HTTPS gebruiken voor je domein

HyperText Transfer Protocol (HTTP) is een verzameling regels die bepalen hoe browsers gegevens op internet moeten lezen en overzetten. Als een URL 'http' bevat, weet de browser dat de webpagina volgens dit protocol moet worden geladen.

HTTPS is bijna hetzelfde als HTTP, alleen krijgt de browser ook de instructie om de gegevens die met een webpagina worden uitgewisseld, te versleutelen. Versleuteling zorgt ervoor dat gegevens verborgen blijven en verkleint de kans dat ze worden bekeken of bewerkt. Dat is belangrijk als er gevoelige gegevens via een website worden verwerkt, zoals persoonsgegevens of financiële informatie.

HTTPS instellen

Als je HTTPS wilt gebruiken voor je domeinnaam, moet je een SSL- of TLS-certificaat installeren op je website. Misschien biedt je webhost (webhostingprovider) HTTPS-beveiliging. Anders kun je bij een certificeringsinstantie een SSL/TLS-certificaat aanvragen en zelf installeren. SSL/TLS-certificaten moeten regelmatig worden verlengd.

Je hebt verschillende soorten webservers. Elke server heeft een eigen proces om SSL/TLS-certificaten te installeren en te updaten. Zorg dat je weet welke webserver je website gebruikt, zodat je de juiste instructies volgt om je certificaat te installeren en te updaten.

HTTPS via webhosts

De volgende Google-services bieden, installeren en verlengen SSL/TLS-certificaten automatisch, zonder extra kosten:

Ook veel webhosts van derden bieden, installeren en vernieuwen SSL/TLS-certificaten. Je kunt elke webhost gebruiken in combinatie met Google Domains, zoals Bluehost, Shopify, Squarespace, Weebly en Wix.

Meer informatie over hoe je een webhost koppelt en HTTPS instelt

Een SSL/TLS-certificaat aanvragen bij een certificeringsinstantie (CA)

Als je webhost geen HTTPS-beveiliging biedt, kun je een SSL/TLS-certificaat voor je domein aanvragen bij een certificeringsinstantie (CA). Google heeft een eigen CA, Google Trust Services. Voor Google Domains-klanten: volg de instructies op de pagina Beveiliging van je domein om een certificaat aan te vragen bij Google Trust Services.

Let's Encrypt is een andere populaire CA die certificaten aanlevert om een veiliger internet te maken.

Nadat je het certificaat hebt ontvangen, moet je samenwerken met je webhost om het te installeren. Als je de site op je eigen servers host, lees je hier hoe je HTTPS aanzet. Als je het ACME-protocol (Automatic Certificate Management Environment) gebruikt om je certificaten te beheren, volg je de stappen hieronder om certificaten te beheren met ACME en DNS.

Zo vraag je een certificaat aan bij Google Trust Services:

Log in bij Google Domains.
Selecteer het domein waarvoor je een certificaat wilt aanvragen.
Tik linksboven op Menu Beveiliging.
Vouw de optie Google Trusted Services uit in de sectie SSL/TLS-certificaten voor je domein.
Klik op EAB-sleutel ophalen.
- Er wordt een dialoogvenster geopend met 2 waarden: ID van EAB-sleutel en EAB HMAC-sleutel.
  - Kopieer beide waarden door op de knop Kopiëren naast elke waarde te klikken.
  - Gebruik deze 2 waarden om een account te registreren bij Google Trust Services. Bij elke implementatie van een ACME-client moet je de EAB-sleutel net iets anders opgeven. Raadpleeg de documentatie voor de ACME-client die je wilt gebruiken.
    - Hier is een voorbeeld van een configuratie met de populaire ACME-client Certbot.
      1. Zo registreer je een account:
        
        certbot register --email <CONTACT_EMAIL> --no-eff-email --server "https://dv.acme-v02.api.pki.goog/directory" --eab-kid "<EAB_KEY_ID>" --eab-hmac-key "<EAB_HMAC_KEY>"
      2. Nadat het account is gemaakt, kun je certificaten uitgeven door het volgende uit te voeren:
        
        certbot certonly -d <YOUR_DOMAIN> --server "https://dv.acme-v02.api.pki.goog/directory" --standalone

Certificaten beheren met ACME en DNS

ACME (Automatic Certificate Management Environment) is een veelgebruikt protocol om het beheer van certificaten tussen een certificeringsinstantie (CA) en een server te automatiseren. Dankzij de automatisering hebben gebruikers een kleinere kans op uitval die ontstaat doordat ze hun HTTPS-certificaten niet kunnen verlengen.

Het ACME-protocol maakt gebruik van DNS-challenges om te bewijzen dat je de eigenaar bent van een domeinnaam. De DNS-servers van Google Domains ondersteunen DNS-01-challenges met API-tokens.

Zo maak je een API-token:

Log in bij Google Domains.
Selecteer het domein dat je wilt gebruiken.
Tik linksboven op Menu Beveiliging.
Tik in de sectie ACME DNS API op Token maken.
BELANGRIJK: Deze waarde wordt maar één keer getoond. Als je het dialoogvenster sluit, verdwijnt deze API-token. Iedereen die de token heeft, kan bepaalde DNS-records voor je domein aanpassen. Bewaar de token daarom op een veilige plek.
- Er wordt een dialoogvenster geopend met een API-token.
  - Je hebt deze API-token nodig voor je ACME-client.
  - Tik op de knop Kopiëren naast de API-token om de waarde te kopiëren.
  - Als je het dialoogvenster hebt gesloten zonder deze waarde op te slaan, kun je de API-token eenvoudig verwijderen en een nieuwe maken.
  - Er kan een limiet van 10 API-tokens per domein bestaan.
  - Nadat het dialoogvenster is gesloten, staat er een record in de lijst. Als je de toegang wilt intrekken, kun je deze token altijd verwijderen.
  - De API-token kan worden gebruikt in een ACME-client die werkt met de ACME DNS API van Google Domains. Bij elke implementatie van een ACME-client moet je de API-token net iets anders opgeven. Raadpleeg de documentatie voor de ACME-client die je wilt gebruiken.

Lijst met bekende ACME-clients die met de ACME DNS API werken

Je SSL/TLS-certificaten waarborgen

HTTPS helpt man-in-the-middle aanvallen (MitM) voorkomen, maar als iemand je SSL/TLS-certificaat kan nabootsen, zijn die aanvallen nog steeds mogelijk. Je kunt dit voorkomen door na te gaan of er certificaten voor je website zijn uitgegeven die je niet herkent. Je kunt ook beperken wie certificaten kan uitgeven voor je domein met CAA-resourcerecords (Certification Authority Authorization).

Certificaten bekijken die voor je domein zijn uitgegeven

Op censys.io kun je de certificaten bekijken die voor je domein zijn uitgegeven.

CAA-resourcerecords toevoegen aan je domein