SSL-certificaten en HTTPS: wat is verplicht voor je webshop?

Kort antwoord: is SSL verplicht voor je webshop?

Een SSL-certificaat is niet altijd letterlijk wettelijk verplicht. Voor een webshop die persoonsgegevens verwerkt, is een beveiligde HTTPS-verbinding in de praktijk verplicht vanuit de AVG.

Bij inloggegevens, contactaanvragen of bestellingen wil je voorkomen dat die onderweg worden gelezen of gewijzigd; HTTPS is daarvoor een belangrijke technische maatregel.

De AVG schrijft geen type SSL-certificaat voor. Een vertrouwd en goed ingericht domeingevalideerd certificaat, zoals Let’s Encrypt, versleutelt de verbinding ook. Maak dus onderscheid tussen versleuteling (HTTPS) en een betaald certificaat: dat betaalde certificaat is niet automatisch verplicht.

AVG en artikel 32: wanneer moet je webshop beveiligen?

Artikel 32 AVG verplicht tot 'passende organisatorische en technische maatregelen' om persoonsgegevens te beschermen. Versleuteling wordt daarbij genoemd waar dat passend is.

Zodra een website formulieren bevat waarmee informatie kan worden achtergelaten — denk aan een forum, nieuwsbriefaanmelding of bestelling — kan het om data gaan waarvoor de AVG geldt. Volgens SIDN is SSL voor veel websites verplicht omdat er persoonsgegevens kunnen worden opgevraagd; een simpel formulier waarmee bezoekers informatie kunnen opvragen volstaat al. Ook als je alleen zaken doet met bedrijven, kan de naam van een contactpersoon een persoonsgegeven zijn.

De Autoriteit Persoonsgegevens (AP) legt boetes op wegens het niet naleven van de AVG als persoonsgegevens op een onbeveiligde website worden ingevuld. Zo legde de AP een boete van 12.000 euro op aan een orthodontiepraktijk wegens een onbeveiligde patiëntenwebsite.

Voordelen en beperkingen van SSL-certificaten

Wat HTTPS wel en niet regelt voor je webshop

HTTPS versleutelt de verbinding tussen browser en server. SSL is de populaire naam voor het TLS-protocol: gegevens die tussen systemen worden overgedragen blijven onleesbaar en criminelen kunnen ze niet lezen of aanpassen.

Dat geldt voor namen, adressen, creditcardnummers en andere gegevens die klanten in een webshop invoeren. HTTPS is echter alleen transportbeveiliging.

Een certificaat maakt je webshop niet automatisch AVG-proof: kijk daarnaast naar toegangsrechten, updates, de gegevens die je verzamelt, bewaartermijnen en afspraken met verwerkers. Welke maatregelen nodig zijn, hangt af van de verwerking; laat bijzondere of gevoelige verwerkingen zo nodig juridisch beoordelen.

Welk SSL-certificaat heb je nodig: DV, OV of EV?

Er zijn drie validatieniveaus. Domeinvalidatie (DV) controleert alleen de domeinnaam. Organisatievalidatie (OV) controleert daarnaast ook bedrijfsgegevens.

Uitgebreide validatie (EV) controleert domeinnaam, bedrijfsgegevens en de opgegeven contactpersoon van de organisatie; volgens de bron kan de bedrijfsnaam dan in een groene adresbalk zichtbaar zijn. OV en EV voegen vooral extra identiteitscontrole toe.

Vergelijking van SSL-certificaatvalidatieniveaus

Praktische inrichting: hele site HTTPS, checkout en formulieren

Bied de hele site via HTTPS aan, niet alleen de betaalpagina. SIDN stelt dat je voor hogere Google-posities SSL op je hele website moet gebruiken; alleen SSL op de betaalpagina telt dan niet.

Het 'Always on SSL'-principe betekent dat niet alleen pagina’s waar bezoekers gegevens achterlaten worden beveiligd, maar de gehele website. Richt daarvoor redirects in van HTTP naar HTTPS, zodat bezoekers en zoekmachines op de beveiligde versie uitkomen.

Voorkom gemengde content: laad afbeeldingen, scripts, stylesheets en formulieren over HTTPS, anders kan de browser de verbinding alsnog als onveilig aanmerken. Beveilig contactformulieren, inlogpagina’s en de checkout met HTTPS.

Regel certificaatvernieuwing goed, bijvoorbeeld automatisch of met een kalenderherinnering, zodat het certificaat niet ongemerkt verloopt.

Druk vanuit browsers, zoekmachines en keurmerken

Browsers en zoekmachines geven extra druk om HTTPS te gebruiken. SIDN meldde dat Google Chrome vanaf juli 2018 websites zonder SSL zou markeren als ‘niet veilig’; eerder gebeurde dat met een i-teken in een rondje.

Een goed SSL-certificaat telt mee in de SEO-ranking van Google; het type certificaat is daarbij niet van belang, maar je moet het wel op je hele website gebruiken. Veel webwinkelkeurmerken erkennen de wettelijke beveiligingsplicht als uitgangspunt en verplichten hun leden SSL te gebruiken.

SIDN telde in Nederland 3,5 miljoen unieke .nl-websites, waarvan ruim 1,5 miljoen (42,8%) een SSL-certificaat had.

SSL-gebruik onder .nl-websites in Nederland

Belangrijke momenten in de versleuteling van websites

Checklist en conclusie voor je webshop

Minimaal voor een webshop: een geldig SSL-certificaat, de volledige site via HTTPS (inclusief formulieren en checkout), correcte redirects van HTTP naar HTTPS, geen gemengde content en geregeld certificaatbeheer met tijdige vernieuwing.

De wettelijke kern is echter niet ‘koop een bepaald certificaat’, maar ‘bescherm persoonsgegevens passend’.