Blijft je slotje (https) behouden bij een overstap?

Waarom dit bij een overstap om de hoek komt kijken

Het slotje voor in de adresbalk voelt als een vast onderdeel van je website, alsof het er altijd hoort te zijn zodra je domeinnaam bestaat. In werkelijkheid is het slotje het bewijs van een los onderdeel: een beveiligingscertificaat (ook wel SSL- of TLS-certificaat genoemd) dat specifiek is uitgegeven voor de plek waar je website op dat moment draait. Verhuis je naar een andere websitebouwer of een andere hostingpartij, dan verhuist dat certificaat niet automatisch mee. Er moet voor de nieuwe plek een nieuw certificaat komen te staan, anders ziet de bezoeker geen slotje meer, of erger: een waarschuwingsscherm.

Het slotje zelf verandert niet van betekenis

Voor je bezoeker blijft het slotje hetzelfde ding betekenen: het verkeer tussen zijn browser en je website is versleuteld. Wat verandert, is wie dat certificaat beheert en of die overdracht netjes gebeurt. Bij een goede overstap merkt een bezoeker daar helemaal niets van.

Wat er technisch gebeurt bij de overstap

Een overstap naar een nieuwe website gaat meestal gepaard met een verhuizing van je domeinnaam naar andere nameservers, zodat je domeinnaam naar de nieuwe hosting wijst. Op het moment dat die wijziging actief wordt, moet de nieuwe omgeving klaarstaan met een geldig certificaat voor jouw domeinnaam. De meeste moderne hostingpartijen en websitebouwers regelen dit automatisch via een gratis certificaat (bijvoorbeeld van Let's Encrypt) zodra ze zien dat het domein bij hen binnenkomt. Dat gebeurt doorgaans zonder dat je er zelf iets voor hoeft te doen, maar het is wel iets waar je vooraf naar mag vragen.

Het lastige moment: de overgangsperiode

Lastiger wordt het als je domeinnaam en je website niet op exact hetzelfde moment overgaan, bijvoorbeeld omdat de DNS-wijziging wereldwijd nog moet doorkomen. In die overgangsperiode kan het voorkomen dat bezoekers soms op de oude site belanden en soms op de nieuwe, elk met hun eigen certificaat. Dat is meestal onschuldig en van korte duur, maar het is wel een moment waarop dingen mis kunnen gaan als niemand erop let.

Wat er mis kan gaan

De meest voorkomende problemen zijn goed te voorkomen als je ze kent.

Geen certificaat op de nieuwe omgeving

Als de nieuwe hosting live gaat voordat het certificaat geactiveerd is, ziet een bezoeker een waarschuwing dat de verbinding niet veilig is. Dat jaagt bezoekers weg en kan ook je vindbaarheid in Google schaden, want Google waardeert een werkend slotje.

Gemengde inhoud (mixed content)

Soms verwijst een pagina nog naar oude afbeeldingen of bestanden via het onbeveiligde http in plaats van https. De pagina zelf heeft dan wel een slotje, maar de browser waarschuwt dat niet alles op de pagina beveiligd is. Dit gebeurt vaker als content letterlijk is overgezet uit een oude website zonder dat de links zijn bijgewerkt.

Een verlopen certificaat

Certificaten hebben een geldigheidsduur en moeten automatisch vernieuwd worden. Bij een overstap kan dat proces soms niet goed worden ingesteld, waardoor het certificaat na verloop van tijd alsnog verloopt.

Wat je vooraf kunt regelen

Je hoeft dit niet zelf technisch te kunnen oplossen, maar je kunt er wel vooraf naar vragen bij wie je site bouwt of host. Vraag of het certificaat automatisch wordt aangemaakt zodra je domeinnaam overkomt, en vraag wie verantwoordelijk is als het na de livegang alsnog misgaat. Test na de livegang zelf even of het slotje zichtbaar is, en klik er eventueel op om te zien of de gegevens kloppen. Dat kost je enkele minuten en voorkomt dat een bezoeker het probleem eerder ontdekt dan jij.