AI-testklantKennisbank
Kennisbank / Beveiliging / 7.1
Gratis checkUitgebreid rapportGoede praktijk

Je website opent via https met een geldig certificaat

Je site laadt via https met een geldig certificaat en stuurt wie http:// intypt direct door naar https://, zodat klanten geen waarschuwing zien en hun gegevens versleuteld onderweg zijn.

Waarom het uitmaakt

Een klant die je praktijk opzoekt en een waarschuwing over het certificaat krijgt, kan afhaken voordat hij je openingstijden of boekknop ziet. Browsers tonen zo'n waarschuwing bij een verlopen certificaat of een certificaat voor een andere domeinnaam.

Https versleutelt wat tussen de browser van de klant en je server gaat, zodat anderen het onderweg niet zomaar kunnen lezen of aanpassen. Het NCSC adviseert dat een bezoeker die via http binnenkomt, bij elk bezoek naar de https-versie wordt doorverwezen.

Zo is het goed geregeld

  • https://jouwdomein.nl en https://www.jouwdomein.nl openen zonder waarschuwing in de browser.
  • Het certificaat komt van een publiek vertrouwde certificaatautoriteit, staat op de juiste domeinnaam en is niet verlopen.
  • Wie http://jouwdomein.nl intypt, gaat met een doorverwijzing (301) eerst naar https://jouwdomein.nl en pas daarna eventueel naar de www-versie.
  • De server gebruikt TLS 1.3 of TLS 1.2; oudere versies staan uit.
  • De server stuurt de header Strict-Transport-Security (HSTS) mee, zodat de browser bij een volgend bezoek direct via https verbindt.

Zo controleer je het zelf

  1. Typ http://jouwdomein.nl (zonder s) in de adresbalk en kijk of het adres daarna met https:// begint en er geen waarschuwing verschijnt.
  2. Herhaal dat met en zonder www, want beide adressen moeten doorverwijzen.
  3. Klik op het pictogram links van het adres, open de certificaatgegevens en controleer de domeinnaam en de datum bij 'Geldig tot'.
  4. Doe de websitetest op internet.nl; onder 'Beveiligde verbinding (HTTPS)' zie je de subtesten HTTPS beschikbaar, HTTPS-doorverwijzing, HSTS, Vertrouwensketen van certificaat en Domeinnaam op certificaat.

Zo los je het op

  1. Vraag je webhoster om een certificaat te activeren voor de domeinnaam met en zonder www; Let's Encrypt geeft deze certificaten gratis uit.
  2. Laat de hoster een permanente doorverwijzing van http naar https op dezelfde domeinnaam instellen. Een doorverwijzing naar www komt daarna.
  3. Zet HSTS aan met max-age=31536000 (een jaar), maar pas als je hele site goed via https werkt. Zet je er includeSubDomains bij, dan moeten ook al je subdomeinen https hebben, anders kunnen eerdere bezoekers ze niet openen.
  4. Stuur de link naar het testrapport van internet.nl naar je hoster, zodat die ziet welke subtest faalt.

Internet.nl toetst standaarden en is geen beveiligingstest; een goede score betekent niet dat je site veilig is. Dat geldt ook voor deze controle.

Wat de testklant controleert

AI-testklant opent je homepage via http:// en https://, met en zonder www, en leest alleen wat elke browser ontvangt: het certificaat (uitgever, domeinnaam, vervaldatum), de doorverwijzingen en de response-headers zoals HSTS. Hij scant niet op kwetsbaarheden en test de volledige TLS-configuratie niet; daarvoor verwijst het rapport naar internet.nl.

Werkwijze
Alleen openbare gegevens lezen
Zit in
Gratis check en uitgebreid rapport

Bronnen

  • ICT-beveiligingsrichtlijnen voor webapplicaties (richtlijn U/WA.05)Nationaal Cyber Security Centrum (NCSC) · gecontroleerd op 2 november 2026Versleutel communicatie met TLS; een bezoeker wordt bij elk bezoek van de http- naar de https-versie doorverwezen.
  • Transport Layer Security (TLS), Beveiligingsrichtlijnen versie 2025-05Nationaal Cyber Security Centrum (NCSC) · gecontroleerd op 2 november 2026TLS 1.3 is 'Goed', TLS 1.2 'Voldoende', oudere versies 'Onvoldoende'; internet.nl test webservers tegen deze richtlijnen.
  • Over de websitetestInternet.nl (Platform Internetstandaarden) · gecontroleerd op 2 november 2026De websitetest toetst IPv6, DNSSEC, HTTPS, beveiligingsopties en RPKI; gebruik de permalink van het rapport in contact met je webhoster.
  • Teksten van de subtesten van Internet.nl (Nederlandse vertaalbestand, broncode Internet.nl)Internet.nl (Platform Internetstandaarden) · gecontroleerd op 2 november 2026Namen en uitleg van de subtesten: HTTPS beschikbaar, HTTPS-doorverwijzing (eerst naar https op dezelfde domeinnaam), HSTS (minstens 1 jaar), vertrouwensketen, DKIM-sleutel niet op te vragen zonder ontvangen mail, DMARC-policy.
  • Toelichting op testrapportInternet.nl (Platform Internetstandaarden) · gecontroleerd op 2 november 2026Internet.nl is een compliance-test voor standaarden en geen beveiligingstest; 100% betekent niet dat een dienst per definitie veilig is.
  • Strict-Transport-Security headerMDN Web Docs (Mozilla) · gecontroleerd op 2 november 2026HSTS laat de browser een domein alleen via https openen en voorkomt doorklikken bij certificaatfouten; het eerste http-verzoek blijft kwetsbaar.
  • Integration GuideLet's Encrypt (ISRG) · gecontroleerd op 2 november 2026Browsers waarschuwen bij een verlopen certificaat of verkeerde domeinnaam en staan doorklikken niet toe bij HSTS; vernieuw als een derde van de looptijd over is.