Zonder certificaat zou een versleutelde verbinding weinig waard zijn: je zou je verkeer net zo goed kunnen versleutelen met de server van een bedrieger. Het certificaat beantwoordt de vraag "zit ik echt op de juiste site?". Het koppelt een domeinnaam aan een publieke sleutel, en die koppeling is ondertekend door een certificaatautoriteit (CA) die de browser al kent. Tijdens de TLS-handshake toont de server zijn certificaat en bewijst hij daarna dat hij de bijbehorende privésleutel bezit.
Wat een certificaat bevat
- de domeinnaam of domeinnamen die het dekt (
voorbeeld.nl,www.voorbeeld.nl, of*.voorbeeld.nlvoor een wildcardcertificaat); - de publieke sleutel van de server;
- de begin- en einddatum van de geldigheid;
- de autoriteit die het heeft uitgegeven en haar handtekening.
De vertrouwensketen
Browsers en besturingssystemen hebben een ingebouwde lijst van vertrouwde rootautoriteiten. Die roots ondertekenen zelden rechtstreeks de certificaten van sites: ze ondertekenen tussencertificaten, die op hun beurt de certificaten van sites ondertekenen. De browser volgt die keten terug tot een root die hij kent. Bij Let's Encrypt is de breedst ondersteunde root, ISRG Root X1, tot 2030 als vertrouwd aangemerkt.
Soorten certificaten
Er zijn drie validatieniveaus. Een DV-certificaat (domeinvalidatie) bewijst alleen dat de aanvrager het domein beheert, bijvoorbeeld door een bestand op een afgesproken adres te zetten of een DNS-record te publiceren. OV- en EV-certificaten voegen een controle van de organisatie toe. Voor de versleuteling zijn ze gelijkwaardig: het verschil zit in de gecontroleerde identiteit, niet in de sterkte van de verbinding. Het gratis Let's Encrypt geeft alleen DV-certificaten uit, ook wildcardcertificaten (met validatie via DNS).
Steeds kortere certificaten
In april 2025 nam het CA/Browser Forum, dat de regels voor certificaatautoriteiten vastlegt, een stapsgewijze verkorting aan van de maximale looptijd van certificaten, van 398 naar 47 dagen, tussen maart 2026 en maart 2029. Let's Encrypt, dat certificaten van 90 dagen uitgeeft, heeft aangekondigd op 10 februari 2027 naar 64 dagen te gaan en op 16 februari 2028 naar 45 dagen. Praktisch gevolg: het vernieuwen moet volledig automatisch gebeuren (ACME-protocol, met een client als Certbot of de tool van je hostingprovider).
Voor WordPress
WordPress beheert het certificaat niet: dat is de taak van de hostingprovider, de server of het CDN. De meeste hostingproviders bieden in hun controlepaneel (cPanel, Plesk of een eigen tool) een Let's Encrypt-certificaat met een klik aan. Zet na de installatie de adressen van de site op HTTPS onder Instellingen, Algemeen, los gemengde inhoud op en controleer of het automatisch vernieuwen werkt. Onze gids HTTPS in WordPress beschrijft al die stappen.
Veelgemaakte fouten
- Verlopen certificaat: het automatisch vernieuwen is mislukt (DNS-record gewijzigd, validatiebestand geblokkeerd door een beveiligingsregel). Met HSTS kan de bezoeker de waarschuwing niet eens meer negeren.
- Naam niet gedekt: het certificaat dekt
voorbeeld.nlmaar nietwww.voorbeeld.nl, of andersom. - Onvolledige keten: de server stuurt het tussencertificaat niet mee. De site lijkt dan in jouw browser te werken, terwijl andere clients (apps, commandoregeltools, externe diensten) de verbinding weigeren.
- Blootgestelde privésleutel: een sleutelbestand in een openbare map betekent intrekken en een nieuw certificaat aanvragen. Ons artikel over blootgestelde gevoelige bestanden laat zien waar je moet kijken.