Waarom moet elke organisatie de belangrijkste verschillen tussen HTTP en HTTPS kennen?

Key Takeaways

• HTTPS is HTTP beveiligd met TLS/SSL-encryptie; HTTP verzendt elk verzoek en antwoord als platte, leesbare tekst.
• Browsers markeren onversleutelde HTTP-pagina's al sinds Chrome 68 in juli 2018 als 'Niet beveiligd', en die druk op onversleutelde sites is sindsdien alleen maar toegenomen.
• TLS 1.3 (RFC 8446, gepubliceerd in augustus 2018) is de huidige versie van het protocol; TLS 1.0 en 1.1 werden formeel afgekeurd door RFC 8996 in maart 2021.
• Het voorstel SC081v3 van het CA/Browser Forum verkort de maximale geldigheidsduur van openbare certificaten van 398 dagen naar 47 dagen per 15 maart 2029, in stappen die beginnen op 15 maart 2026.
• Het versturen van productieverkeer via HTTP brengt reële bedrijfsrisico's met zich mee: data-interceptie, negatieve SEO-ranking, browserwaarschuwingen bij het afrekenen en inloggen, en nalevingsproblemen.
• Het automatiseren van de certificaatlevenscyclus, en niet een eenmalige migratie, zorgt ervoor dat een organisatie veilig blijft, vooral nu de geldigheidsperioden steeds korter worden.

Gepubliceerd: maart 2022. Bijgewerkt: augustus 2026. Beoordeeld door het PKI- en beveiligingsteam van Encryption Consulting.

Wat is het verschil tussen HTTP en HTTPS?

HTTP (Hypertext Transfer Protocol) is de set regels die browsers en servers gebruiken om webpagina's op te vragen en te leveren, en verzendt die gegevens als platte tekst. HTTPS (Hypertext Transfer Protocol Secure) is HTTP dat wordt verzonden binnen een TLS-verbinding (Transport Layer Security), de moderne opvolger van SSL (Secure Sockets Layer), waardoor dezelfde verzoeken en antwoorden tijdens de overdracht worden versleuteld. Het zichtbare verschil is de URL en het hangslotje: HTTP-adressen beginnen met http:// en tonen een ontgrendeld of ontbrekend hangslot, terwijl HTTPS-adressen beginnen met https:// en een gesloten hangslotje naast de URL weergeven.

Een certificeringsinstantie (CA) , zoals DigiCert, Sectigo of Let's Encrypt, is de vertrouwde derde partij die de identiteit van een domeineigenaar verifieert en het SSL/TLS-certificaat uitgeeft dat een publieke sleutel aan dat domein koppelt. Tijdens de TLS-handshake presenteert de server dat certificaat, de client verifieert het aan de hand van een vertrouwde CA-keten en de twee partijen stellen een symmetrische sessiesleutel vast met behulp van asymmetrische encryptie. Alles wat daarna wordt verzonden, wordt versleuteld met die sessiesleutel. Daarom is een HTTPS-verbinding bestand tegen Man-in-the-Middle-aanvallen die wel succesvol zouden zijn tegen een gewone HTTP-verbinding. Voor een uitgebreidere uitleg van de handshake-mechanismen, zie onze speciale TLS-handshake-handleiding ; voor de basisprincipes van certificaten, zie wat HTTPS is en hoe het verschilt van HTTP in ons Educatiecentrum.

Wanneer werd HTTPS de webstandaard?

HTTPS is niet van de ene op de andere dag de standaard geworden. Het is het resultaat van een tien jaar durende inspanning van browserfabrikanten, de IETF en het CA/Browser Forum, en die inspanning is vandaag de dag nog steeds actief via het certificaatvaliditeitsschema dat hieronder wordt beschreven.

• 2012: HTTP Strict Transport Security (HSTS) werd gepubliceerd als RFC 6797, waardoor websites browsers konden laten weten dat ze alleen via HTTPS verbinding mochten maken.
• 2014: Google heeft HTTPS aangekondigd als een lichtgewicht rankingfactor in zoekresultaten, waardoor versleutelde websites een klein SEO-voordeel krijgen.
• Juli 2018: Chrome 68 begon elke pagina met gewoon HTTP-verkeer te markeren als "Niet beveiligd" in de adresbalk, een mijlpaal die de meeste overgebleven openbare websites ertoe aanzette om over te stappen.
• Augustus 2018: TLS 1.3 werd gepubliceerd als RFC 8446, de versie van het protocol die momenteel in gebruik is.
• Maart 2021: RFC 8996 heeft TLS 1.0 en TLS 1.1 formeel afgekeurd, het gebruik ervan in nieuwe implementaties verboden en elke server die ze nog steeds aanbiedt, aangemerkt als niet-conform.
• 2025 naar 2029: Het voorstel SC081v3 van het CA/Browser Forum verlaagt de maximale geldigheidsduur van openbare certificaten van 398 dagen naar 47 dagen op 15 maart 2029, met tussentijdse verlagingen naar 200 dagen (maart 2026) en 100 dagen (maart 2027).

Welke technologieën en systemen worden beïnvloed door de overgang van HTTP naar HTTPS?

Elk systeem dat webverkeer afhandelt of doorstuurt, heeft een geldig certificaat en TLS-ondersteuning nodig, niet alleen de openbare marketingwebsite. Dit omvat webservers en reverse proxies, load balancers en CDN's, interne API's en microservices (vaak beveiligd met mutual TLS), IoT- en apparaatbeheer-endpoints, interne beheerderspanelen en dashboards die teams als "veilig" beschouwen omdat ze niet openbaar toegankelijk zijn, backends van mobiele apps en mailgateways die afhankelijk zijn van STARTTLS. Een HTTP naar HTTPS-migratie die alleen de hoofdwebsite betreft, terwijl interne services, API's of IoT-endpoints op HTTP blijven, maakt de organisatie nog steeds kwetsbaar.

Wat gebeurt er met uw organisatie als u geen HTTPS gebruikt?

Het blijven gebruiken van gewoon HTTP brengt meetbare bedrijfskosten met zich mee, en niet slechts een theoretisch beveiligingslek.

• SEO-impact: HTTPS is sinds 2014 een rankingfactor van Google, en de "Niet beveiligd"-browserwaarschuwing die nu verschijnt op pagina's met een gewoon HTTP-adres verlaagt de doorklikratio en de verblijftijd, zelfs als een pagina nog steeds goed scoort in de zoekresultaten.
• Browserwaarschuwingen: Chrome, Firefox en Edge geven allemaal het label 'Niet veilig' aan voor HTTP-pagina's en -formulieren. Dit ondermijnt het vertrouwen van bezoekers op het moment van inloggen, afrekenen of het invullen van een leadformulier.
• Gegevensonderschepping: Elke HTTP-sessie is leesbaar en wijzigbaar tijdens de overdracht, waardoor inloggegevens, betaalgegevens en andere persoonsgegevens die via HTTP worden verzonden, kunnen worden onderschept door een man-in-the-middle-aanval.
• Blootstelling aan naleving: PCI DSS vereist sterke cryptografie voor kaartgegevens tijdens de overdracht, en raamwerken zoals de AVG verwachten encryptie als basisbeveiliging voor persoonsgegevens. Het gebruik van gewone HTTP op een formulier dat dergelijke gegevens verzamelt, vormt een directe schending van de compliance-eisen.

Hoe controleert u de HTTP/HTTPS-status en de certificaatstatus van uw website?

Het controleren van de HTTPS-dekking betekent dat elke bereikbare hostnaam wordt gecontroleerd, niet alleen de homepage.

1. Doorzoek het volledige domein en alle bekende subdomeinen op URL's die nog steeds via een andere verbinding worden aangeboden. http://.
2. Controleer de geldigheid van het certificaat, de uitgevende certificeringsinstantie (CA), de sleutelsterkte (minimaal RSA 2048 bit of ECC) en de vervaldatum voor elk gevonden certificaat.
3. Controleer of HSTS is ingeschakeld en, waar van toepassing, subdomeinen bevat en is toegevoegd aan de HSTS-voorlaadlijst.
4. Test op gemengde inhoud, oftewel HTTPS-pagina's die nog steeds HTTP-afbeeldingen, scripts of iframes laden.
5. Controleer of HTTP naar HTTPS-omleidingen gebruikmaken van één enkele 301-omleiding in plaats van een omleidingsketen met meerdere tussenstappen.
6. Bekijk hoe certificaten momenteel worden uitgegeven en verlengd. Handmatig bijgehouden certificaten zijn de belangrijkste oorzaak van ongeplande storingen, en dat risico neemt sterk toe naarmate de geldigheidsperioden korter worden, richting 47 dagen.

Hoe migreer je van HTTP naar HTTPS?

1. Inventariseer alle domeinen, subdomeinen en interne services die momenteel via HTTP bereikbaar zijn.
2. Verkrijg voor elk apparaat een geldig SSL/TLS-certificaat van een vertrouwde certificeringsinstantie; een gratis certificaat is hiervoor vereist. MVO-generator kan het certificaatondertekeningsverzoek genereren dat nodig is om dat proces te starten.
3. Installeer en configureer TLS 1.3, waarbij TLS 1.2 alleen als terugvaloptie wordt gebruikt, en schakel TLS 1.0 en TLS 1.1 uit.
4. Alle HTTP-verzoeken omleiden naar HTTPS met 301-redirects.
5. Schakel HSTS in om pogingen tot protocoldowngrade te voorkomen.
6. Zoek en corrigeer verwijzingen naar gemengde inhoud, zodat geen enkele HTTPS-pagina een HTTP-subbron laadt.
7. Werk interne links, sitemaps en canonical tags bij zodat ze verwijzen naar de HTTPS-versies van elke pagina.
8. Automatiseer het vinden, uitgeven en verlengen van certificaten in plaats van de vervaldatums handmatig bij te houden. Bij een geldigheidsperiode van 47 dagen is handmatige registratie op geen enkele schaal haalbaar.

Updatelogboek

• Augustus 2026: Bijgewerkt met het 47-dagen geldigheidsschema voor certificaten van het CA/Browser Forum, de huidige status van TLS 1.3 en RFC 8996, een detectiechecklist, een migratiechecklist, een vergelijkingstabel, een sectie met beperkingen en een FAQ.
• Maart 2022: Oorspronkelijke publicatie.

HTTP versus HTTPS: een vergelijking naast elkaar

Kenmerk	HTTP	HTTPS
Encryptie	Geen; gegevens verzonden als platte tekst.	TLS-versleuteling (TLS 1.3, actueel), geverifieerd door een SSL/TLS-certificaat.
Standaardpoort	Port 80	Port 443
Certificaat vereist	Nee	Ja, uitgegeven door een vertrouwde certificeringsinstantie.
SEO-impact	Geen voordeel voor de ranking; waarschuwingen als "Niet beveiligd" kunnen de doorklikratio verlagen.	Rankingsignaal sinds 2014; geen beveiligingswaarschuwing van de browser
Browserbehandeling	Label "Niet veilig" in Chrome, Firefox en Edge.	Vergrendeld hangslotpictogram, standaard vertrouwd
Data-integriteit	Kwetsbaar voor onderschepping en wijziging tijdens transport.	Versleuteld en van begin tot eind geauthenticeerd.

Beperkingen

• HTTPS versleutelt gegevens tijdens de overdracht. Het biedt geen bescherming voor gegevens die op de server, in een database of in een back-up zijn opgeslagen.
• Een geldig certificaat is geen bewijs van legitimiteit. Phishingwebsites verkrijgen routinematig een geldig, gratis SSL/TLS-certificaat, waardoor een hangslotpictogram bevestigt dat de verbinding versleuteld is, niet dat de site betrouwbaar is.
• Een onjuist geconfigureerde TLS-verbinding, zoals zwakke cipher suites of een verlopen certificaat dat een browser stilzwijgend accepteert via een omzeiling, kan een vals gevoel van veiligheid creëren dat erger is dan helemaal geen versleuteling.
• De geldigheidsperiode van certificaten wordt steeds korter (47 dagen in maart 2029), waardoor certificaatbeheer verandert van een incidentele handmatige taak in een vereiste voor automatisering.
• HTTPS voldoet aan één van de vele beveiligingsmaatregelen. Het voldoet op zichzelf niet volledig aan PCI DSS, GDPR of vergelijkbare compliance-raamwerken, die elk aanvullende beveiligingsmaatregelen vereisen naast transportversleuteling.

Wat zou Encryption Consulting aanbevelen?

Beschouw de overstap naar HTTPS als het beginpunt, niet als het eindpunt. Het werkelijke risico dat de meeste organisaties vandaag de dag lopen, is niet "we hebben nog één pagina op HTTP", maar "we hebben geen betrouwbaar overzicht van alle certificaten waar we van afhankelijk zijn, en we staan ​​op het punt een geldigheidsperiode te krijgen die krimpt tot 47 dagen". CertSecure Manager automatiseert het ontdekken, uitgeven, verlengen en intrekken van certificaten in uw hele omgeving, zodat certificaten volgens schema worden vernieuwd in plaats van in een spreadsheet te worden bijgehouden. Voor organisaties die een beheerde, in de cloud geleverde PKI nodig hebben in plaats van een eigen certificeringsinstantie te beheren, verzorgt PKI as a Service de uitgifte en het lifecyclemanagement rechtstreeks. Als u net begint, maakt onze gratis CSR Generator- tool binnen enkele minuten een correct geformatteerd certificaatondertekeningsverzoek aan. Encryption Consulting is ISO/IEC 27001:2022 en SOC 2 gecertificeerd, dus dezelfde controles die wij aanbevelen voor uw certificaatlifecycle zijn ook de controles die wij zelf hanteren.

Conclusie

HTTP en HTTPS lijken slechts één letter te verschillen, maar die letter vertegenwoordigt de volledige vertrouwenslaag van het moderne web: encryptie, authenticatie en integriteit voor elk verzoek en antwoord. Elke organisatie, ongeacht de grootte, heeft er baat bij om overal HTTPS te gebruiken en certificaatbeheer te beschouwen als een doorlopende operationele discipline in plaats van een eenmalige instelling. Dit geldt zeker nu het CA/Browser Forum de maximale geldigheidsduur van certificaten tegen 2029 terugbrengt tot 47 dagen. Het gebruik van encryptie en digitale certificaten is van belang voor verbindingen via internet en binnen het interne netwerk van een organisatie. Beveiligingssystemen zoals Public Key Infrastructure (PKI) bieden gebruikers en apparaten binnen een organisatie de certificaten die ze nodig hebben om geïdentificeerd te worden en veilig te communiceren. Ga naar www.encryptionconsulting.com voor meer informatie over hoe Encryption Consulting u kan helpen bij het opzetten en automatiseren van PKI binnen uw organisatie.

Veelgestelde Vragen / FAQ

Is HTTPS gewoon HTTP met een certificaat? Niet helemaal. HTTPS is HTTP dat wordt uitgevoerd binnen een met TLS versleutelde verbinding. Het certificaat zorgt ervoor dat de browser de identiteit van de server kan verifiëren en die versleutelde verbinding tot stand kan brengen, maar het zijn de versleuteling, de handshake en de uitwisseling van sessiesleutels die het verkeer daadwerkelijk beveiligen, niet het certificaatbestand alleen.

Vertraagt ​​HTTPS een website? De TLS-handshake voegt een kleine hoeveelheid latentie toe aan de eerste verbinding, meestal een paar milliseconden met TLS 1.3 en moderne hardware, en die kosten worden hergebruikt bij volgende verzoeken via sessiehervatting. In de praktijk wegen de SEO-voordelen en de betrouwbaarheid van HTTPS ruimschoots op tegen deze verwaarloosbare overhead, en HTTP/2, waarvoor de meeste browsers HTTPS vereisen, maakt een HTTPS-site vaak sneller dan de HTTP-equivalent.

Kan een phishingwebsite ook HTTPS gebruiken? Ja. Een certificeringsinstantie verifieert dat de aanvrager van het certificaat de domeinnaam beheert, niet dat de domeinnaam zelf betrouwbaar is of dat de organisatie erachter legitiem is. Een gesloten hangslotje bevestigt dat de verbinding versleuteld is; het zegt niets over wie er aan de andere kant zit. Daarom mag HTTPS nooit als een op zichzelf staand vertrouwenssignaal worden beschouwd.

Wat gebeurt er als een certificaat verloopt? Browsers blokkeren de toegang met een duidelijke waarschuwing, verbonden API's en services vallen volledig uit en de storing duurt voort totdat een nieuw certificaat is uitgegeven en geïmplementeerd. Nu de levensduur van certificaten volgens het schema van het CA/Browser Forum steeds korter wordt, richting 47 dagen, wordt handmatige controle van de verlenging een belangrijke oorzaak van vermijdbare storingen. Daarom wordt geautomatiseerd beheer van de levenscyclus van certificaten elk jaar belangrijker.

Hebben interne, niet-openbare systemen ook HTTPS nodig? Ja. Interne beheerderspanelen, API's en service-naar-service-verkeer zijn veelvoorkomende doelwitten zodra een aanvaller voet aan de grond krijgt in het netwerk. Het gebruik van gewoon HTTP betekent dat inloggegevens en sessietokens onversleuteld over het interne netwerk worden verzonden. Behandel interne systemen met dezelfde certificaat- en TLS-vereisten als alle publiekelijk toegankelijke systemen.

Referenties

• CA/Browser Forum. Stemming SC081v3: Introductie van een schema voor het verkorten van de geldigheidsduur en de periodes voor hergebruik van gegevens (11 april 2025). cabforum.org
• IETF. RFC 8446: Het Transport Layer Security (TLS) Protocol Versie 1.3 (augustus 2018). datatracker.ietf.org
• IETF RFC 8996: TLS 1.0 en TLS 1.1 worden afgeschaft (maart 2021). ietf.org
• IETF. RFC 6797: HTTP Strict Transport Security (HSTS) (november 2012). datatracker.ietf.org
• Google. Een mijlpaal voor de beveiliging van Chrome: HTTP wordt gemarkeerd als 'niet veilig' (2018). blog.google