Wat is HTTPS en waarom heb je het nodig?
Heb je ooit het slotje in je browser gezien, links van een webadres? Dat slotje betekent dat de website gebruikmaakt van HTTPS. Maar wat is het verschil met gewoon HTTP, waar staat die afkorting voor, en waarom is het zo belangrijk voor jouw website?
Waar staat HTTPS voor?
HTTP staat voor HyperText Transfer Protocol. Dat klinkt ingewikkeld, maar het is gewoon de taal die jouw browser en een webserver gebruiken om met elkaar te praten. Elke keer dat je een webpagina opent, spreekt jouw browser die taal.
De S in HTTPS staat voor Secure, dat is Engels voor "veilig". HTTPS is dus simpel gezegd: het gewone HTTP, maar dan met een veiligheidslaag erbovenop.
Een protocol is een afspraak over hoe twee partijen communiceren. Net zoals mensen afspreken: "we geven elkaar een hand als we elkaar begroeten", spreken browsers en servers af hoe ze gegevens uitwisselen.
Wat is het verschil tussen HTTP en HTTPS?
Het grootste verschil is versleuteling. Bij HTTP worden gegevens als gewone tekst verstuurd. Bij HTTPS worden de gegevens eerst door elkaar gegooid (versleuteld) zodat niemand ze kan lezen onderweg.
| Eigenschap | HTTP | HTTPS |
|---|---|---|
| Versleuteling | Nee, leesbaar voor iedereen | Ja, alleen ontvanger kan lezen |
| Slotje in browser | Nee | Ja |
| Veilig voor wachtwoorden | Nee | Ja |
| Veilig voor betalingen | Nee | Ja |
| Goed voor SEO | Slechter | Beter |
| Adres begint met | http:// | https:// |
Kijk maar eens naar de adresbalk van je browser. Staat er https:// voor het adres? Dan gebruikt die website HTTPS.
Hoe werkt HTTPS vergeleken met HTTP?
Stel je voor dat je een briefkaart verstuurt. Iedereen die hem aanraakt, de postbode, de sorteerder, de buurman, kan meelezen wat erop staat. Zo werkt HTTP: de gegevens die tussen jouw browser en de website worden verstuurd, zijn leesbaar voor iedereen op hetzelfde netwerk.
HTTPS is anders. De gegevens worden versleuteld voordat ze verstuurd worden, en alleen de bedoelde ontvanger kan ze lezen. Het is alsof je de briefkaart in een gesloten envelop stopt met een slot waar alleen de ontvanger de sleutel van heeft.
Dit is cruciaal zodra je bezoekers laat inloggen, een formulier laten invullen, of betalingen verwerkt. Zonder HTTPS kunnen wachtwoorden, e-mailadressen en creditcardnummers worden onderschept.
Is HTTPS veilig?
Ja. HTTPS versleutelt het verkeer tussen de browser van je bezoeker en jouw server. Iemand die dat verkeer onderschept, ziet alleen onleesbare tekst.
Dat is precies waarom banken, webwinkels en alle andere websites die met gevoelige gegevens werken verplicht HTTPS gebruiken. Zonder HTTPS zou een aanvaller op hetzelfde wifi-netwerk simpelweg kunnen meelezen welk wachtwoord je intypt.
Banken verwerken betalingen en persoonlijke gegevens. Als een aanvaller die gegevens kon onderscheppen, zou dat direct leiden tot fraude. HTTPS voorkomt dat, omdat de gegevens versleuteld zijn en alleen de bank ze kan lezen.
HTTPS is geen perfecte beveiliging voor alles. Het beschermt het verkeer onderweg, maar niet de server zelf. Een slecht beveiligde server met HTTPS is nog steeds kwetsbaar voor aanvallen op de server. HTTPS is één laag van beveiliging, maar wel een heel belangrijke.
Wat betekent het slotje in de browser?
Het slotje dat je links van het webadres ziet, toont dat de verbinding veilig is. De browser controleert automatisch of het SSL/TLS-certificaat van de website klopt. Is dat zo? Dan verschijnt het slotje.
Zie je geen slotje, maar een waarschuwingssymbool? Dan gebruikt de website geen HTTPS, of het certificaat is verlopen of ongeldig. Vul dan geen wachtwoorden of persoonlijke gegevens in op die pagina.
Wat is een SSL/TLS-certificaat?
HTTPS werkt dankzij een SSL/TLS-certificaat: een digitaal document dat bewijst dat jouw website is wie hij zegt te zijn. De browser controleert dit certificaat automatisch. Is alles in orde? Dan verschijnt het slotje. Klopt er iets niet? Dan toont de browser een grote waarschuwingspagina.
Het certificaat zorgt ook voor de versleuteling van het verkeer tussen de browser en jouw server.
Gebruik je een modern hostingplatform zoals Vercel, Netlify of Cloudflare Pages? Dan wordt HTTPS automatisch voor je ingesteld. Je hoeft zelf niets te doen.
Een gratis certificaat via Let's Encrypt
Beheer je een eigen server? Dan heb je een certificaat nodig. Vroeger kostte dat geld, maar tegenwoordig niet meer. Let's Encrypt geeft gratis, automatisch vernieuwbare SSL/TLS-certificaten uit.
Bekijk de officiële instructies op letsencrypt.org/getting-started voor de stappen die passen bij jouw serveromgeving.
Wat gaat er mis zonder HTTPS?
| Situatie | Risico zonder HTTPS |
|---|---|
| Inlogformulier | Wachtwoord zichtbaar op het netwerk |
| Contactformulier | Naam en e-mailadres leesbaar |
| Cookies | Kunnen worden gestolen en misbruikt |
| Zoekopdrachten | Zichtbaar voor de internetprovider |
Bovendien: Google geeft websites zonder HTTPS een lagere positie in de zoekresultaten. Een geldig certificaat is dus niet alleen een veiligheidsmaatregel, het helpt ook je SEO.
Vraag nooit om wachtwoorden, betaalgegevens of persoonlijke informatie op een pagina zonder HTTPS. Browsers waarschuwen bezoekers hier al voor, maar het schaadt ook het vertrouwen in jouw website.
HTTPS instellen is tegenwoordig eenvoudig en gratis. Er is geen reden meer om het uit te stellen.
Wil je daarna nog een stap verder gaan? Leer hoe je met HTTP-headers de beveiliging van je website verder verbetert.