Hoe werkt HTTPS?
Bij een gewone HTTP-verbinding gaat alles leesbaar over het netwerk. Bij HTTPS bouwen browser en server eerst een versleutelde TLS-verbinding op. De server laat daarbij een SSL-certificaat zien. Daarmee controleert de browser of hij echt met de site praat die in de adresbalk staat. Staat er geen poort in de URL, dan gebruikt HTTPS standaard poort 443.
De versleuteling beschermt op twee manieren. Niemand op het netwerk kan stilletjes meekijken met wat een bezoeker leest of invult. Ook kan niemand onderweg iets aan de pagina veranderen, zoals een provider die er advertenties in stopt. Daarnaast werken veel nieuwere browserfuncties, zoals die voor progressive web apps, alleen via HTTPS.
Wat zegt Google over HTTPS?
Op 7 augustus 2014 kondigde Google aan HTTPS als rankingsignaal te gaan gebruiken. Het was toen een heel licht signaal. Het raakte minder dan 1% van de zoekopdrachten wereldwijd en woog minder zwaar dan bijvoorbeeld goede content. In de huidige uitleg over pagina-ervaring vraagt Google nog wel of je je pagina’s via een beveiligde verbinding aanbiedt. Volgens diezelfde uitleg helpen de onderdelen van pagina-ervaring buiten de Core Web Vitals niet direct om hoger te ranken.
HTTPS speelt ook mee bij de keuze van de canonieke URL. Staat dezelfde pagina op HTTP en HTTPS, dan kiest Google liever de HTTPS-versie. Dat geldt niet als er iets mis is, bijvoorbeeld een ongeldig certificaat of een HTTPS-pagina die doorstuurt naar HTTP.
Voorbeeld: een webshop stapt over op HTTPS
Een webshop in tuinmeubelen uit Apeldoorn draait nog op http://. Chrome zet bij elke pagina ‘Niet beveiligd’ in de adresbalk. De winkel maakt de overstap in vijf stappen:
- Een certificaat installeren en de site via HTTPS bereikbaar maken.
- Interne links, afbeeldingen en scripts naar HTTPS omzetten, zodat er geen onbeveiligde onderdelen meer op een HTTPS-pagina staan.
- De canonical tags laten verwijzen naar de HTTPS-URL’s.
- Elke HTTP-URL met een 301-redirect doorsturen naar dezelfde URL op HTTPS.
- Pas als alles stabiel draait, HSTS aanzetten. Dan maakt de browser voortaan direct verbinding via HTTPS.
Stap 2 is nodig omdat browsers waarschuwen bij een beveiligde pagina met onbeveiligde onderdelen. Soms laden ze die onderdelen dan helemaal niet, waardoor de pagina breekt.
Verwar HTTPS niet met
- HTTP: hetzelfde protocol zonder versleuteling. Wie op hetzelfde netwerk zit, kan het verkeer lezen en aanpassen.
- SSL-certificaat: het digitale bewijs dat de server laat zien. HTTPS is de verbinding, het certificaat is een onderdeel daarvan.
- HSTS: een extra header die de browser opdraagt alleen nog HTTPS te gebruiken. HSTS werkt bovenop HTTPS en vervangt het niet.
Veelgestelde vragen over HTTPS
Waar staat HTTPS voor?
HTTPS staat voor HyperText Transfer Protocol Secure. Het is HTTP met versleuteling via TLS. De S staat dus voor secure, veilig.
Is HTTPS een rankingfactor?
Volgens Google niet direct. In 2014 maakte Google HTTPS een licht rankingsignaal. Nu zegt Google dat onderdelen van pagina-ervaring, zoals HTTPS, niet direct helpen om hoger te ranken. Zonder HTTPS toont Chrome wel de melding ‘Niet beveiligd’. Ook kiest Google liever de HTTPS-versie als canonieke URL.
Waarom zegt Chrome ‘Niet beveiligd’ bij mijn site?
Je site gebruikt dan geen beveiligde verbinding. Anderen kunnen meelezen of gegevens aanpassen. De oplossing is HTTPS met een geldig certificaat.