Wat is een SSL-certificaat en waarom heb je het nodig?
SSL staat voor Secure Sockets Layer (technisch heet het tegenwoordig TLS, maar iedereen zegt nog SSL). Een SSL-certificaat versleutelt de verbinding tussen de browser van je bezoeker en je server. Alles wat heen en weer gaat, zoals een ingevuld contactformulier of inloggegevens, is daardoor onleesbaar voor wie het onderweg zou onderscheppen.
Je herkent een site met SSL aan twee dingen: het adres begint met https:// in plaats van http://, en er staat een hangslotje in de adresbalk. Een site zónder SSL krijgt in moderne browsers een duidelijke "Niet veilig"-melding, die bezoekers afschrikt, zeker bij een formulier of betaling.
Voor WordPress-sites is SSL geen luxe meer maar de norm. Google gebruikt HTTPS als (licht) rankingsignaal, browsers waarschuwen bij het ontbreken ervan, en veel functies (zoals betalingen) werken simpelweg niet zonder. De diepere achtergrond staat in onze uitleg over HTTP vs HTTPS.
Heb je al SSL? Zo controleer je het
Voordat je iets installeert: check of je host al een certificaat heeft klaarstaan. Bij veel Nederlandse hosts (en zeker bij goede WordPress-hosting) staat SSL standaard aan. Je hoeft dan alleen WordPress correct om te zetten.
Doe deze snelle controle. Typ je domein in met https:// ervoor (dus https://jouwsite.nl). Laadt de site met een hangslotje en zonder waarschuwing? Dan heb je al een geldig certificaat. Zie je een waarschuwing over een onveilige of ongeldige verbinding, dan is er nog geen certificaat of is het verkeerd geïnstalleerd.
Twijfel je? Log in bij je hostingpaneel en zoek naar "SSL", "TLS" of "Let's Encrypt". Daar zie je of er een certificaat actief is en tot wanneer het geldig is. Bij ons draaien MKB-sites op hosting waar SSL standaard geregeld is, dus dan is deze hele stap al voor je gedaan.
Stap 1: Zorg voor een certificaat via je host
De makkelijkste en meestal gratis route is een Let's Encrypt-certificaat via je hosting. Let's Encrypt is een non-profit die gratis, volwaardige SSL-certificaten uitgeeft. Voor een gewone MKB-site is dit precies wat je nodig hebt; je hoeft geen duur betaald certificaat te kopen.
In de meeste hostingpanelen (denk aan cPanel, DirectAdmin of een eigen omgeving) vind je een knop of sectie "SSL/TLS" of "Let's Encrypt". Selecteer je domein, klik op activeren of installeren, en binnen enkele minuten is het certificaat er. Vaak wordt het daarna automatisch verlengd elke 90 dagen, zodat je er niet naar hoeft om te kijken.
- Gratis Let's Encrypt via je host: de standaardkeuze voor vrijwel elke MKB-site. Automatisch verlengd, geen kosten.
- Betaald certificaat: alleen nodig in specifieke gevallen (bijvoorbeeld een organisatie-gevalideerd certificaat voor grote e-commerce of financiële partijen).
- Wildcard-certificaat: als je veel subdomeinen hebt (shop.jouwsite.nl, blog.jouwsite.nl) dekt één wildcard ze allemaal.
Stap 2: Zet WordPress om naar HTTPS
Een geïnstalleerd certificaat betekent nog niet dat WordPress het gebruikt. Je moet WordPress vertellen dat het voortaan https:// als adres moet gebruiken. Er zijn twee routes: handmatig (voor wie het naadje van de kous wil) of via een plugin (sneller en veiliger voor de meeste gebruikers).
Route A: via een plugin (aanbevolen)
De plugin Really Simple SSL detecteert je certificaat, zet de WordPress-adressen om naar HTTPS, forceert een omleiding van http naar https, en lost de meeste mixed-content-problemen automatisch op. Voor de meeste MKB-sites is dit de veiligste en snelste weg: installeren, activeren, op "SSL activeren" klikken, klaar. Maak wel eerst een backup.
Route B: handmatig
Ga naar Instellingen > Algemeen en pas "WordPress-adres (URL)" en "Website-adres (URL)" aan van http:// naar https://. Voeg daarna een omleidingsregel toe (zie stap 3) en werk oude links in je database bij. Deze route geeft meer controle maar vereist meer zorgvuldigheid; één typefout in de URL en je bent tijdelijk uitgesloten van je beheeromgeving.
Stap 3: Forceer HTTPS met een redirect
Nu je site op HTTPS draait, wil je dat álle bezoekers daar terechtkomen, ook wie nog een oude http-link aanklikt. Dat regel je met een permanente omleiding (301-redirect) van http naar https. Zonder deze stap blijven beide versies van je site bestaan, wat verwarrend is voor bezoekers én voor Google.
Gebruik je Really Simple SSL of een vergelijkbare plugin? Dan wordt deze redirect meestal automatisch geregeld met één vinkje ("forceer HTTPS"). Doe je het handmatig, dan voeg je een regel toe aan je .htaccess-bestand die al het http-verkeer naar https stuurt. Bij LiteSpeed-servers werkt dit net zo, maar controleer altijd na de wijziging of alles nog laadt.
Waarom een 301 en geen 302? Een 301 is permanent en geeft aan Google door dat de https-versie voortaan de echte is, inclusief de opgebouwde autoriteit. Meer hierover in onze gids 301 redirect: wanneer en hoe.
Stap 4: Los mixed content op
Het meest voorkomende probleem na een SSL-overstap is "mixed content": je pagina laadt via https, maar bevat nog losse elementen (afbeeldingen, scripts, stylesheets) die via het oude http worden opgehaald. De browser vertrouwt zo'n mix niet en toont het hangslotje dan niet of geeft een waarschuwing.
Mixed content ontstaat vooral bij oudere sites met hardgecodeerde http-links in de content, in thema-instellingen of in de database. De oplossing is die verwijzingen omzetten naar https (of naar protocol-relatieve links).
Zo spoor je het op en los je het op:
- Open de betreffende pagina en klik op het hangslotje of open de browserconsole (F12). Die meldt precies welke bronnen nog via http laden.
- Really Simple SSL lost het merendeel automatisch op door http-verwijzingen live om te zetten naar https.
- Zit het in de database? Een zoek-en-vervang-tool (zoals Better Search Replace) vervangt alle http://jouwsite.nl door https://jouwsite.nl. Maak eerst een backup.
- Externe bronnen: laad je scripts of fonts van een externe bron die geen https ondersteunt? Vervang die bron; dat komt tegenwoordig zelden nog voor.
Een groen hangslot dat af en toe verdwijnt is geen kwestie van pech: er zit ergens nog een http-verwijzing verstopt. Los die op en het slot blijft staan. Half-versleuteld bestaat niet, het is alles of niets.
Stap 5: Werk je omgeving en tools bij
Na de technische omzetting zijn er nog een paar plekken waar de oude http-URL kan rondslingeren. Deze even nalopen voorkomt gaten in je data en verkeer.
Werk de volgende zaken bij naar de https-versie: je sitemap opnieuw indienen in Google Search Console (voeg de https-property toe als aparte property), je URL in Google Analytics 4 controleren, en de adressen in je Google Business Profile en social media aanpassen. Ook eventuele links in e-mailhandtekeningen en advertenties horen naar https te wijzen.
In Google Search Console behandelt Google http en https technisch als aparte sites. Dien je https-versie in en houd de indexering de eerste weken in de gaten. Meestal pikt Google de overstap binnen dagen tot enkele weken soepel op, mits je 301-redirects goed staan.
Veelgemaakte fouten en hoe je ze voorkomt
SSL installeren is niet moeilijk, maar er zijn een paar valkuilen die een soepele overstap kunnen verpesten. Deze zien we het vaakst voorbijkomen.
- Geen backup vooraf: begin nooit zonder een verse backup. Als de URL-wijziging misgaat, wil je terug kunnen.
- Redirect vergeten: zonder 301 van http naar https blijven twee versies van je site bestaan, wat je SEO verwatert.
- Mixed content negeren: een half-veilige site oogt onbetrouwbaar en de waarschuwing schrikt bezoekers af.
- Search Console niet bijwerken: dan meet je maandenlang op de oude http-property en mis je je echte data.
- Caching niet legen: na de overstap kan je cache nog oude http-versies serveren. Leeg de cache na alle wijzigingen.
- Certificaat laten verlopen: gebruik automatische verlenging (Let's Encrypt doet dit meestal zelf) zodat je site niet plots als onveilig wordt gemarkeerd.