Alle SSL certificaten van 1 leverancier

SSL staat voor Secure Sockets Layer en zorgt ervoor dat de datastroom tussen de website en de bezoeker niet leesbaar is voor anderen. Vertrouwelijke informatie die klanten naar een website sturen (zoals wachtwoorden, persoonsgegevens of betaalinformatie) kan gestolen worden. Hackers worden steeds slimmer; websites worden gekopieerd waardoor het lijkt dat je op de goede website zit maar in werkelijkheid zit je op een vervalste website waardoor je gevoelige informatie weggeeft aan criminelen. SSL geeft een website identiteit.

Domain Validation SSL (DV)

Validatie van de aanvrager vindt nagenoeg realtime plaats op basis van whois-gegevens.

Organization Validation SSL (OV)

Bovenop de validatie van het domein zelf controleren wij of de aanvrager ingeschreven staat bij het bedrijvenregister.

Extended Validation SSL (EV)

Bovenop de validatie van het domein zelf, stuurt de aanvrager extra documentatie aan de uitgevende instantie en is er persoonlijk contact.

Wildcard SSL

Een standaard SSL-certificaat beveiligt één domein. Met een wildcard-certificaat bescherm je alle subdomeinen van een bepaalde domeinnaam.

Multidomain SSL

Met een multi-domein-certificaat bescherm je meerdere domeinen en subdomeinen van dezelfde eigenaar met één enkel SSL-certificaat.

SGC SSL

Een SSL-certificaat met 128-bits encryptie dat zelfs werkt in oude browsers die geen 128/256-bits encryptie ondersteunen.

Veelgestelde vragen

Waarschijnlijk correspondeert je Private Key niet meer met de Pending Request of met het certificaat. Om dit op te lossen moet je een nieuwe CSR aanmaken, zodat wij uw certificaat kunnen heruitgeven met de nieuwe CSR.

Als je een Apache systeem gebruikt, zoek dan naar bestanden met extentie .key. Het bestand kan op een andere locatie staan dan je hebt opgegeven in het httpd.conf bestand.

Hier kunnen een paar verklaringen voor zijn:

  • Het certificaat heeft een Common Name (CN of FQDN) van bijvoorbeeld webmail.sslcertificaten.nl maar u bezoekt sslcertificaten.nl. Om eventueel dit probleem op te lossen kunt u een redirect aanmaken naar de juiste beveiligde (sub)domeinnaam.
  • In Apache is het mogelijk dat de 'server nameserver alias' instelling niet gelijk is met de Common Name (CN of FQDN) in het certificaat. Dit kan gecorrigeerd worden door de instelling van Apache te veranderen, zodat het overeenkomt met de CN.

Deze fout kan door verschillende problemen optreden:

  • Het bestand bestaat niet in de https folder. Dit kan worden geverifieerd door het bestand op de normale, onbeveiligde, http link op te roepen en te bekijken of het bestand normaal wordt geladen. Om dit probleem op te lossen voegt u het desbetreffende bestand toe aan de https folder.
  • Poort 443 is geblokkeerd door de firewall van de server of de eindgebruiker. Om dit probleem op te lossen opent u poort 443 (zowel inkomend als uitgaand) in de firewall.
  • De https server is down. Zorg ervoor dat de https service opgestart is. Dit kunt u controleren door de service te bekijken met de webserver task manager.
  • Incompleet SSL Certificaat. In dit geval kan het voorkomen dat er geen corresponderende private key is geïnstalleerd. Controleer of u het certificaat en de correcte Private Key heeft geïnstalleerd op uw webserver.
  • Web browser is niet geconfigureerd naar 3.0. Het is mogelijk dat de betreffende web browser geconfigureerd moet worden naar "Gebruik SSL 3.0" in het optie menu.

Mixed content (gemengde inhoud) op je website kan de oorzaak zijn van waarschuwingen bij het bezoeken van je site en is een veel geziene oorzaak van het niet correct functioneren van de groene balk of slotje bij gebruik van een SSL certificaat. Om dit te voorkomen is het van belang je website te controleren op mixed content.

Mixed content wil simpelweg zeggen dat er binnen de site onderdelen, zoals plaatjes of andere externe content, geladen wordt via http en niet via https, terwijl de pagina zelf wel via https wordt geladen. Een browser merkt dit op en zal de website om die reden niet als volledig veilig beschouwen met de waarschuwingen of het ontbreken van de groene balk tot gevolg.

Via Firefox en Google Chrome is onbeveiligde content makkelijk te traceren, waarna deze in de code van de website kan worden aangepast naar beveiligde content. De nodige stappen om de onbeveiligde content via een van deze browsers te achterhalen beschrijven we hier.

Firefox

  1. Start Firefox op en navigeer naar de pagina die je wilt controleren.
  2. Open de Console. Dit kan door te drukken op F12 of CTRL + Shift + i. Eventueel kan dit ook door te drukken op Alt en vervolgens te gaan naar Extra -> Webontwikkelaar -> Hulpmiddelen in-/uitschakelen.
  3. Klik vervolgens op de knop Console en zorg ervoor dat alle knoppen behalve de knop Beveiliging zijn uitgeschakeld. Firefox toont vervolgens direct alle onbeveiligde links.
  4. Noteer de gevonden resultaten, bijvoorbeeld door deze te copy/pasten naar een tekstdocument, en voer de nodige aanpassingen door in de code van je website.

Google Chrome

  1. Start Chrome op en navigeer naar de pagina die je wilt controleren.
  2. Open de Console. In Chrome open je deze door te drukken op F12 of CTRL + Shift + i. Je kunt deze ook openen door te klikken op de menu knop naast de adresbalk en te gaan naar Tools en hier te klikken op Developer Tools.
  3. Indien deze niet direct wordt geopend klik je in de zojuist geopende werkbalk op de knop Console.
  4. Chrome markeert zelf al onbeveiligde content op een beveiligde pagina.
  5. Noteer de gevonden resultaten, bijvoorbeeld door deze te copy/pasten naar een tekstdocument, en voer de nodige aanpassingen door in de code van je website.

Vrijwel elke webshop maakt gebruik van wachtwoorden om terugkerende gebruikers te laten inloggen. Deze gebruikers zouden voor elke website een uniek wachtwoord moeten gebruiken, maar de praktijk is helaas dat gebruikers wachtwoorden vaak voor meerdere websites gebruiken. Hierdoor zijn deze wachtwoorden voor hackers gewilde informatie, omdat ze hiermee op andere websites kunnen inloggen zoals bijvoorbeeld PayPal. Om uw gebruikers te beschermen is het daarom belangrijk  wachtwoorden op een veilige manier op te slaan, en zeker niet zomaar te bewaren. Je gebruikt hiervoor een zogenaamde one-way hash functie, zoals MD5, waarmee met een bepaalde code in principe het originele wachtwoord nooit meer te achterhalen is. Door het gebruik van zogenaamde rainbow tabellen is alleen het gebruik van een one-way hash functie echter niet genoeg, en kunt je daarnaast zogenaamde salted hashes gebruiken.

Voor een succesvolle webshop is het essentieel dat klanten met een veilig gevoel gegevens achterlaten op je website, of dat nu om betaalverkeer gaat of andere privacy gevoelige zaken zijn. Daar is een SSL certificaat voor nodig. En hoe uitgebreider de beveiliging met SSL, des te groter de boost voor je webshop.

In 2010 beveiligde slechts 15% van de Nederlandse webshops naast de betaalpagina ook andere pagina's waar bezoekers gegevens achterlieten. Mede dankzij het toezicht op SSL-gebruik door webwinkelkeurmerken zoals Thuiswinkel.org, het prominente gebruik van de groene adresbalk bij het internetbankieren en doordat Facebook sinds 2013 standaard https:// gebruikt, is het aantal websites met SSL flink gestegen.

Beveilig alle pagina's van je webshop met SSL
Volgens de Online Trust Alliance is SSL op je hele website de beste manier om klantvertrouwen te vergroten. Het is een eenvoudige en relatief goedkope manier om 'Sidejacking' en 'Firesheep' aanvallen te voorkomen. Dit zijn aanvallen waarbij bezoekers ongemerkt omgeleid worden naar een andere pagina, om op deze manier vertrouwelijke gegevens te onderscheppen.

Als de hele website met SSL beveiligd is, wordt er niet geschakeld van beveiligde naar onbeveiligde pagina's waardoor er gegevens onderschept kunnen worden door dit soort 'man in the middle' aanvallen. Daarbij voorkomt het dat bezoekers op een website waarschuwingen ontvangen over gemengde inhoud. Dit zijn belangrijke voordelen. Daarnaast zijn er wat andere zaken om rekening mee te houden voor een vlekkeloze overgang van http:// naar https://.

Hogere Google notering door SSL!
Wanneer je je website beveiligt met SSL en dit doet voor alle pagina's, wordt dit door Google beloond met een hogere klassificering. Op dit moment weegt dit nog niet heel zwaar, maar binnenkort gaat Google hier, onder de vlag ‘HTTPS everywhere’, meer consequenties aan verbinden. De reden dat Google online veiligheid hoger op de prioriteitenlijst heeft gezet, is dat Google haar gebruikers wil beschermen tegen hackers die via open netwerken je online gedrag kunnen traceren en misbruiken. Google wil dit door middel van dataversleuteling tegengaan.

Hoe werkt het?
Gebruik je SSL op je website? Zorg er dan voor dat niet alleen de pagina's waar bezoekers gegevens kunnen achterlaten met SSL beveiligd zijn, maar dat de hele website bereikbaar is via https://, en niet meer via http://. Bijvoorbeeld door het gebruik van HTTP Strict Transport Security oftewel HSTS en het gebruik van Secure Cookies. Veel organisaties zijn hier huiverig voor, om redenen die we hieronder toelichten, maar uit het feit dat partijen als Google en Twitter dit al doen blijkt dat er grote voordelen mee zijn te behalen. En de nadelen die er zijn, zijn gemakkelijk te verhelpen.

Van http naar https: Google
Het domein is niet langer http://www.domein.nl, maar https://www.domein.nl. Google ziet dit als twee aparte url's, wat uiteraard gevolgen heeft voor de Google ranking. Als https niet juist is ingesteld, zorgt dit voor verwarring bij de zoekmachines. Er worden dan twee versies van een website geregistreerd: één met http:// en één met https:// en dit kan ten koste gaan van je Google ranking. Dit is gemakkelijk op te lossen door dit correct in te stellen op de webserver en bijvoorbeeld in Google Webmaster Tools.

Van http naar https: laadtijd
Vooral voor commerciële websites is een zo kort mogelijke laadtijd belangrijk om afhakers te voorkomen. Een beveiligde pagina laadt inderdaad langzamer dan een onbeveiligde pagina, onder andere omdat de browser bij de met SSL beveiligde pagina eerst controleert of het certificaat geldig is. Een methode die deze laadtijd verkort is OCSP Stapling. Hierbij wordt de geldigheid van een certificaat doorgegeven door de browser zelf waardoor er geen verbinding gelegd wordt naar de uitgever van het certificaat.

Van http naar https: Facebook
Ook voor social media heeft de verandering gevolgen. De Facebook likes springen in één keer terug naar 0 wanneer de URL wordt aangepast. Om dit voor te zijn moet er in de metadata van je homepage een og:url tag opgenomen worden, waarin je verwijst naar de URL die voor Google geldt.

Neem een groene adresbalk
We zeiden al dat een SSL certificaat voor een webshop onmisbaar is. Maar SSL certificaten zijn er in meerdere gradaties van veiligheid. Het meest uitgebreide certificaat is de zogenaamde EV (Extended Validation) variant, waarbij niet alleen de domeinnaamhouder wordt gecontroleerd, maar ook de bedrijfsgegevens en de aanvrager van het certificaat. Dit certificaat voldoet dus aan zeer strenge richtlijnen, die voor de bezoeker herkenbaar zijn aan een groene adresbalk.
Meer klantvertrouwen betekent een grotere bereidwilligheid gevoelige gegevens achter te laten op de website en dus kans op een hogere omzet. Vooral voor webshops, banken en andere commerciële websites interessant.

Veiligheid loont
Google beloont een webshop met een veilige verbinding met een hogere positie in de zoekresultaten. Bezoekers waarderen het steeds meer wanneer een webshop zorgvuldig met hun gegevens omgaat, en belonen dit met hogere conversies. Aandacht voor veiligheid kan hierdoor bijdragen aan een succesvolle webshop!

Het beveiligen van een server is geen gemakkelijke klus. Ongemerkt kunnen er fouten gemaakt worden, waardoor er zwakke plekken in je systeem of webshop kunnen ontstaan. Gaten die in eerste instantie onschuldig lijken, kunnen door nieuwe inzichten later misbruikt worden door inbrekers. Het is daarom belangrijk om regelmatig door de ogen van een hacker naar je systeem te kijken zodat je weet waar de zwakke punten zitten. Voor de beveiliging van je kantoorpand kun je een  rondje om het pand lopen om te kijken hoe een inbreker binnen zou kunnen komen. Voor het controleren van de digitale beveiliging is dit lastiger, maar zijn er verschillende oplossingen beschikbaar om je te helpen.

Wat voor gaten zou mijn webshop dan moeten hebben?
In de gesprekken met onze klanten merken we dat er vaak gedacht wordt dat het met het aantal problemen in hun webshop wel meevalt. Helaas blijkt vaak dat men toch onaangenaam verrast wordt door het aantal gaten dat er uiteindelijk aanwezig blijkt te zijn. Mogelijke problemen zijn heel verschillend; het verschilt van bijvoorbeeld configuratiebestanden met gevoelige informatie die voor iedereen toegankelijk zijn tot het onjuist valideren van invoer waardoor SQL-injecties of cross site scripting mogelijk is. Problemen die in eerste instantie klein lijken kunnen door een handige hacker misbruikt worden om volledige toegang te krijgen tot een systeem.

Geautomatiseerde controles
Voor het controleren van systemen is software beschikbaar die controleert op bekende zwakheden en veiligheidsproblemen. Er zijn zowel systemen beschikbaar die een systeem van buitenaf controleren, als software die je op de server installeert en van binnenuit kan controleren waar mogelijke problemen zitten.

Een van de meest bekende en meest uitgebreide programma's voor geautomatiseerde controles is Nessus, een Open Source applicatie die zowel systemen van buitenaf als van binnenuit kan beoordelen. Je kunt dergelijke software ook als dienst afnemen, onder meer McAfee en Comodo bieden geautomatiseerde scans aan voor een vast bedrag per jaar, waarbij je ook een logo op uw website kunt plaatsen als er geen zwakheden zijn aangetroffen. Alhoewel dergelijke systemen alleen naar bekende problemen kijken en dus nooit alle zwakheden aan het licht zullen brengen, is in veel gevallen het eerste rapport dat je ontvangt toch redelijk schokkend en meestal aanleiding tot het nemen van een grote aantal stappen om de beveiliging op orde te krijgen. Het is uiteraard belangrijk dat je de resultaten serieus neemt; hackers beschikken over vergelijkbare tools en zullen dus ook dezelfde zwakheden vinden.

Neem  gerust contact met ons op voor een gratis systeem scan, we helpen hier graag mee. Het HackerProof systeem van Comodo kunnen we tegen een gereduceerd tarief aanbieden, maar er zijn ook vele alternatieven beschikbaar.

Handmatige controle
Een geautomatiseerde controle van een systeem is eenvoudig uit te voeren en zeker aan te raden, maar zal slechts een deel van de problemen aan het licht brengen. Als je ook andere gaten die hackers mogelijk tegen komen wilt dichten dan is het raadzaam om ook handmatig te zoeken naar problemen op het systeem, op dezelfde manier als een hacker dit zou doen. Onder meer OWASP, de Open Web Application Security Project, heeft veel informatie beschikbaar hoe je systemen op veiligheid kunt testen of beoordelen. Onder meer de volgende handleidingen zijn beschikbaar:

Voor het vinden van lekken is wel enige specialistische kennis vereist. Het kan daarom raadzaam zijn om deze scans, zogenaamde penetratietests, uit te laten voeren door een systeembeheerder, programmeur, of een specialist op dit gebied. Het uitvoeren van dergelijke tests is arbeidsintensief en deze specialisten zijn niet goedkoop, waardoor handmatige controles door specialisten vele malen duurder kunnen zijn dan de geautomatiseerde controles hierboven. Let wel goed op met wie je in zee gaat en geef niet zomaar gegevens uit handen.

Vul je informatie in en wij nemen contact op.

TOP