In het kort: een SSL-certificaat (tegenwoordig eigenlijk een TLS-certificaat) is een klein digitaal document dat twee dingen regelt. Het versleutelt het verkeer tussen jouw browser en de website, zodat niemand kan meelezen, en het koppelt die versleuteling aan een domeinnaam. Dat is precies wat het slotje of het instellingen-icoontje in je adresbalk aangeeft: de verbinding is beveiligd. Het zegt niet dat de site zelf te vertrouwen is. Ook phishingsites hebben vandaag de dag gewoon een geldig certificaat.
Wat is een SSL-certificaat precies?
Als je een website bezoekt, reist er informatie heen en weer tussen jouw apparaat en de server van die site: welke pagina je opvraagt, wat je in een inlogscherm typt, wat je in een winkelmandje legt. Zonder beveiliging gaat dat verkeer als leesbare tekst over het netwerk, en kan iemand die op dezelfde lijn meekijkt het onderscheppen. Een SSL/TLS-certificaat lost dat op.
Het certificaat doet twee dingen tegelijk:
- Het zet een versleutelde verbinding op, zodat je gegevens onderweg onleesbaar zijn voor buitenstaanders.
- Het bevat een digitale handtekening van een certificaatautoriteit (een uitgevende partij die de aanvraag controleert), waarmee je browser kan nagaan dat je echt met de server van dat domein praat en niet met een tussenpersoon.
De naam SSL blijft hangen uit gewoonte. De oude SSL-techniek is al jaren geleden vervangen door TLS, dat veiliger is. Vrijwel iedereen zegt nog SSL, maar in de praktijk draait alles op TLS.
Wat betekenen https en het (verdwenen) slotje?
Het http aan het begin van een webadres is de taal waarin je browser en de website met elkaar praten. De extra s in https staat voor secure: dezelfde taal, maar dan door een TLS-certificaat versleuteld. Zie je https en een slotje, dan is de verbinding beveiligd.
Dat slotje ziet er inmiddels anders uit dan je gewend was. Sinds Chrome-versie 117 (september 2023) is het klassieke hangslotje op de computer vervangen door een instellingen-icoontje, een klein schuifjes-symbool. Google deed dat bewust: uit hun onderzoek bleek dat veel mensen het slotje lazen als ‘deze site is veilig’, terwijl het alleen over de verbinding ging. Op iPhone is het slotje zelfs helemaal weggehaald. Klik je op dat icoontje, dan zie je nog steeds de beveiligingsinformatie en de sitegegevens.
Andersom werkt het duidelijker: een site zonder beveiliging krijgt de melding ‘Niet veilig’ in de adresbalk. Zie je die waarschuwing, vul dan zeker geen wachtwoorden of betaalgegevens in.
De groene balk met de bedrijfsnaam die je vroeger bij banken zag, bestaat ook niet meer. Browsers zijn daar tussen 2018 en 2019 mee gestopt omdat vrijwel niemand begreep wat die kleur betekende. Certificaatinfo staat nu achter een klik op het icoontje.
Waarom een slotje geen bewijs van betrouwbaarheid is
Hier zit het grootste misverstand. Https is tegenwoordig de norm: zo goed als elke serieuze website heeft het, en dat hoort ook zo. Maar juist omdat een certificaat gratis en in een paar minuten aan te vragen is, hebben oplichters het net zo makkelijk als iedereen.
Onderzoek van de Anti-Phishing Working Group laat zien dat inmiddels ruim 90 procent van de phishingsites gewoon over https draait, met een geldig certificaat. Het slotje in je adresbalk zegt dus alleen dat je gegevens versleuteld bij de eigenaar van die site aankomen. Of dat een eerlijke webwinkel is of een oplichter die je bankgegevens hengelt, staat er los van.
De oude tip ‘let op het slotje’ is daarmee achterhaald als betrouwbaarheidstoets. Het is een minimumeis, geen keurmerk. Wat het slotje wel garandeert:
- Je verbinding is versleuteld en niet onderweg door anderen mee te lezen.
- Je praat echt met de server achter dat webadres, niet met een tussenpersoon.
Wat het slotje niet garandeert:
- Dat het bedrijf achter de site eerlijk is of bestaat.
- Dat het webadres het echte adres is en geen bijna-identieke schrijffout (denk aan een extra letter of een ander domein-einde).
- Dat het veilig is om er te betalen of je gegevens achter te laten.
Soorten certificaten: DV, OV en EV
Certificaten verschillen niet in de sterkte van de versleuteling, die is bij alledrie hetzelfde. Het verschil zit in hoe streng de uitgever de aanvrager heeft gecontroleerd.
- DV (Domain Validation): de uitgever controleert alleen of de aanvrager het domein beheert. Gratis en binnen minuten geregeld. Verreweg het meest gebruikt, ook door de meeste kleine sites, blogs en helaas ook door phishingsites.
- OV (Organization Validation): naast het domein wordt ook gecontroleerd of het bedrijf echt bestaat. De bedrijfsgegevens staan in het certificaat, maar je ziet dat als bezoeker niet direct in de adresbalk.
- EV (Extended Validation): de zwaarste controle, waarbij de uitgever ook de juridische en fysieke gegevens van het bedrijf natrekt. Vroeger leverde dit de groene balk op, maar die tonen browsers niet meer.
Voor jou als bezoeker is de belangrijkste les: je kunt het type certificaat niet meer zomaar aan de adresbalk aflezen. Je moet erop klikken om te zien wie het certificaat heeft en aan wie het is uitgegeven. En zelfs dan blijft het een technisch gegeven, geen oordeel over eerlijkheid.
Wat betekent dit voor jou als bezoeker?
Behandel het slotje als de ondergrens, niet als het eindpunt. Deze checklist helpt je verder dan alleen de verbinding:
- Zie je ‘Niet veilig’ of geen https? Vul dan niets gevoeligs in. Dit is een harde afwijzing.
- Lees het webadres letter voor letter. Klopt de domeinnaam precies, of staat er een extra woord, een streepje of een vreemd domein-einde in? Oplichters gokken op vluchtig kijken.
- Kwam je via een link in een e-mail, sms of advertentie? Typ het adres dan liever zelf in, of zoek de site op. Zo omzeil je een neppagina.
- Zoek naar echte contactgegevens: een adres, een KvK-nummer, een telefoonnummer. Ontbreekt dat, wees dan op je hoede.
- Klopt het aanbod? Onrealistisch lage prijzen, tijdsdruk en alleen vooruitbetalen zijn klassieke alarmbellen.
Wil je dit stap voor stap oefenen, lees dan onze gids over hoe je beoordeelt of een website betrouwbaar is. Twijfel je of een bericht of site nep is, dan helpt onze uitleg over phishing en cybercriminaliteit je de trucs te herkennen. Wil je de basis goed op orde? Begin bij veilig internetten voor beginners.
Veelgestelde vragen
Is een website met een slotje altijd veilig?
Nee. Het slotje betekent alleen dat de verbinding versleuteld is. Ook phishingsites en nepwebshops hebben tegenwoordig een geldig certificaat en dus een slotje. Beoordeel de betrouwbaarheid altijd apart, aan de hand van het webadres, contactgegevens en het aanbod.
Wat is het verschil tussen SSL en TLS?
TLS is de moderne, veiligere opvolger van SSL. De oude SSL-versies worden niet meer gebruikt. In de volksmond zeggen we nog ‘SSL-certificaat’, maar technisch draait alles op TLS.
Waarom zie ik geen slotje meer in Chrome?
Sinds Chrome 117 (2023) staat er op de computer een instellingen-icoontje in plaats van een hangslotje, en op de iPhone is het icoon helemaal weg. Klik erop en je ziet nog steeds de beveiligings- en sitegegevens. Een onbeveiligde site krijgt juist de melding ‘Niet veilig’.
Kost een SSL-certificaat geld?
Een eenvoudig DV-certificaat is gratis en snel te krijgen, onder meer via bekende gratis uitgevers. Certificaten met een uitgebreidere bedrijfscontrole (OV en EV) kosten wel geld. Voor de versleuteling zelf maakt het geen verschil; alle drie beveiligen de verbinding even sterk.
Bron: Google Chrome Security (vervanging slotje door instellingen-icoon, Chrome 117), Anti-Phishing Working Group (aandeel phishingsites met https) en het CA/Browser Forum over certificaattypen. Laatst gecontroleerd in juli 2026.