Zo krijg je een gratis SSL-certificaat

Wat een SSL-certificaat doet

Strikt genomen gebruiken verbindingen tegenwoordig TLS, de opvolger van SSL, maar iedereen zegt nog steeds "SSL-certificaat". Een certificaat doet twee dingen:

• Versleuteling: wachtwoorden, formulieren en betalingen gaan versleuteld over de lijn, dus niemand op het netwerk kan ze lezen of aanpassen.
• Identiteit: een certificaatautoriteit (CA) heeft gecontroleerd dat degene die het certificaat aanvroeg het domein beheert.

Gratis certificaten zijn domeingevalideerd (DV): de CA controleert dat jij het domein beheert, meer niet. De versleuteling is precies even sterk als die van een betaald certificaat. Betaalde OV- en EV-certificaten voegen controles toe op de organisatie achter de site, wat sommige bedrijven willen, maar browsers tonen voor allemaal hetzelfde slotje.

De gratis opties vergeleken

Ze versleutelen allemaal even goed. Het verschil zit in hoe ze worden uitgegeven en verlengd, en dat wordt elk jaar belangrijker.

Waarom automatisch verlengen belangrijk is

In de hele sector worden certificaten steeds korter geldig. Volgens de regels van het CA/Browser Forum mag een publiek certificaat sinds maart 2026 maximaal 200 dagen geldig zijn, vanaf maart 2027 100 dagen en vanaf maart 2029 47 dagen.

Certificaten van Let's Encrypt zijn op dit moment 90 dagen geldig. De standaardcertificaten gaan in februari 2027 naar 64 dagen en in februari 2028 naar 45 dagen. Let's Encrypt is in 2025 ook gestopt met het versturen van herinneringsmails over verlopen certificaten, dus niemand waarschuwt je voordat een certificaat afloopt.

De praktische les: verleng certificaten nooit met de hand. Gebruik iets dat ze vanzelf verlengt, zoals AutoSSL in cPanel of Certbot op een VPS, en controleer af en toe of het werkt.

Op shared hosting: AutoSSL in cPanel

Op hosting met cPanel hoef je meestal niets te doen. AutoSSL vraagt een Let's Encrypt-certificaat aan voor elk domein in het account dat naar de server wijst, installeert het en verlengt het voordat het verloopt.

1. Laat je domein naar de hosting wijzen: stel de nameservers of het A-record in dat je hostingprovider je gaf, en wacht tot DNS is bijgewerkt.
2. Open in cPanel Security → SSL/TLS Status. Per domein zie je of het gedekt is, binnenkort verloopt of een probleem met AutoSSL heeft.
3. Is een domein nog niet gedekt, klik dan op Run AutoSSL. Dat werkt pas zodra het domein naar de server resolvet.
4. Open je site met https:// en controleer het slotje. Bij WordPress zet je ook het siteadres op https://.

Op HytHost webhosting staat AutoSSL met Let's Encrypt aan in elk pakket en dekt het elk domein en subdomein dat je toevoegt, zodra het naar de server wijst. Wat cPanel verder allemaal doet, lees je in wat is cPanel.

Op een VPS: Certbot met nginx

Op je eigen server haalt Certbot van de EFF Let's Encrypt-certificaten op en verlengt ze. De officiële methode op Ubuntu gebruikt het snap-pakket:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Zorg dat het A-record van je domein naar de VPS wijst, dat nginx er een server_name voor heeft en dat poort 80 en 443 openstaan in de firewall. Voer daarna uit:

sudo certbot --nginx -d example.com -d www.example.com

Certbot bewijst dat je het domein beheert, installeert het certificaat in je nginx-configuratie en kan HTTP naar HTTPS doorsturen. Het installeert ook een timer die certificaten automatisch verlengt. Test het verlengen één keer:

sudo certbot renew --dry-run

Achter Cloudflare

Loopt je domein via Cloudflare met de oranje wolk aan, dan maken bezoekers verbinding met Cloudflare, dat hun het gratis Universal SSL-certificaat laat zien. Dat dekt maar de helft van de route: Cloudflare maakt daarna nog steeds verbinding met jouw server.

• Zet de SSL/TLS-modus op Full (strict). Cloudflare eist dan een geldig certificaat op je server, zodat de hele route versleuteld en gecontroleerd is.
• Geef je server een certificaat: Let's Encrypt via AutoSSL of Certbot werkt, of een gratis Cloudflare Origin CA-certificaat. Een Origin CA-certificaat wordt alleen door Cloudflare vertrouwd, dus bezoekers krijgen foutmeldingen als je de proxy ooit uitzet.
• Vermijd de Flexible-modus. Die laat de verbinding met je server onversleuteld en veroorzaakt vaak redirect-lussen.

Veelvoorkomende SSL-problemen en oplossingen

• Het certificaat wordt niet uitgegeven: het domein wijst nog niet naar de server, of DNS heeft het oude adres nog in de cache. Controleer het A-record en wacht even.
• Een CAA-record blokkeert het: als je DNS CAA-records heeft, moeten die de CA toestaan die je gebruikt, bijvoorbeeld 0 issue "letsencrypt.org".
• Validatie mislukt op een VPS: Let's Encrypt controleert standaard via poort 80, dus houd poort 80 open, ook als de site naar HTTPS doorstuurt.
• "Niet veilig" ondanks een certificaat: de pagina laadt afbeeldingen of scripts via http:// (gemengde content). Verander die links naar https://.
• Een wildcardcertificaat: *.example.com vereist DNS-validatie, dus het werkt alleen met een DNS-plugin of DNS-provider die het verificatierecord kan aanmaken.
• Het certificaat is verlopen: het automatisch verlengen werkt niet meer. Bekijk de pagina SSL/TLS Status in cPanel, of voer op een VPS certbot renew --dry-run uit en lees de foutmelding.