbinding te zien.

Hoewel dit hangslot betekent dat je verbinding met de site veilig is, betekent het niet noodzakelijk dat de site veilig is om te gebruiken. Met andere woorden, alleen omdat je veilig verbinding kunt maken met een site, betekent dit niet dat deze niet wordt beheerd door kwaadwillende actoren.

Hoe werkt een SSL-certificaat?

Een SSL-certificaat gebruikt versleutelingsalgoritmen om gegevens tijdens de overdracht te versleutelen. Dit zorgt ervoor dat gegevens die tussen een browser en een website worden overgedragen, voor een derde partij onleesbaar blijven.

Veilige communicatie via TLS is afhankelijk van twee certificaten (één publiek en één privé) om de veilige verbinding te creëren.

Als een browser probeert verbinding te maken met een website die met TLS is beveiligd, wordt die communicatie tot stand gebracht door een “handshake,” of een heen-en-weer communicatie die slechts enkele milliseconden duurt. De stappen in deze handshake zijn:

1. De client (browser) maakt verbinding met de SSL-beveiligde website (server).
2. De client vraagt de server om zichzelf te identificeren.
3. De server stuurt een kopie van zijn SSL-certificaat.
4. De client controleert het SSL-certificaat op betrouwbaarheid en signaleert aan de server of het door de keuring komt.
5. De server initieert een digitaal ondertekende overeenkomst om een SSL-versleutelde sessie te starten.
6. Versleutelde gegevens stromen nu vrij en veilig tussen de browser en de server.

De initiële handshake gebeurt met behulp van asymmetrische versleuteling, gebaseerd op publieke en private sleutels. Na validatie wisselen de client en server tijdelijke privésleutels uit, die alleen voor de sessie worden gebruikt. Dit maakt efficiëntere versleuteling en ontsleuteling mogelijk.

Soorten SSL-certificaten

1. Domein gevalideerd (DV/Domain Validated) certificaat
2. Organisatie gevalideerd (OV/Organisation Validated) certificaat
3. Uitgebreid gevalideerd (EV/Extended Validation) certificaat

Verschillende SSL-certificaten dienen verschillende doeleinden en hebben ook verschillende kosten.

Domein-gevalideerd (DV) certificaat

Kosten: € 0 – € 90 per jaar

Een DV SSL-certificaat vereist een minimale, geautomatiseerde identiteitsverificatie, die alleen vaststelt dat de eigenaar controle heeft over het domein of subdomein. Dit gebeurt meestal via e-mail.

Een DV SSL-certificaat is de goedkoopste manier om een certificaat te verkrijgen, en de meeste gratis SSL-certificaten zijn van dit type. Het vertegenwoordigt echter de laagste standaard van websitebeveiliging. DV-certificaten zijn nuttig voor blogs, persoonlijke websites, kleine bedrijven of elke site met de meest basale beveiligingsbehoeften.

Organisatie-gevalideerd (OV) certificaat

Kosten: € 90 – € 900 per jaar

Een OV SSL-certificaat biedt een sterkere garantie van de identiteit van de houder. Om een OV-certificaat te verkrijgen, moet de koper negen validatiecontroles doorstaan.

Dit is een certificaat van gemiddeld niveau voor bedrijven, en de uitgevende CA garandeert dat de organisatie die aan het certificaat is gekoppeld geldig en in goede staat is. Dit is een goede keuze voor bedrijven die geen financiële of e-commerce transacties via hun site uitvoeren.

Uitgebreid gevalideerd (EV) certificaat

Kosten: € 900+ per jaar

Een EV SSL-certificaat vertegenwoordigt het hoogste niveau van identiteitsverificatie. Dit is het meest geschikt voor bedrijven, financiële instellingen en e-commerce websites. Er zijn zestien validatiecontroles bij betrokken, inclusief zowel juridische identiteit als fysieke locatie.

De eindgebruiker ziet een groene browserbalk, die het hoogste niveau van verificatie aangeeft, evenals aanvullende bedrijfsinformatie achter het hangslot.

Wat als je meerdere domeinen moet beveiligen?

Een enkel SSL-certificaat beveiligt één domeinnaam. Veel bedrijven hebben echter een oplossing nodig die meerdere domeinnamen of subdomeinen beveiligt. Voor deze bedrijven biedt het SSL-protocol twee verschillende oplossingen: een wildcard SSL-certificaat of een multi-domein SSL-certificaat.

Wildcard SSL-certificaat

Kosten: varieert

Sommige bedrijven gebruiken meerdere subdomeinen (bijv. mail.voorbeeld.com, shop.voorbeeld.com) om verschillende functies op dezelfde website te vervullen. Voor deze organisaties is de beste SSL-oplossing meestal een wildcard SSL-certificaat. Een wildcard SSL-certificaat beveiligt het primaire domein van een website, evenals alle bijbehorende subdomeinen. Dit verlaagt de totale kosten en vereenvoudigt het beheer.

Multi-domein SSL-certificaat

Kosten: varieert

Terwijl wildcard SSL-certificaten een website-eigenaar helpen om subdomeinen binnen een enkel domein te beveiligen, kunnen multi-domein SSL-certificaten (MDC) worden gebruikt om meerdere domeinnamen tegelijk te beveiligen. Extra domeinen kunnen aan een multi-domein certificaat worden toegevoegd via “subject alternative names” (SAN's) zonder dat een extra enkel-domein SSL-certificaat nodig is. Multi-domein SSL-certificaten worden soms ook wel unified communications certificates (UCC) genoemd.

Hoe krijg je een SSL-certificaat

Het proces van het verkrijgen van enkel- of multi-domein SSL-certificaten en het beveiligen van gebruikersgegevens op je website kan complex zijn. Zo pak je het aan:

1. Bepaal het niveau van websitebeveiliging dat je nodig hebt. Kies tussen DV, OV of EV SSL. (Als je meerdere domeinen of subdomeinen hebt, moet je misschien een wildcard of MDC-certificaat toevoegen). Beoordeel je organisatorische behoeften en budget en kies het niveau van identiteitsverificatie dat geschikt is.
2. Bepaal de domeinen en subdomeinen die ondersteund moeten worden. Als je er maar één hebt, heb je misschien geen wildcard-certificaat nodig.
3. Kies een certificaatautoriteit/provider. Voor lagere behoeften hoef je misschien alleen met je webhostingprovider te werken en een gratis certificaat te verkrijgen. Multi-domein en EV-certificaten zullen een betaalde relatie met een certificaatautoriteit vereisen. Vergelijk verschillende aanbieders.
4. Vraag een certificaat aan bij je gekozen SSL-provider. Dit houdt meestal in dat je webformulieren invult en betalingen doet.
5. Verifieer eigendom en andere details. De CA zal opvolgen om de informatie die je in je aanvraag hebt ingediend te verifiëren, waarbij minimaal e-mailverificatie van domeineigendom vereist is.
6. Verkrijg en installeer het certificaat. Deze stap hangt af van de CA die je kiest en je webplatform. Over het algemeen download je een ZIP-bestand met drie sleutels: een bundel met de publieke sleutel, de privésleutel en een certificaatautoriteit. Als je samenwerkt met een commerciële webhost, bevat de administratieconsole van je site meestal tools voor het installeren van certificaten. Als je op je eigen hardware werkt, dichter bij het besturingssysteem en de webserver, volg dan de documentatie voor die omgeving.
7. Configureer andere apps om het certificaat te gebruiken. Als je van plan bent om SSL-verbindingen naar andere applicaties op je servers (bijv. WordPress, e-mail, enz.) te ondersteunen, moet je ze configureren om je certificaat en het TLS-protocol te gebruiken.
8. Bevestig dat je veilige verbinding werkt. Maak verbinding met je website en/of andere apps en controleer of je een veilige verbinding hebt. Klik op het hangslot en bekijk de informatie die in je browser wordt weergegeven.
9. Dien je site(s) in bij zoekmachines. Je nieuwe “https” websites zijn verschillend van je oude “http” sites. Als je gebruikers afhankelijk zijn van zoekmachines om je te vinden, moet je je nieuwe https webadres opnieuw indienen bij die engines voor indexering.