Dit is een artikel die ik enige tijd geleden heb geschreven voor een online blog over webwinkels starten, wellicht heb je hier iets aan.
Een SSL-certificaat: welke kiezen? Wat zijn de voor- en nadelen?
Steeds meer webwinkel- en website-eigenaren krijgen te maken met persoonlijke informatie van klanten die wordt opgeslagen in een online database. De wet- en regelgeving in Nederland geeft hen de verplichting om zeer zorgvuldig met deze informatie om te gaan en ze goed te beschermen. Dit wordt op meerdere manieren gedaan, vooral door de juiste beveiliging, programmeer- en hostingtechnieken te gebruiken. In dit artikel ga ik in op slechts één van de beveiligingsmogelijkheden met betrekking tot het opslaan van persoonlijke informatie: het SSL-certificaat, dat gegevenstransport over het internet beschermt.
Er zijn meerdere certificatie-vormen voor Secure Sockets Layer (SSL), ieder met hun eigen kracht, doel en mogelijkheden. Ik heb de certificaten opgedeeld in de volgende, meest gebruikte vormen en zet de voor- en nadelen op een rijtje.
Verschillende certificaten
Lite SSL-certificaat
Dit is vaak de goedkoopste vorm van een SSL-certificaat; voor een euro of 30 (exclusief eventuele installatiekosten) heb je dit certificaat al in huis. Het beschermt uitsluitend de domeinnaam en geen subdomeinnamen. https://www.uwdomeinnaam.nl is dus wel ondersteund, maar https://submapnaam.domeinnaam.nl niet. Wil je de bescherming ook op andere subdomeinen dan het hoofddomein, dan moet je minimaal een wildcard DNS SSL-certificaat aanschaffen (zie hieronder).
Daarnaast is het certificaat niet te herinstalleren als het certificaat verloren gaat of als de website naar een andere server verhuist. In die gevallen moet je een nieuw certificaat aanvragen én betalen. Ook ondersteunt het Lite-certificaat geen mobiele websites; je website zal dus niet veilig via (steeds populair wordende) mobiele apparaten te bezoeken zijn.
Basis SSL-certificaat
Deze vorm is het meest verkochte SSL-certificaat. Het is vrijwel identiek aan het Lite SSL-certificaat, maar is zonder extra kosten (en binnen de abonnementsperiode) opnieuw aan te vragen in geval van verhuizing of verlies. De kosten van dit certificaat variëren van 35 tot 50 euro per jaar.
Professional SSL-certificaat
Het Professional SSL-certificaat onderscheid zich van de basis vorm door een iets zwaardere encryptie en de ondersteuning van mobiele websites. Via een mobiel apparaat zoals een iPhone of BlackBerry kunnen klanten je website dus veilig bezoeken en gebruiken. De kosten van dit certificaat lopen per aanbieder uiteen tussen 140 en 300 euro per jaar.
EV SSL-certificaat
Eén van de meest bekende vormen van SSL-certificaat is het EV SSL-certificaat, waarbij 'EV' de afkorting is voor 'Extended Validation'. Met dit certificaat ben je voorzien van alle eerder genoemde mogelijkheden, al zal met dit certificaat ook de browserbalk groen opkleuren en wordt je bedrijfsnaam daarin vermeld. De kosten van een EV-certificaat bedragen tussen 375 en 500 euro per jaar.
Het EV SSL-certificaat krijg je niet zomaar. Om het te kunnen bestellen en installeren worden jij en je onderneming 'gescreend'. De aanvraagperiode zal dan ook al snel drie tot vier weken in beslag kunnen nemen en je dient de nodige formulieren en informatie te verstrekken aan de leverancier van het SSL-certificaat.
Wildcard DNS-certificaat
Elke vorm van SSL-certificaat heeft tevens een vorm om wel de eerder aangehaalde subdomeinnamen ook via HTTPS te kunnen ondersteunen. De aankoopprijs is vaak het tien- tot twintigvoudige van de standaard SSL-certificaatvorm.
Voordelen van een SSL-certificaat
Bescherming van persoonlijke gegevens
Zoals verwacht zal, na correcte installatie, het gegevenstransport worden beschermd. Het College Bescherming Persoonsgegevens (CBP) ziet toe op deze vorm van bescherming en kan, indien van toepassing, in geval van inbraak boetes opleggen als je het transport van gegevens niet afdoende beveiligd hebt. Zie in dat kader ook de CBP Richtsnoeren: Publicatie van persoonsgegevens op internet.
Het biedt de bezoeker zekerheid en geeft vertrouwen
Als er een SSL-certificaat geïnstalleerd is, dan is dit zichtbaar in de browser waarmee de website bezocht wordt. Er wordt een slotje getoond en bij de uitgebreidere EV SSL-certificaten is zelfs de adresbalk van de browser groen van kleur.
Het verhoogt (vaak) omzet
Als je de beveiliging goed communiceert naar je potentiële klanten, zal het een mogelijke aarzeling bij bestellen of alleen al registreren weg kunnen nemen. Uiteindelijk kan dat het aantal registraties of verkopen verhogen.
Nadelen van een SSL certificaat
Je hebt een uniek IP-adres nodig en hosting die SSL-certificaten ondersteunt
Een SSL-certificaat kan uitsluitend worden geïnstalleerd als de webservertechniek dit ondersteunt en je domeinnaam is voorzien van een uniek IP-adres. Niet alle hosting providers kunnen dit aanbieden. Partijen die het ondersteunen vragen vaak een extra vergoeding voor het IP-gebruik. Laat je dus goed informeren door je eigen hosting provider, of doe dat zelfs nog voordat je een hostingcontract aangaat.
Terugkerende installatiekosten voor iedere abonnementsperiode
Een SSL-certificaat verloopt aan het einde van de overeenkomst-periode. Het certificaat is niet te verlengen en zal opnieuw moeten worden geïnstalleerd. Als je dat niet zelf kunt, dan zul je daarvoor een expert moeten inschakelen. Dat levert, naast de kosten voor het vernieuwde SSL-certificaat, een extra post voor het steeds weer opnieuw installeren op.
De websitetechniek moeten kunnen omgaan met het SSL certificaat.
Een SSL-certificaat installeren houd niet in dat je website direct beveiligd is. Er zullen vaak (veelal) kleine wijzigingen moeten worden toegepast in de techniek. Ook zullen er bestanden in een beveiligde map moeten worden geplaatst. Als dit eenmaal in orde is heb je hier geen omkijken meer naar.
Aandachtspunten
Overweeg je een SSL-certificaat te (laten) installeren, hou dan met een paar dingen rekening. Vraag allereerst je huidige hosting provider of hij SSL ondersteunt en kan leveren. Wees er ook zeker van dat je website een certificering op technisch niveau aankan. Werpen zowel de hosting provider als de techniek achter je website geen onoverkomelijke drempels op, dan moet je kiezen welk certificaat je wil gaan gebruiken. Laat prijs niet de enige factor zijn; bedenk ook in welke mate je de geboden beveiliging wilt uitstralen - bijvoorbeeld om daar vanuit marketingoogpunt je voordeel mee te doen.
Ga je starten met een webwinkel, of wil je overstappen omdat je hosting provider je op dit vlak niet naar tevredenheid kan helpen? Neem bij je keuze voor een nieuwe partij dan de mogelijkheden voor een (standaard voorzien) SSL-certificaat in je afweging mee. Een paar hosting providers bieden immers zogenaamde SSL hosting pakketten aan.