Wat zijn HTTPS en SSL? Hoe beveiligde websites werken, simpel uitgelegd

HTTPS is de beveiligde versie van HTTP, het protocol dat browsers gebruiken om met websites te communiceren. Het verpakt elk verzoek en elk antwoord in een versleutelde verbinding via TLS (Transport Layer Security), zodat niemand tussen de bezoeker en de website kan meelezen of iets kan aanpassen. SSL is de oudere naam voor hetzelfde idee — het oorspronkelijke protocol dat TLS verving — en daarom zeggen mensen nog steeds „SSL-certificaat.”

Waarom HTTPS ertoe doet als je met AI bouwt

Elke app die je publiceert moet via HTTPS worden aangeboden. Dat is niet alleen goede praktijk:

Browsers verwachten het. Sites op gewoon HTTP krijgen het label „Niet beveiligd”, en sommige browserfuncties — zoals locatietoegang, camera en microfoon, en service workers voor offline apps — werken over het algemeen alleen op beveiligde (HTTPS-)pagina’s.
Logins en formulieren. Zonder HTTPS reizen wachtwoorden, sessiecookies en formuliergegevens in leesbare tekst. Iedereen op hetzelfde café-wifinetwerk zou ze mogelijk kunnen onderscheppen.
Betalingen en derde partijen. Betalingsproviders, OAuth-inloggen en veel API’s vereisen HTTPS-redirect- en callback-URL’s.
Vertrouwen en zoekmachines. Bezoekers zien de waarschuwing, en Google heeft gezegd HTTPS als rankingsignaal te gebruiken.

Het goede nieuws: op de meeste moderne hostingplatforms wordt HTTPS automatisch ingesteld. Wat je vooral nodig hebt, is de onderdelen goed genoeg te begrijpen om het te repareren als een eigen domein of een waarschuwing over gemengde inhoud misgaat.

Een dagelijkse vergelijking

Gegevens via gewoon HTTP versturen is als een ansichtkaart posten: elke postbode die hem aanraakt, kan hem lezen, en iemand zou zelfs het bericht kunnen veranderen.

HTTPS is als een verzegelde, manipulatiebestendige envelop versturen — en eerst het officiële identiteitsbewijs van de ontvanger controleren. Het certificaat is dat identiteitsbewijs, uitgegeven door een vertrouwde autoriteit (de certificaatautoriteit) die heeft gecontroleerd dat de website echt het domein beheert. De versleuteling is de verzegelde envelop. Het identiteitsbewijs bewijst dat je naar het juiste adres schrijft; de envelop houdt de inhoud privé.

Hoe HTTPS in het kort werkt

Wanneer een browser https://shop.example.com opent:

Hallo. De browser maakt verbinding en vertelt welke versleutelingsmethoden hij ondersteunt.
Certificaat. De server stuurt zijn certificaat, dat zegt „deze sleutel hoort bij shop.example.com” en is ondertekend door een certificaatautoriteit.
Controle. De browser verifieert de handtekening tegen autoriteiten die hij al vertrouwt, controleert dat het certificaat niet is verlopen en dat het domein klopt.
Sleutels. Browser en server komen overeen over een nieuwe geheime sleutel voor deze sessie, zonder die ooit openlijk te versturen.
Versleuteld gesprek. Alle verzoeken en antwoorden — pagina’s, formuliergegevens, cookies — reizen nu versleuteld.

Deze TLS-handshake duurt enkele milliseconden en gebeurt automatisch. De bezoeker ziet alleen het slotje (of, in sommige browsers, een neutraal site-informatiepictogram).

Wat HTTPS wel en niet beschermt

Beschermt	Beschermt niet
Gegevens onderweg tussen browser en server	Gegevens zodra ze op je server of in je database staan
Tegen afluisteren op openbaar wifi	Tegen een kwaadaardige of oplichterswebsite
Tegen iemand die pagina’s onderweg aanpast	Tegen bugs in je app, zoals ontbrekende rechtencontroles
Cookies en wachtwoorden terwijl ze worden verstuurd	Tegen zwakke wachtwoorden of gelekte API-sleutels

HTTPS versleutelt de inhoud van verzoeken, inclusief het paden van de pagina en de querystring. Maar de domeinnaam die je bezoekt, is meestal nog steeds zichtbaar voor netwerken onderweg. Dat is een reden om sowieso nooit persoonlijke gegevens in URL’s te zetten — die belanden ook in logs en in de browsergeschiedenis.

Een uitgewerkt voorbeeld: een eigen domein koppelen

Stel dat je een boekingsapp publiceert en die op book.myyogastudio.com wilt hebben:

Je voegt een DNS-record toe dat book.myyogastudio.com naar je host laat wijzen. Zie hoe domeinen en DNS werken.
De host bewijst bij een certificaatautoriteit dat hij die naam beheert — meestal door op een uitdaging op dat domein te reageren — en krijgt een certificaat.
De host installeert het en vernieuwt het automatisch voordat het verloopt. Certificaten zijn bewust kortlevend, dus automatisch vernieuwen is belangrijk.
Bezoekers van http://book.myyogastudio.com worden doorgestuurd naar https://.

Als stap 1 fout is — het record wijst ergens anders naartoe, of er staat een proxy in het midden — kan stap 2 mislukken en zien bezoekers een certificaatfout. Dat is het meest voorkomende HTTPS-probleem bij een eigen domein koppelen.

Belangrijke termen

Term	Betekenis
TLS	Transport Layer Security, het versleutelingsprotocol achter HTTPS.
SSL	Secure Sockets Layer, de verouderde voorloper van TLS. De naam leeft voort.
Certificaat	Een ondertekend bestand dat een domein koppelt aan een publieke sleutel.
Certificaatautoriteit (CA)	Een organisatie die browsers vertrouwen om certificaten uit te geven, zoals Let’s Encrypt.
Domeinvalidatie (DV)	Een certificaat dat bewijst dat je het domein beheert — wat bijna alle sites gebruiken.
Wildcard-certificaat	Dekt alle subdomeinen één niveau diep, zoals `*.example.com`.
Gemengde inhoud	Een HTTPS-pagina die sommige bronnen via gewoon HTTP laadt. Browsers blokkeren of waarschuwen hiervoor.
HSTS	Een header die browsers vertelt dat ze je site vanaf dat moment altijd via HTTPS moeten gebruiken.
Poort 443	De standaardpoort voor HTTPS (HTTP gebruikt poort 80).

Veelvoorkomende misverstanden

„Het slotje betekent dat de site betrouwbaar is.” Het betekent dat de verbinding privé is en dat het domein klopt. Oplichters krijgen ook certificaten.
„HTTPS is alleen nodig voor betaalpagina’s.” Elke pagina met een login, een formulier of een cookie heeft het nodig — en dat is bijna elke app. Gebruik het overal.
„Certificaten zijn duur.” Gratis, vertrouwde certificaten zijn standaard, en de meeste hosts beheren ze voor je.
„HTTPS maakt mijn app veilig.” Het beveiligt de verbinding. Je app heeft nog steeds rechtencontroles aan de serverkant, veilige omgang met geheimen en invoervalidatie nodig. Zie de beveiligingschecklist voor met AI gebouwde apps.
„HTTPS maakt sites traag.” Moderne TLS voegt heel weinig overhead toe, en functies zoals HTTP/2 die sites sneller maken, vereisen in browsers over het algemeen HTTPS.

Veelvoorkomende HTTPS-problemen oplossen

Symptoom	Waarschijnlijke oorzaak
„Je verbinding is niet privé”	Het certificaat dekt dit exacte domein niet, is verlopen, of is nog niet uitgegeven
Werkt op `www.` maar niet op het kale domein (of andersom)	Slechts één naam heeft DNS en een certificaat
Slotje ontbreekt, „Niet beveiligd” op sommige pagina’s	Gemengde inhoud: een afbeelding, script of lettertype geladen via `http://`
Certificaatfout direct na het koppelen van een domein	DNS wordt nog verspreid, of een proxy ervoor blokkeert de certificaatcontrole

Wat je aan je AI-appbouwer kunt vragen

„Zorg dat elke afbeelding, elk script en elk lettertype via HTTPS of een relatieve URL laadt — geen http://-links.”
„Stuur al het HTTP-verkeer door naar HTTPS.”
„Stel sessiecookies in met de vlaggen Secure en HttpOnly.”
„Gebruik https:// voor elke OAuth-, betalings- en webhook-callback-URL.”
„Mijn eigen domein toont een certificaatfout — welk DNS-record verwacht de host?”

HTTPS in Mythex

Wanneer je een eigen domein koppelt op Mythex (een Pro-functie), voeg je een CNAME-record toe dat naar het slug.mythex.ai-doel wijst dat Mythex toont, klik je op Verifiëren, en Mythex geeft automatisch HTTPS voor het domein uit. De documentatie behandelt de twee meest voorkomende valkuilen: als je DNS bij Cloudflare staat, zet het record op „Alleen DNS” (grijze wolk) in plaats van geproxyd, zodat Mythex het certificaat kan uitgeven; en DNS kan verifiëren voordat HTTPS volledig is ingesteld, dus wacht een paar minuten en verifieer opnieuw. Zie eigen domeinen in de documentatie en onze gids over een eigen domein koppelen.

Veelgestelde vragen

Wat is het verschil tussen HTTP en HTTPS?

HTTP stuurt gegevens tussen de browser en de website als leesbare tekst. HTTPS is HTTP via een versleutelde TLS-verbinding, zodat mensen op hetzelfde netwerk of langs de route niet kunnen lezen of wijzigen wat wordt verstuurd, en de browser kan controleren of hij met de echte site praat.

Zijn SSL en TLS hetzelfde?

TLS is de moderne opvolger van SSL. Alle versies van SSL zijn verouderd en onveilig, en veilige websites van nu gebruiken TLS. Mensen zeggen nog steeds „SSL-certificaat” uit gewoonte, maar de certificaten worden met TLS gebruikt.

Betekent het slotje dat een website veilig is?

Nee. Het slotje betekent dat de verbinding versleuteld is en dat het certificaat bij het domein past. Een oplichterssite kan ook een geldig certificaat hebben. Het zegt dat niemand de verbinding kan afluisteren, niet dat de eigenaar van de site betrouwbaar is.

Moet ik betalen voor een SSL-certificaat?

Meestal niet. Gratis, geautomatiseerde certificaatautoriteiten zoals Let’s Encrypt geven certificaten uit die browsers vertrouwen, en de meeste hostingplatforms halen ze voor je op en vernieuwen ze. Betaalde certificaten voegen vooral ondersteuning of extra identiteitscontroles toe.

Waarom staat op mijn site „Niet beveiligd”?

Gangbare oorzaken zijn dat de site via http:// wordt geopend in plaats van https://, een certificaat dat is verlopen of dat niet precies dat domein dekt, of een pagina die afbeeldingen of scripts via gewoon http:// laadt (gemengde inhoud).