HTTP is niet veilig omdat het alle gegevens onversleuteld verstuurt. Alles wat een bezoeker op een HTTP-website invult of ontvangt, zoals wachtwoorden, contactgegevens of betaalinformatie, reist als leesbare tekst over het internet. Iedereen met toegang tot het netwerk kan die gegevens onderscheppen en lezen. In dit artikel beantwoorden we de meest gestelde vragen over HTTP, HTTPS en wat je als website-eigenaar concreet moet doen.
Wat gebeurt er met jouw gegevens via een HTTP-verbinding?
Via een HTTP-verbinding worden alle gegevens als onversleutelde, leesbare tekst verstuurd. Er is geen enkel beschermingslaagje tussen de browser van de bezoeker en de server van de website. Alles wat iemand invult of opvraagt, van een wachtwoord tot een adreswijziging, is in principe zichtbaar voor iedereen die het verkeer kan onderscheppen.
Vergelijk het met een ansichtkaart: de inhoud is voor iedereen leesbaar die hem in handen krijgt, van de postbode tot een willekeurige voorbijganger. Een envelop ontbreekt. Bij HTTP geldt hetzelfde principe, alleen gaat het niet om een kaartje maar om gevoelige persoonsgegevens, inloggegevens of financiële informatie.
Dit risico geldt voor elke situatie waarin iemand een HTTP-website bezoekt, maar het is het grootst op openbare netwerken. Denk aan een hotellobby, een treinstation of een café met gratis wifi. Op zulke netwerken is het relatief eenvoudig om mee te kijken met onbeveiligd verkeer.
Hoe kunnen kwaadwillenden een HTTP-verbinding onderscheppen?
De meest gebruikte methode om een HTTP-verbinding te onderscheppen is de man-in-the-middle-aanval (MITM). Een aanvaller plaatst zich onzichtbaar tussen de browser van de gebruiker en de webserver. Alle data die heen en weer gaat, passeert via de aanvaller, die die kan lezen en zelfs aanpassen zonder dat iemand het doorheeft.
Zo’n aanval is moeilijker te detecteren dan je denkt. Een veelgebruikte techniek is de “evil twin attack”: een crimineel zet een nepwifi-netwerk op met een naam die lijkt op een legitiem netwerk, zoals “Starbucks_Gratis_WiFi”. Zodra iemand verbinding maakt, loopt al het internetverkeer via de aanvaller.
Een andere specifieke aanvalsvorm is SSL-stripping Deze link opent in een nieuw tabblad: de aanvaller onderschept een websiteverzoek en zet de beveiligde HTTPS-verbinding stiekem om naar HTTP. De gebruiker denkt veilig te surfen, maar communiceert in werkelijkheid onbeveiligd. Packet sniffing is een derde techniek waarbij netwerkverkeer wordt “afgeluisterd” met speciale software, zonder dat de verbinding actief wordt verstoord.
Wat al deze aanvallen gemeen hebben: ze werken alleen omdat HTTP geen versleuteling biedt. Bij HTTPS zijn onderschepte data onleesbaar, waardoor deze aanvallen zinloos worden.
Wat is het verschil tussen HTTP en HTTPS?
HTTPS is de beveiligde versie van HTTP. Het grote verschil is versleuteling: bij HTTPS wordt alle communicatie tussen browser en server versleuteld via een TLS-certificaat (in de volksmond vaak “SSL” genoemd). Zelfs als iemand het verkeer onderschept, ziet die persoon alleen onleesbare tekens.
Technisch gezien werkt HTTPS via een “handshake”: de browser en de server controleren eerst of ze veilig kunnen communiceren, welke versleuteling ze gebruiken en of het certificaat geldig is. Pas daarna start de versleutelde sessie. Dit proces duurt milliseconden en is volledig onzichtbaar voor de bezoeker.
HTTPS biedt drie garanties die HTTP volledig mist:
- Versleuteling van alle data die heen en weer gaat tussen browser en server.
- Authenticatie dat de website is wie hij zegt te zijn, via een geldig certificaat.
- Integriteit dat de data onderweg niet is aangepast of gemanipuleerd.
Meer dan 94% van de Nederlandse websites gebruikt inmiddels HTTPS, ruim boven het wereldwijde gemiddelde. Dat betekent ook dat een HTTP-website in 2026 sterk uit de toon valt en direct wantrouwen wekt bij bezoekers.
Waarom markeert Google HTTP-websites als onveilig?
Google markeert HTTP-websites als “Niet veilig” in de adresbalk van Chrome omdat het gebruikers actief wil beschermen tegen onbeveiligde verbindingen. Sinds 2018 toont Chrome bij elk HTTP-adres een waarschuwingslabel. De redenering van Google is helder: gebruikers mogen verwachten dat het internet standaard veilig is.
De waarschuwing begint als een grijs informatielabel naast het webadres. Zodra een bezoeker iets invult in een formulier op een HTTP-pagina, verspringt de melding naar een opvallende rode waarschuwing. Dat is een directe aanleiding voor bezoekers om de website te verlaten.
Chrome is niet de enige browser die dit doet. Firefox en andere browsers zijn dezelfde koers gevaren en maken de waarschuwingen steeds zichtbaarder. De boodschap vanuit de browserwereld is eenduidig: HTTP is geen acceptabele standaard Deze link opent in een nieuw tabblad meer voor websites die gegevens verwerken.
Voor websitebeheerders heeft dit een direct praktisch gevolg: een “Niet veilig”-label ondermijnt het vertrouwen van bezoekers voordat ze ook maar één regel tekst hebben gelezen.
Heeft een HTTP-website ook gevolgen voor SEO?
Ja, een HTTP-website heeft negatieve gevolgen voor SEO. Google heeft HTTPS in 2014 officieel bevestigd als rankingfactor. In 2026 is het geen extra bonus meer, maar een basisvereiste: websites zonder HTTPS presteren aantoonbaar slechter in zoekresultaten dan hun beveiligde concurrenten.
De impact is het sterkst zichtbaar in twee gebieden. Ten eerste in zichtbaarheid: nagenoeg alle pagina’s in de Google top 10 Deze link opent in een nieuw tabblad gebruiken HTTPS. Een HTTP-website heeft structureel een achterstand ten opzichte van beveiligde alternatieven. Ten tweede in het gedrag van bezoekers: een “Niet veilig”-label zorgt ervoor dat bezoekers sneller afhaken, wat een negatief signaal is voor Google over de kwaliteit van de pagina.
Een migratie van HTTP naar HTTPS leidt gemiddeld tot een merkbare stijging van organisch verkeer. Dat is geen toeval: betere rankings, meer vertrouwen en minder afhakende bezoekers werken samen in het voordeel van een beveiligde website. Vanuit SEO-perspectief is HTTPS geen luxe maar een absolute baseline.
Hoe schakel je over van HTTP naar HTTPS?
Overstappen van HTTP naar HTTPS doe je in een paar stappen: je installeert een SSL/TLS-certificaat, stelt een doorverwijzing in van HTTP naar HTTPS en werkt de instellingen bij in Google Search Console en Analytics. Voor de meeste WordPress-websites is dit een behapbaar proces.
Hier is de volgorde die je aanhoudt:
- Kies een SSL-certificaat. Voor de meeste websites is een gratis DV-certificaat via Let’s Encrypt meer dan voldoende. Veel Nederlandse hostingproviders bieden dit standaard aan. Betaalde EV-certificaten zijn bedoeld voor organisaties die extra betrouwbaarheidssignalen willen afgeven.
- Installeer het certificaat. Dit doe je via je hostingpaneel of laat je uitvoeren door je hostingprovider. Bij veel providers is dit een kwestie van één klik.
- Stel een 301-redirect in. Alle HTTP-adressen moeten automatisch doorsturen naar de HTTPS-variant. Zonder deze redirect riskeer je dat dezelfde pagina op twee adressen bereikbaar is, wat Google als dubbele content beschouwt.
- Controleer op mixed content. Pagina’s die deels nog HTTP-bronnen laden (zoals afbeeldingen of scripts) tonen een onvolledige beveiliging. Een WordPress-plugin als Really Simple SSL helpt bij het opsporen en oplossen van dit probleem.
- Werk Google Search Console en Analytics bij. Voeg het nieuwe HTTPS-adres toe als eigendom in Search Console, anders wordt de site niet correct geïndexeerd.
- Stel automatische verlenging in. Let’s Encrypt-certificaten verlopen na 90 dagen. Automatische verlenging via je hostingpaneel voorkomt dat de “Niet veilig”-melding terugkeert na een verlopen certificaat.
Heb je een WordPress-website en twijfel je of alles goed is ingesteld? De WordPress-specialisten van Stuurlui bouwen en beheren websites waarbij veilig coderen standaard onderdeel is van het proces, van SSL-configuratie tot regelmatige beveiligingscontroles.
Is een SSL-certificaat voldoende om een website volledig te beveiligen?
Nee, een SSL-certificaat alleen is niet voldoende om een website volledig te beveiligen. Het certificaat beschermt uitsluitend de gegevensoverdracht tussen bezoeker en server. Het biedt geen bescherming tegen andere aanvallen zoals malware, SQL-injecties, verouderde software of zwakke wachtwoorden.
Een SSL-certificaat is te vergelijken met een goede voordeur: het houdt mensen buiten die via de voordeur willen binnenkomen, maar als de achterdeur openstaat of de sloten verouderd zijn, biedt het weinig bescherming. Websitebeveiliging werkt in lagen.
Een solide basisbeveiliging bestaat uit de volgende maatregelen:
- Regelmatige updates van WordPress, thema’s en plugins, want verouderde software is een veelgebruikt aanvalspad voor hackers.
- Sterke wachtwoorden en tweefactorauthenticatie voor het CMS en alle beheerdersaccounts.
- Dagelijkse back-ups op een externe locatie, zodat je bij een incident snel kunt herstellen.
- Een firewall of beveiligingsplugin, bij voorkeur een Web Application Firewall (WAF) die schadelijke verzoeken filtert voordat ze de server bereiken.
- Een betrouwbare hostingpartij met DDoS-bescherming en server-sidebeveiligingsmaatregelen.
Vanuit de AVG geldt bovendien dat je als websitebeheerder aantoonbaar passende technische maatregelen moet nemen als je persoonsgegevens verwerkt via formulieren. HTTPS is daarvoor een minimumvereiste, maar geen eindpunt.
Bij Stuurlui is WordPress-beveiliging geen bijzaak. We werken met kennis van de OWASP top 10, voeren code reviews uit en laten regelmatig pentests uitvoeren door gespecialiseerde IT-securitypartijen. Zo weet je zeker dat je website niet alleen HTTPS heeft, maar ook op andere vlakken goed beveiligd is.
Een veilige website begint bij HTTPS, maar stopt daar niet. Zorg voor een complete beveiligingsstrategie en schakel een partner in die websitebeveiliging serieus neemt.