SSL certificaat vernieuwen in 7 heldere stappen

Een verlopen certificaat meldt zich meestal op het slechtst denkbare moment: een klant ziet een beveiligingswaarschuwing, het contactformulier werkt niet meer of medewerkers kunnen een portaal niet openen. Wie zoekt op ssl certificaat vernieuwen stappen, wil vooral één ding: dit zonder risico regelen voordat het omzet, vertrouwen of werkplezier kost.

Voor een mkb-bedrijf is een SSL-certificaat geen technisch extraatje. Het bevestigt dat bezoekers veilig met uw website of online omgeving verbonden zijn. De vernieuwing zelf is vaak snel gedaan, maar een verkeerde instelling kan alsnog zorgen voor foutmeldingen. Met onderstaande aanpak houdt u controle – zonder onnodig technisch gedoe.

Waarom op tijd vernieuwen meer is dan een vinkje

Een SSL-certificaat versleutelt de gegevens tussen de browser van uw bezoeker en uw website of applicatie. Denk aan gegevens uit een offerteformulier, inloggegevens of betaalinformatie. Ziet een browser dat certificaat als verlopen of onjuist, dan volgt een duidelijke waarschuwing. Veel bezoekers haken dan direct af.

Ook intern kan de schade groter zijn dan verwacht. Een certificaat kan bijvoorbeeld gekoppeld zijn aan een klantportaal, webmail, VPN, API-koppeling of wifi-inlogpagina. Dan is niet alleen de website geraakt. Daarom hoort certificaatbeheer bij regulier ICT-beheer, net als updates, back-ups en domeinverlengingen.

Let op: een SSL-certificaat vernieuwen betekent niet altijd dat u exact hetzelfde certificaat verlengt. Bij veel leveranciers krijgt u een nieuw certificaat met een nieuwe geldigheidsperiode. Dat moet vervolgens correct worden geplaatst op de server of in het hostingpaneel.

SSL certificaat vernieuwen stappen voor bedrijven

De beste aanpak begint niet op de dag dat het certificaat verloopt. Start idealiter drie tot vier weken vooraf. Dat geeft ruimte als een domeinvalidatie vastloopt, een contactpersoon niet bereikbaar is of een externe partij toegang tot de server heeft.

1. Breng in kaart welk certificaat u vernieuwt

Controleer eerst voor welke domeinnamen het certificaat geldt. Een certificaat voor www.uwbedrijf.nl dekt niet automatisch uwbedrijf.nl, en zeker niet een subdomein zoals portal.uwbedrijf.nl. Bij een wildcardcertificaat geldt de dekking weer anders.

Kijk daarnaast waar het certificaat daadwerkelijk wordt gebruikt. Dat kan één website zijn, maar ook een testomgeving, een webshop of een aparte mailserver. Noteer de verloopdatum, het type certificaat, de betrokken domeinen en de partij die het huidige certificaat beheert. Zonder dat overzicht is de kans groot dat u alleen het zichtbare probleem oplost.

2. Controleer wie toegang en verantwoordelijkheid heeft

Veel problemen ontstaan niet door techniek, maar door onduidelijk eigenaarschap. Het domein staat bij partij A, de hosting bij partij B en de websitebouwer heeft de servertoegang. Ondertussen ontvangt niemand de verlengingsmail of denkt iedereen dat een ander het regelt.

Bepaal daarom vooraf wie verantwoordelijk is voor de verlenging, wie wijzigingen mag uitvoeren en wie controleert of alles na plaatsing werkt. Zorg ook dat de contactgegevens bij de certificaatleverancier en domeinregistratie kloppen. Een verificatiemail op een oud e-mailadres kan de vernieuwing vertragen.

3. Kies het passende certificaattype

Voor de meeste zakelijke websites is een standaard domeinvalidatiecertificaat voldoende. Daarmee wordt bevestigd dat u controle heeft over het domein. Heeft u meerdere subdomeinen, dan kan een wildcardcertificaat praktisch zijn. Voor verschillende losse domeinen is een multi-domaincertificaat soms voordeliger en overzichtelijker.

Kies niet automatisch het duurste certificaat. De juiste keuze hangt af van uw situatie. Een eenvoudige bedrijfswebsite heeft andere eisen dan een platform met meerdere klantomgevingen. Belangrijker dan een indrukwekkend label is dat alle benodigde domeinen gedekt zijn en het certificaat goed wordt beheerd.

4. Maak of hergebruik de juiste CSR en privésleutel

Bij veel vernieuwingen wordt een Certificate Signing Request, meestal CSR genoemd, gebruikt. Dit bestand bevat onder andere de domeinnaam en technische gegevens waarmee het nieuwe certificaat wordt aangemaakt. De bijbehorende privésleutel blijft op uw server en mag u nooit delen of per e-mail versturen.

Kunt u een nieuwe CSR genereren, dan is dat vaak verstandig. Zeker als u niet weet waar de bestaande privésleutel staat, als meerdere partijen toegang hebben gehad of als uw server recent is gewijzigd. Maak vóór wijzigingen altijd een back-up van de huidige certificaatconfiguratie. Die hoeft u hopelijk niet te gebruiken, maar bij een fout kunt u sneller terug.

5. Rond de domeinvalidatie zorgvuldig af

De certificaatleverancier wil controleren dat u zeggenschap heeft over het domein. Dat gebeurt meestal via een DNS-record, een bestand op de website of een verificatiemail. DNS-validatie is vaak betrouwbaar, maar werkt alleen als u toegang heeft tot de juiste DNS-zone.

Voer de validatie precies uit zoals gevraagd en verwijder een DNS-record niet te snel. Soms duurt het even voordat wijzigingen overal zichtbaar zijn. Bij grotere organisaties kan dit langer duren door caching of door externe DNS-beheerders. Plan daarom geen vernieuwing vlak voor een campagne, beurs of druk weekend.

6. Installeer het nieuwe certificaat inclusief keten

Na goedkeuring ontvangt u doorgaans het nieuwe certificaat en soms aanvullende certificaatbestanden. Die aanvullende bestanden vormen de certificaatketen. Ontbreekt die keten, dan kan uw website op uw eigen computer prima lijken te werken, terwijl andere browsers of apparaten toch een foutmelding geven.

Installeer het certificaat op alle relevante plekken en herstart de benodigde webdienst als dat nodig is. Bij managed hosting gebeurt dit vaak vanuit het controlepaneel of automatisch. Bij een eigen server vraagt het om meer aandacht: de configuratie van bijvoorbeeld Apache, Nginx, IIS of een load balancer moet allemaal juist staan.

Verwijder het oude certificaat pas wanneer het nieuwe actief is en u hebt gecontroleerd dat de juiste domeinen worden aangeboden. Een korte overlap voorkomt stress als er iets teruggedraaid moet worden.

7. Test als bezoeker, niet alleen als beheerder

Open na de installatie de website in een privévenster en test zowel met als zonder www. Controleer ook belangrijke subdomeinen, formulieren en inlogpagina’s. Kijk of de browser een geldig certificaat toont, de juiste bedrijfs- of domeinnaam laat zien en geen waarschuwing over gemengde inhoud geeft.

Test daarnaast vanaf een mobiel netwerk of een ander apparaat. Uw eigen computer kan oude gegevens in cache hebben, waardoor een probleem onzichtbaar blijft. Werkt uw site via een CDN, proxy of externe firewall, controleer dan ook daar of het nieuwe certificaat actief is.

Veelvoorkomende fouten die u eenvoudig voorkomt

Een certificaat is vernieuwd, maar bezoekers krijgen alsnog een waarschuwing. In de praktijk ligt dat vaak aan één van deze oorzaken:

• Het certificaat bevat niet alle gebruikte domeinen of subdomeinen.
• De privésleutel hoort niet bij het geïnstalleerde certificaat.
• De intermediate certificaten, oftewel de certificaatketen, ontbreken.
• Een proxy, load balancer of CDN toont nog het oude certificaat.
• Een automatische redirect leidt naar een domein zonder geldig certificaat.

Ook automatische vernieuwing verdient controle. Het is een goede vangnetfunctie, maar geen reden om nooit te kijken. Automatisering kan mislukken door gewijzigde DNS-instellingen, een verlopen betaalmethode, beperkte serverrechten of een aangepast webplatform. Zet daarom herinneringen ruim voor de verloopdatum en controleer na iedere automatische verlenging of het certificaat echt is uitgerold.

Wanneer u dit beter uitbesteedt

Heeft u één eenvoudige website met een hostingpakket waarin SSL automatisch wordt beheerd? Dan hoeft u waarschijnlijk weinig zelf te doen. Controleer vooral de verloopdatum en de instellingen van uw hostingomgeving.

Wordt het ingewikkelder door meerdere domeinen, een eigen server, zakelijke applicaties of verschillende leveranciers, dan is centraal beheer verstandiger. Eén aanspreekpunt voorkomt dat u bij een storing moet uitzoeken wie over DNS, hosting of de server gaat. Bij NLXS kunnen hosting, domeinbeheer en dagelijks ICT-beheer onder één dak vallen, zodat certificaatverlengingen geen losse actie worden waar u zelf achteraan moet.

Plan de vernieuwing niet als spoedklus op de laatste middag. Een geldig certificaat is klein onderdeel van uw techniek, maar groot voor het vertrouwen van klanten. Met een vaste eigenaar, tijdige controle en een goede test na afloop blijft uw online omgeving gewoon bereikbaar – precies zoals het hoort.