Definitie
HTTPS is HTTP over een versleutelde TLS-verbinding. Het beschermt data tussen browser en server, is een licht rankingsignaal en voor webshops gewoon verplicht.
Wat is HTTPS?
HTTPS is de versleutelde variant van HTTP. Browser en server zetten met een TLS-certificaat een beveiligde verbinding op. Dat levert drie dingen: versleuteling (niemand kan meelezen), integriteit (niemand kan onderweg iets aanpassen) en authenticatie (je praat echt met het juiste domein).
In de volksmond heet dit vaak nog 'SSL'. SSL is de voorganger van TLS en wordt niet meer gebruikt, maar de naam is gebleven.
Waarom het ertoe doet voor webshops
Google gebruikt HTTPS sinds 2014 als licht rankingsignaal. Belangrijker: Chrome en andere browsers markeren HTTP-pagina's als 'Niet beveiligd', en dat label naast je checkout kost vertrouwen. Voor betalingen en klantaccounts is versleuteling sowieso een eis.
Ook technisch kun je niet zonder. HTTP/2 en HTTP/3 werken in browsers alleen over HTTPS, en functies als service workers vereisen een beveiligde verbinding. Zonder HTTPS mis je dus ook snelheidswinst.
HTTPS is ook een voorwaarde voor vertrouwen bij betaalproviders en voor functies als Apple Pay en Google Pay in de browser. Een shop zonder volledige HTTPS kan die betaalmethoden niet goed aanbieden.
Zo werkt het in Magento, Shopify en Laravel
Shopify regelt certificaten automatisch voor alle gekoppelde domeinen en stuurt verkeer standaard naar HTTPS. Daar hoef je weinig te doen.
In Magento staan de base URL's in de configuratie (web/secure/base_url en web/unsecure/base_url, per website of store view). Zet beide op https:// en zet 'Use Secure URLs on Storefront' aan. De redirect van HTTP naar HTTPS en de HSTS-header regel je in de webserver of de hosting. Bij Laravel stel je APP_URL in op https en dwing je HTTPS af in de webserver of middleware.
Een certificaat verloopt. Gebruik automatische verlenging en monitor het, want een verlopen certificaat legt je shop direct plat met een browserwaarschuwing.
Zet na de overstap ook een HSTS-header. Daarmee onthoudt de browser dat je domein alleen over HTTPS bereikbaar is en slaat hij de redirect vanaf HTTP voortaan over. Begin met een korte max-age en verhoog die als alles stabiel draait.
Veelgemaakte fouten
Overstappen van HTTP naar HTTPS is voor Google een URL-wijziging. Elke HTTP-URL moet met een 301 naar exact dezelfde HTTPS-URL, niet naar de homepage. Canonicals, hreflang, interne links en de XML-sitemap moeten allemaal naar HTTPS wijzen.
Mixed content is de tweede klassieker: een HTTPS-pagina die afbeeldingen of scripts over HTTP laadt. Browsers blokkeren dat of tonen een waarschuwing. Zoek in CMS-blokken en productbeschrijvingen naar hardcoded http://-URL's. En vermijd ketens als http://voorbeeldshop.nl → https://voorbeeldshop.nl → https://www.voorbeeldshop.nl: stuur in één stap naar de definitieve variant.
Controleer ook je externe koppelingen. Productfeeds, Merchant Center, betaalproviders en e-mailtemplates verwijzen vaak nog naar oude http-URL's. Elke redirect die je daar voorkomt, scheelt laadtijd en voorkomt ketens.
Nginx: in één stap naar HTTPS + www
server {
listen 80;
server_name voorbeeldshop.nl www.voorbeeldshop.nl;
return 301 https://www.voorbeeldshop.nl$request_uri;
}
# in het server-blok op poort 443:
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;Verder lezen
Gerelateerde begrippen
Veelgestelde vragen
Levert HTTPS hogere posities op?+
Het is een licht signaal. Je gaat er niet van stijgen, maar zonder HTTPS loop je achter en verlies je vertrouwen van bezoekers.
Moet ik na de overstap iets doen in Search Console?+
Met een domeineigendom (Domain property) worden HTTP en HTTPS samen gemeten. Dien wel de nieuwe HTTPS-sitemap in en controleer of de oude URL's met een 301 doorsturen.