Meer dan een slotje
HTTPS klinkt als een vinkje. Groen slotje, klaar. Maar online veiligheid is meer dan encryptie.
Deze blog legt uit wat HTTPS eigenlijk is, waar het je site wel beschermt en waar niet. En vooral: hoe wij bij Forge zorgen dat veiligheid geen add-on is, maar standaard in je product zit.
Wat HTTPS precies doet
HTTPS staat voor HyperText Transfer Protocol Secure. Het is de beveiligde versie van HTTP, het protocol waarmee je browser en server met elkaar praten.
Wat HTTPS concreet doet:
- Versleuteling: alle data tussen browser en server wordt gecodeerd verzonden. Niemand kan meekijken.
- Authenticatie: je weet zeker dat je met de juiste server communiceert. Geen tussenpersonen of spoofing.
- Integriteit: de data die je ontvangt of verstuurt wordt niet onderweg aangepast.
Zonder HTTPS kunnen wachtwoorden, formulierdata en sessiegegevens onderschept worden. Met HTTPS is die communicatie afgeschermd.
Wat HTTPS niet doet
HTTPS voorkomt geen kwetsbaarheden in je code. En het beschermt niet tegen alles.
Wat HTTPS bijvoorbeeld niet doet:
- XSS of SQL-injecties voorkomen
- Beheer van je hostingomgeving beveiligen
- Kwetsbaarheden in third-party scripts oplossen
- Je back-end infrastructuur afschermen
Met andere woorden: HTTPS is essentieel, maar niet voldoende. Het is een voorwaarde, geen garantie.
Waarom alleen een certificaat niet genoeg is
Veel sites hebben een SSL-certificaat, maar zijn technisch nog steeds kwetsbaar. Bijvoorbeeld door:
- Verlopen certificaten
Geen monitoring of automatische vernieuwing. Plots een onveilige site. - Mixed content
Je laadt scripts of afbeeldingen over HTTP, waardoor alsnog beveiligingsrisico’s ontstaan. - Geen HSTS
Zonder HTTP Strict Transport Security kunnen browsers alsnog proberen verbinding te maken via onveilige routes. - Gebrekkige redirects
Niet alle HTTP-verkeer wordt automatisch naar HTTPS omgeleid. Een gemiste kans op veiligheid én SEO.
Zeker bij grote platformen of contentrijke sites zie je deze fouten vaak sluipen.
Hoe Forge websites veilig maakt by default
Bij Forge zit security niet aan het eind van het traject, maar in elk onderdeel van ons proces. We bouwen producten die veilig zijn – zonder dat het extra werk vraagt van jou als opdrachtgever.
Onze aanpak:
- Automatische certificaatvernieuwing via Let's Encrypt of eigen infrastructuur
- Strikte redirect policies die altijd naar HTTPS leiden
- HSTS standaard geactiveerd, zodat browsers geen onveilige verbindingen proberen
- Security headers zoals Content-Security-Policy en X-Frame-Options ingesteld per project
- Minimale third-party afhankelijkheden, altijd gecontroleerd op betrouwbaarheid
- Logging en monitoring gestructureerd ingericht, met rechten en bewaartermijnen
Of het nu gaat om een marketingwebsite of een maatwerkplatform: veiligheid is geen keuzeoptie, maar ingebouwd.
Checklist: wat kun je zelf doen?
Wil je snel checken hoe veilig je site is? Dit kun je meteen nagaan:
- Draait je site volledig op HTTPS, zonder mixed content?
- Wordt HTTP automatisch doorgestuurd naar HTTPS?
- Is je certificaat nog geldig én goed ingesteld?
- Gebruik je HSTS, security headers en CORS-beleid?
- Heb je third-party scripts in beeld en echt nodig?
Samenvattend
HTTPS is de basis. Maar echte veiligheid vraagt meer. Denk aan beleid, technische inrichting en constante checks.
Bij Forge zorgen we dat die veiligheid standaard is. In het ontwerp, de code en de infrastructuur.
Nieuw project of bestaande site? We denken graag mee. Want een veilige site is geen nice-to-have: het is de norm.