Gids · Beveiliging & HTTPS
Website „niet veilig”? Oorzaak vinden en blijvend oplossen.
In plaats van een onopvallend icoon staat er „Niet veilig” naast uw adres – of bezoekers krijgen meteen een waarschuwing over de hele pagina. Dat ziet er alarmerend uit, maar er zit bijna altijd een overzichtelijke technische oorzaak achter. Deze gids legt uit wat de waarschuwing betekent, waar ze vandaan komt en hoe u er blijvend vanaf komt.
- Oorzaken helder uitgelegd
- Oplossing stap voor stap
- Certificaat blijvend in beeld
- Stand: oktober 2026
Wat de waarschuwing „Niet veilig” betekent.
De melding zegt niets over de vraag of uw website gehackt is. Ze gaat over de verbinding tussen browser en server: is die niet versleuteld via HTTPS, dan kunnen derden – bijvoorbeeld op openbare wifi – meelezen of inhoud wijzigen. Hoe de waarschuwing eruitziet, hangt af van de browser:
- Chrome toont bij pagina’s zonder HTTPS „Niet veilig” naast het adres. Google heeft aangekondigd dat met Chrome 154 beveiligde verbindingen voor alle gebruikers de standaard worden: Chrome vraagt dan vóór het eerste bezoek aan een openbare site zonder HTTPS om bevestiging.
- Firefox markeert onversleutelde pagina’s met een rood doorgestreept slotje.
- Safari toont bij onversleutelde verbindingen doorgaans een waarschuwing in de adresbalk.
Iets anders is de waarschuwing over de hele pagina dat de verbinding niet privé is. Die verschijnt als het certificaat niet klopt – bijvoorbeeld omdat het verlopen is of niet bij het adres past. Bezoekers moeten die actief wegklikken om uw site überhaupt te bereiken. De Chrome Help van Google legt de meldingen uitgebreid uit.
De vijf meest voorkomende oorzaken.
Achter de waarschuwing zit bijna altijd een van deze oorzaken, soms meerdere tegelijk. Overigens: „SSL” is de oudere naam, technisch wordt tegenwoordig TLS bedoeld.
1. Geen SSL/TLS-certificaat: de website is alleen via http:// bereikbaar – typisch voor oudere sites waar lang niemand naar heeft gekeken.
2. Verlopen certificaat: certificaten zijn beperkt geldig. Mislukt de automatische verlenging, bijvoorbeeld na een hostingwissel of gewijzigde DNS-instellingen, dan zien bezoekers de paginagrote waarschuwing.
3. Certificaat past niet bij het domein: het geldt alleen voor „uwbedrijf.nl”, maar bezoekers komen via „www.uwbedrijf.nl” – of andersom. Hetzelfde geldt voor subdomeinen en extra domeinen.
4. Mixed content: de pagina laadt via HTTPS, maar haalt sommige afbeeldingen, scripts of lettertypen nog via http:// op. Onveilige scripts blokkeren browsers doorgaans; afbeeldingen worden afhankelijk van de browser omgezet of niet geladen. Typisch na een overstap waarbij vast ingevoerde adressen over het hoofd zijn gezien.
5. Ontbrekende doorverwijzing: het certificaat is er, maar het http-adres blijft zonder doorverwijzing werken. Wie via een oude bladwijzer of een externe link komt, belandt op de onveilige variant.
Waarom de waarschuwing u schaadt.
Vertrouwen: veel bezoekers kunnen „Niet veilig” niet plaatsen – ze zien alleen dat hun browser waarschuwt. Wie meerdere bedrijven vergelijkt, klikt bij twijfel door.
Formulieren en privacy: contactformulieren, logins of bestellingen versturen persoonsgegevens, zonder HTTPS onversleuteld. De AVG vereist passende technische beveiligingsmaatregelen (art. 32) – daar past dat nauwelijks bij.
Google: Google heeft HTTPS in 2014 ingevoerd als uitdrukkelijk licht rankingsignaal en vraagt in zijn richtlijnen voor paginabeleving of pagina’s veilig worden aangeboden. HTTPS alleen brengt u niet naar boven – maar ontbrekende versleuteling is een vermijdbaar nadeel.
Zo lost u het op – stap voor stap.
De volgorde telt: eerst het certificaat, dan de doorverwijzing, dan het opruimen.
1. Certificaat activeren bij uw hostingprovider. Veel hostingproviders bieden gratis Let’s Encrypt-certificaten aan die u in het klantenpaneel inschakelt en die automatisch worden verlengd. Het certificaat moet alle gebruikte varianten dekken – met en zonder „www”.
2. 301-doorverwijzing instellen. Elk http-adres verwijst permanent door naar het bijbehorende https-adres – pagina voor pagina, niet alles naar de homepage. Kies één hoofdvariant (met of zonder „www”) en verwijs de andere daarheen door.
3. Mixed content oplossen. De console in de ontwikkelaarstools van uw browser laat zien welke inhoud nog via http:// laadt. Zet in uw CMS het websiteadres op https en vervang vast ingevoerde links in content, thema en plugins. web.dev over mixed content legt de achtergrond uit.
4. Interne verwijzingen bijwerken. Interne links, canonical-tags, hreflang-tags en de XML-sitemap moeten direct naar https-adressen wijzen. Pas ook uw Google Bedrijfsprofiel en social-mediaprofielen aan.
5. Search Console bijwerken. Een domeinproperty dekt http en https samen; u kunt ook de https-variant als eigen property toevoegen en de sitemap opnieuw indienen. Volgens de handleiding van Google voor websiteverhuizingen hebt u de tool voor adreswijziging hiervoor niet nodig.
6. Controleren. Open alle vier varianten – http en https, telkens met en zonder „www”. Ze moeten allemaal op hetzelfde https-adres uitkomen, zonder waarschuwing. Test daarna uw contactformulier.
De vervaldatum van het certificaat in de gaten houden.
Sinds 15 maart 2026 mogen publiek vertrouwde certificaten maximaal 200 dagen geldig zijn. Na een besluit van het CA/Browser Forum daalt de grens vanaf maart 2027 naar 100 en vanaf maart 2029 naar 47 dagen. Let’s Encrypt geeft momenteel standaard certificaten van 90 dagen uit en heeft eveneens kortere looptijden aangekondigd. Handmatig vernieuwen is daarmee geen optie meer. Wat u nodig hebt:
- Automatische verlenging – opnieuw gecontroleerd na elke wijziging aan domein of DNS
- Monitoring die waarschuwt voordat een certificaat verloopt of als een verlenging mislukt
- Een duidelijke verantwoordelijke: wie krijgt de melding, en wie reageert?
- Regelmatig een blik op alle domeinen en subdomeinen, ook zelden gebruikte
Wanneer u hulp moet inschakelen.
Biedt uw hostingprovider het certificaat met één klik aan, dan lukt de overstap vaak zelf. Hulp loont als de waarschuwing ondanks certificaat blijft, mixed content diep in thema of database zit, u geen toegang tot hosting of domein hebt – of als aanvragen en bestellingen via uw website lopen.
Bij de gratis website-check bekijk ik uw website persoonlijk en vertel ik u eerlijk wat er moet gebeuren. Wilt u het onderwerp blijvend uit handen geven: bij websitebeheer neem ik het doorlopende technische beheer over – op verzoek met monitoring –, zodat een verlopen certificaat niet eerst uw klanten opvalt.
Veelgestelde vragen.
Kost een SSL-certificaat geld?
Niet per se. Veel hostingproviders bieden gratis Let’s Encrypt-certificaten met automatische verlenging aan. Voor een gewone bedrijfswebsite volstaan die. Betaalde certificaten verschillen vooral in de controle van het bedrijf en in de service, niet in de versleuteling.
Ik heb een certificaat – waarom toont de browser toch „Niet veilig”?
Meestal komt het door mixed content, dus afbeeldingen of scripts die nog via http:// laden, of door een ontbrekende doorverwijzing naar https. Ook een certificaat dat alleen de variant zonder „www” dekt, veroorzaakt waarschuwingen. De browserconsole laat doorgaans zien waar het aan ligt.
Verlies ik posities in Google als ik overstap op HTTPS?
Bij een nette uitvoering doorgaans niet. Google behandelt de overstap als een websiteverhuizing; permanente 301-doorverwijzingen leiden volgens Google niet tot verlies van PageRank. Tijdelijke schommelingen zijn mogelijk terwijl Google de nieuwe adressen verwerkt.
Betekent „Niet veilig” dat mijn website gehackt is?
Nee. De waarschuwing gaat alleen over de verbinding. Ontdekt Google daarentegen malware of phishing, dan markeert Chrome de site als gevaarlijk en toont een rode waarschuwing over de hele pagina – een ander probleem dat direct opgelost moet worden.
Hoe vaak moet het certificaat worden vernieuwd?
Openbare certificaten zijn sinds maart 2026 maximaal 200 dagen geldig, vanaf maart 2027 maximaal 100 en vanaf maart 2029 maximaal 47 dagen. Waar het om gaat, is automatische verlenging met bewaking, niet het precieze ritme.
Wilt u dat de waarschuwing verdwijnt – en wel blijvend?
Ik bekijk uw website persoonlijk en vertel u eerlijk waar het knelt en wat er moet gebeuren. Gratis en vrijblijvend.
