Het slotje in de adresbalk: wat een SSL-certificaat wel en niet zegt

Een slotje in de adresbalk is tegenwoordig vanzelfsprekend. Maar wat zegt het eigenlijk, en wat gebeurt er als het misgaat?

Bijgewerkt op 27 oktober 2026 · 2 minuten lezen

Bijna elke website begint met https:// en laat een slotje zien. Dat slotje komt van een certificaat (vaak SSL- of TLS-certificaat genoemd). Het zorgt voor twee dingen.

Wat het slotje wel zegt

• De verbinding is versleuteld. Wat een bezoeker invult, zoals een wachtwoord of contactformulier, kan onderweg niet worden meegelezen.
• Je praat met de juiste website. Een erkende uitgever heeft gecontroleerd dat het certificaat bij deze domeinnaam hoort.

Wat het slotje niet zegt

Het slotje zegt niets over de website zelf. Een website met een slotje kan verouderde software hebben, een lek in een plug-in of een bestand dat per ongeluk openbaar staat. Ook criminelen gebruiken certificaten: een nagemaakte inlogpagina heeft net zo goed een slotje. Een slotje betekent dus "versleuteld", niet "veilig".

Certificaten verlopen

Een certificaat is maar een beperkte tijd geldig. Veel certificaten (bijvoorbeeld van Let's Encrypt) gaan negentig dagen mee en worden automatisch vernieuwd. Sinds maart 2026 mag een certificaat bovendien steeds korter geldig zijn, dus automatisch vernieuwen wordt de norm.

Gaat dat vernieuwen een keer mis, dan krijgen bezoekers een grote waarschuwing dat de verbinding niet veilig is. De meeste mensen haken dan direct af. Ook betaalpagina's, koppelingen en apps die met je website praten, kunnen stoppen.

Meer dan alleen het certificaat

Achter het slotje zit ook de manier van versleutelen. Een server kan nog oude, zwakke varianten aanbieden (zoals TLS 1.0 of 1.1) die tegenwoordig af te raden zijn. Daarnaast kan je website de browser vertellen dat hij altijd de beveiligde versie moet gebruiken (HSTS), zodat een bezoeker nooit per ongeluk op de onversleutelde versie terechtkomt.

Wat kun je doen?

1. Vraag je hostingpartij of websitebouwer of het certificaat automatisch wordt vernieuwd.
2. Laat controleren of de server alleen moderne versleuteling (TLS 1.2 en 1.3) aanbiedt.
3. Zorg dat http:// altijd doorverwijst naar https://.

Insighta kijkt bij elke controle naar je certificaat en de versleuteling, en waarschuwt je ruim voordat het certificaat verloopt. Zo kan je websitebouwer het op tijd regelen.