SSL-certificaat activeren, vernieuwen en problemen oplossen

Met een SSL-certificaat is je website bereikbaar via https, met een slotje in de adresbalk. Bij WebOké krijg je een gratis Let's Encrypt-certificaat dat vanzelf wordt verlengd. Hieronder lees je hoe je het aanzet, hoe het zit met subdomeinen en wat je doet als het certificaat verlopen is of je site toch 'niet veilig' toont.

Nieuwe domeinen krijgen meestal vanzelf een certificaat, binnen een paar uur nadat het domein naar onze server wijst. Zie je geen slotje? Dan zet je het in DirectAdmin zelf aan.

Zo zet je het certificaat aan

1. Log in op DirectAdmin: ga in Mijn WebOké naar Mijn Producten en klik bij je hostingpakket op DirectAdmin.
2. Klik onder Accountbeheer op SSL/TLS certificaten. Heb je meer domeinen, kies het domein dan rechtsboven.
3. Op het tabblad Certificaten beheren zie je of er al een certificaat is. Staat er dat het ACME-systeem is uitgeschakeld? Ga dan naar het tabblad ACME instellingen.
4. Zet ACME inschakelen aan, laat de andere instellingen staan en klik onderaan op Wijzigingen opslaan.
5. Ga terug naar Certificaten beheren en klik bij Automatische certificaat verstrekking op Nu aanvragen. Bevestig de vraag.

De aanvraag loopt op de achtergrond en duurt meestal een paar minuten. Daarna staat het certificaat in de Certificaatlijst. Het geldt voor je domein, www en ook mail, ftp, pop en smtp, en DirectAdmin verlengt het vanzelf. Klik je niet op Nu aanvragen, dan doet DirectAdmin het zelf binnen 24 uur.

Een certificaat voor een subdomein

Een subdomein, zoals shop.jouwdomein.nl, krijgt vanzelf een eigen plek in het certificaat. Je hoeft er niets apart voor te bestellen.

• Maak het subdomein aan in Subdomein Beheer en zorg dat het in de DNS naar onze server wijst.
• DirectAdmin vraagt het certificaat aan bij de volgende automatische ronde, binnen 24 uur. Wil je niet wachten, klik dan in SSL/TLS certificaten op Nu aanvragen.
• Zie je op het subdomein een certificaat op naam van de server (zoals linux2023.webawere.nl), of een melding dat de naam niet klopt? Dan heeft het subdomein nog geen eigen certificaat. Controleer de DNS en vraag het opnieuw aan.
• Een wildcardcertificaat (*.jouwdomein.nl) kan alleen als de DNS van je domein bij WebOké staat (ns1.webawere.nl en ns2.webawere.nl). Staat je DNS ergens anders, zoals bij Cloudflare, zet dan in ACME instellingen de schakelaar Geef de voorkeur aan wildcard certificaten uit. Je krijgt dan een certificaat met de losse namen, en dat werkt net zo goed.

Meer hierover lees je in Certificaat voor www, subdomeinen en wildcard. Werkt het subdomein zelf nog niet, lees dan Aangemaakt subdomein werkt niet.

Lukt het aanvragen niet?

Staat er een lijst onder Mislukte HTTP controles? Dan kan Let's Encrypt die namen niet controleren. Meestal wijst het domein (nog) niet naar onze server, bijvoorbeeld omdat een verhuizing nog loopt of de DNS elders staat. Na een DNS-wijziging duurt het soms een paar uur voordat het certificaat kan worden aangevraagd. Met Domein gezondheid zie je snel of je domein naar ons wijst.

Staat alleen mail, ftp, pop of smtp in de lijst, en staat je e-mail ergens anders? Dan is dat geen probleem: je website krijgt gewoon een certificaat.

Certificaat verlopen of niet vernieuwd?

DirectAdmin verlengt het certificaat vanzelf, maar daarvoor moet Let's Encrypt je domein elke keer opnieuw kunnen controleren. Is het certificaat verlopen, dan is die controle mislukt. Loop deze punten na:

1. Wijst je domein nog naar ons? Controleer het A-record en ook het AAAA-record (IPv6). Wijst een van de twee naar een andere server, dan mislukt de controle. Zie Hoe controleer ik of mijn domein naar de juiste server verwijst?
2. Gebruik je de proxy van Cloudflare? Staat het oranje wolkje aan, zet het dan tijdelijk uit (grijs wolkje) tot het certificaat er is.
3. Staat er een CAA-record in je DNS? Dan moet letsencrypt.org erin staan. Voeg het toe of verwijder het CAA-record.
4. Blokkeert je website de controle? Let's Encrypt haalt een bestand op uit de map /.well-known/acme-challenge/. Een eigen regel in .htaccess, een beveiligingsplugin of een map met een wachtwoord kan dat tegenhouden. Haal zo'n regel tijdelijk weg of maak een uitzondering voor .well-known.
5. Heb je ooit een eigen certificaat geüpload? Is dat verlopen of past het niet bij de naam, verwijder het dan in de Certificaatlijst. Dan kan DirectAdmin weer een gratis certificaat aanvragen.
6. Vraag het certificaat opnieuw aan met Nu aanvragen, nadat je de oorzaak hebt opgelost.

Alle meldingen en oplossingen op een rij vind je in Let's Encrypt lukt niet: oorzaken en oplossingen.

Certificaat actief, toch 'niet veilig'?

Werkt je certificaat, maar toont de browser geen slotje of de melding 'niet veilig'? Dan is het meestal een van deze oorzaken:

• Mixed content: je pagina laadt nog afbeeldingen, lettertypen of scripts via http://. Druk in je browser op F12 en open het tabblad Console. Daar staan meldingen met Mixed Content en het adres van elk onderdeel dat nog via http laadt. Vervang die adressen door https://.
• De naam zit niet in het certificaat: je opent bijvoorbeeld www, een domeinpointer of een doorgestuurd domein dat geen certificaat heeft. Klik op het pictogram links van het adres en bekijk voor welke naam het certificaat is. Zorg dat die naam naar ons wijst en vraag het certificaat opnieuw aan.
• Je opent de site via http: stuur bezoekers automatisch naar https. Lees Bezoekers verplicht doorsturen naar https.

Hoe je mixed content in WordPress en andere websites oplost, lees je in Geen slotje of 'niet veilig': mixed content oplossen.

Kom je er niet uit?

Vraag de AI-assistent in Mijn WebOké om je certificaat te controleren, of maak een ticket aan. Vermeld je domeinnaam en wat je ziet bij Mislukte HTTP controles.

Uitgebreide uitleg met schermafbeeldingen: Een gratis Let's Encrypt-certificaat aanvragen in de DirectAdmin-handleiding.