Aanmelden
Account aanmaken
Zo zet u uw site over naar HTTPS
De overstap zelf kost een middag. Wat sites bezoekers kost, is de volgorde waarin de stappen worden gedaan — een doorverwijzing die aanstaat voordat de mixed content is opgeruimd, of een certificaat dat niemand verlengt. Dit is de volgorde die beide voorkomt.
Waarom de overstap niet langer optioneel is
HTTPS is geen voordeel meer, maar de norm. Dit zijn de vier dingen die veranderen zodra een site erover wordt uitgeleverd.
-
Niemand leest het verkeer mee
Inloggegevens, formuliergegevens, cookies en de pagina’s zelf worden versleuteld tussen de bezoeker en uw server, zodat een gedeeld wifinetwerk of een tussenstation onderweg ze niet kan lezen of aanpassen.
-
En niemand past het aan
Gewoon HTTP kan onderweg worden gewijzigd — ingevoegde advertenties en omgeschreven downloadlinks zijn het gebruikelijke resultaat. Met een certificaat wordt die manipulatie zichtbaar.
-
Zoekmachines gaan ervan uit
Google behandelt HTTPS sinds 2014 als rankingsignaal. Op zichzelf is het een klein signaal, maar het staat nu naast page-experience-statistieken waarvoor HTTPS een voorwaarde is.
-
Het moderne web vereist het
HTTP/2, HTTP/3, service workers, geolocatie, de camera- en microfoon-API’s en de meeste betaalintegraties weigeren te werken op een onveilige origin.
De migratie, stap voor stap
Werk ze op volgorde af. Stap 1 tot en met 4 kunnen op een staging-kopie; stap 6 is de stap die de wijziging openbaar maakt.
-
Breng elke naam in kaart die u uitlevert
Noteer elke hostnaam waarop de site antwoordt — het kale domein, www en elk subdomein zoals shop, blog of api. Het certificaat moet ze allemaal dekken, en een naam die pas na de migratie opduikt, betekent opnieuw uitgeven. Noteer ook de scripts, lettertypen en afbeeldingen van derden die u insluit; daar gaat stap 4 over.
-
Kies een certificaat dat ze dekt
Eén naam vraagt om een enkeldomeincertificaat, een reeks subdomeinen om een wildcard en losstaande domeinen om een multidomeincertificaat. Het validatieniveau is een aparte keuze: DV toont controle over het domein aan en wordt binnen minuten uitgegeven, OV en EV controleren daarnaast het bedrijf erachter.
-
Genereer de CSR, installeer het certificaat, controleer de keten
Maak de sleutel en de certificaataanvraag aan op de server die ze gaat bewaren, en houd de privésleutel daar. Controleer na de installatie de keten in plaats van te vertrouwen op de browser die u toevallig gebruikt — een ontbrekend tussencertificaat is onzichtbaar in Chrome op de desktop en fataal op oudere Android-toestellen.
-
Ruim de mixed content op
Een pagina die over HTTPS wordt uitgeleverd maar een bron over HTTP ophaalt, is mixed content, en browsers waarschuwen niet alleen: scripts, stylesheets en iframes worden volledig geblokkeerd, terwijl afbeeldingen, audio en video stilletjes opnieuw over HTTPS worden opgevraagd en helemaal niet laden als de host ze daar niet aanbiedt. Corrigeer de verwijzingen in de templates, in de database en in uw CSS. Laadt er daarna nog iets niet, lees dan het mislukte verzoek op het tabblad Netwerk: de host die daar staat vertelt u of u een http://-URL hebt gemist, of die host helemaal geen HTTPS kan, of dat de hotlinkbeveiliging de https://-vorm van uw domein nog op haar lijst met toegestane verwijzers moet krijgen.
-
Werk interne links en canonical-tags bij
Interne links, canonical-tags, hreflang-tags, Open Graph-URL’s en gestructureerde data moeten allemaal naar de https://-versie wijzen. Voor interne links op de doorverwijzing leunen werkt wel, maar kost bij elke klik een extra ronde en houdt de oude URL degene die u publiceert.
-
Verwijs HTTP met een 301 door naar HTTPS en voeg daarna HSTS toe
Een permanente 301 van elke HTTP-URL naar de HTTPS-tegenhanger draagt de opgebouwde rankingsignalen over en maakt het nieuwe adres het canonieke. Zodra de site een tijd zonder problemen op HTTPS draait, voegt u de Strict-Transport-Security-header toe zodat browsers HTTP helemaal niet meer proberen — begin met een korte max-age, want de header is lastig terug te draaien.
-
Laat het de zoekmachines weten
Voeg de HTTPS-site als aparte property toe in Google Search Console en Bing Webmaster Tools, dien een sitemap in waarvan alle URL’s https:// zijn, en controleer dat robots.txt de nieuwe pagina’s niet blokkeert. Verwijder de HTTP-property niet: daar ziet u de oude URL’s verdwijnen. Houdt u een disavow-lijst bij, upload die dan ook naar de HTTPS-property — Search Console bewaart één lijst per URL-voorvoegselproperty en neemt niets mee (voor domeinproperty’s geldt de tool niet).
-
Volg de eerste weken en houd daarna het certificaat verlengd
Verwacht dat de indexering geleidelijk verschuift en niet van de ene op de andere dag; een korte dip zolang beide versies bekend zijn, is normaal. Zet daarna de vervaldatum in de agenda. Een verlopen certificaat levert een schermvullende browserwaarschuwing op en is de meest voorkomende reden waarom een site die met succes naar HTTPS ging een jaar later toch uitvalt.
Voordat u het afgerond noemt
Zes controles die opvangen wat de stappen hierboven meestal missen.
- De certificaatketen is compleet en het certificaat hoort bij de privésleutel op elke server achter de load balancer.
- Elke hostnaam is bereikbaar over HTTPS, inclusief de vorm met en zonder www.
- Geen enkele pagina laadt een http://-bron — controleer de artikelpagina’s en de afrekenpagina, niet alleen de homepage.
- Elke HTTP-URL antwoordt met een 301 en niet met een 302, en komt uit op de bijbehorende HTTPS-pagina in plaats van op de homepage.
- De sitemap, robots.txt, canonical-tags en gestructureerde data bevatten allemaal https://-URL’s.
- De vervaldatum staat in de agenda van iemand die hier nog werkt, of de verlenging is geautomatiseerd.
Vragen die tijdens de overstap opkomen
De browser meldt dat de verbinding niet volledig beveiligd is. Hoe kan dat?
Bijna altijd mixed content: de pagina zelf gaat over HTTPS, maar iets erop — een afbeelding, een lettertype, een trackingscript — wordt over HTTP opgehaald. Beoordeel dit niet op het pictogram naast de adresbalk: Chrome verving in versie 117 het slotje voor alle sites door een instellingenpictogram, en de browsers die een slotje hielden tekenen het elk anders. De ontwikkelaarsconsole noemt de bron die is geblokkeerd of niet naar HTTPS kon worden omgezet, en onze SSL-checker rapporteert de certificaatkant ervan.
Kost de overstap ons zoekverkeer?
Een korte dip zolang beide versies bekend zijn, is normaal en herstelt zich. Een blijvende daling wijst erop dat stap 5, 6 of 7 nog niet af is — meestal 302-doorverwijzingen in plaats van 301, canonical-tags die nog naar http:// wijzen, of een sitemap die nooit opnieuw is ingediend.
Waarom betalen voor een certificaat als er gratis certificaten zijn?
De versleuteling is identiek. Waarvoor u betaalt, is het validatieniveau — een gratis certificaat toont controle over het domein aan en niets over het bedrijf — plus een garantie, een site seal, ondersteuning als een installatie misgaat, en certificaten die langer meegaan dan 90 dagen.
Hoe voorkomen we een verlopen certificaat?
Automatiseer de verlenging als uw platform ACME ondersteunt, en houd een agenda-herinnering achter de hand. Wij waarschuwen u ook voor de vervaldatum, maar een melding werkt alleen als die iemand bereikt die die mailbox nog leest.
Klaar om over te stappen?
Kies het certificaat dat past bij de namen die u in stap 1 hebt genoteerd, of vraag het ons — wij zoeken ze voor u bij elkaar.
