Website niet veilig? Zo los je de melding op

Zegt je browser dat je website niet veilig is, dan klopt er iets niet met de versleutelde verbinding (https). Meestal is het een van vier oorzaken: er is geen SSL-certificaat of geen doorverwijzing naar https, het certificaat is verlopen of hoort niet bij je adres, de pagina laadt nog onderdelen via http (mixed content), of Google waarschuwt na een hack. Welke het is, zie je aan de melding. Een certificaat is bij de meeste hostingpartijen gratis.

Welke melding zie je? Zo herken je de oorzaak

'Website niet veilig' kan een handvol verschillende meldingen zijn, en elke melding heeft een andere oorzaak. Kijk dus eerst goed wat je browser zegt. Deze tabel helpt je op weg:

Safari toont vergelijkbare meldingen, met een eigen tekst. De oorzaken zijn hetzelfde.

Mis je het slotje in Chrome? Dat is geen fout. Chrome toont sinds 2023 bij een veilige verbinding geen slotje meer, maar een icoontje met schuifjes. Klik daarop en je ziet of de verbinding beveiligd is.

Eerst: ligt het aan je website of aan je apparaat?

Voordat je je hostingpartij belt, sluit je de oorzaken aan jouw kant uit. Een melding over de verbinding kan ook ontstaan door het apparaat of het netwerk van de bezoeker.

1. Open de site op een ander apparaat en via een ander netwerk, bijvoorbeeld je telefoon zonder wifi.
2. Controleer de datum en tijd van je computer. Staat de klok een paar dagen verkeerd, dan lijkt elk certificaat verlopen.
3. Zit je op openbare wifi, zoals in een hotel of trein, log dan eerst in op het netwerk. Zo'n inlogpagina geeft vaak een certificaatmelding.
4. Zet je virusscanner even uit, als die de functie heeft om https-verkeer te scannen. Die kan meldingen veroorzaken.

Zie je de melding op elk apparaat en elk netwerk, dan ligt het aan je website. Een snelle externe controle is de gratis SSL Server Test van Qualys SSL Labs. Die laat zien of je certificaat geldig is, voor welke adressen het geldt en wanneer het verloopt.

Geen certificaat: https aanzetten bij 'Niet beveiligd'

Staat er 'Niet beveiligd' in de adresbalk, dan heeft je site geen certificaat of stuurt hij bezoekers niet door naar https. De oplossing bestaat uit drie stappen.

1. Vraag een certificaat aan. Bij de meeste hostingpartijen doe je dat gratis met Let's Encrypt, in het beheerpaneel van je hosting. Vaak is het een vinkje of een knop bij je domein.
2. Stuur alle bezoekers door naar https, met een permanente doorverwijzing (301). Veel hostingpartijen hebben daar een instelling voor. Anders zet je een regel in het .htaccess-bestand of in de serverinstellingen.
3. Pas in WordPress je adressen aan. Onder Instellingen > Algemeen staan het WordPress-adres en het Site-adres. Zet die op https://. Ruim daarna de mixed content op, zoals hieronder staat.

Wacht hier niet mee. Volgens Google waarschuwt Chrome vanaf versie 154 standaard voordat iemand een openbare website zonder https bezoekt. Die versie verscheen eind september 2026, en Google zet de waarschuwing geleidelijk voor alle gebruikers aan. De bezoeker moet dan eerst klikken om toch door te gaan. Voor een webshop of een site met een contactformulier kost dat aanvragen.

Je verbinding is niet privé: problemen met het certificaat

Krijgen bezoekers een volledig scherm met 'Je verbinding is niet privé', dan is er iets mis met het SSL-certificaat. De foutcode onder de melding vertelt je wat.

Het certificaat is verlopen

Een verlopen certificaat geeft het felste scherm: bezoekers zien eerst een waarschuwing en moeten bewust doorklikken. De oplossing is het certificaat verlengen of opnieuw aanvragen bij je hostingpartij. Belangrijker is waarom het verliep, want gratis certificaten worden normaal automatisch verlengd.

De meest voorkomende oorzaken:

• Je domein wijst niet meer naar je hosting. Bij het verlengen controleert Let's Encrypt of het domein naar jouw server wijst. Is je DNS aangepast, bijvoorbeeld na een verhuizing van je domeinnaam, dan faalt die controle. Lees ook domeinnaam verhuizen: zo blijven je website en e-mail werken.
• Je site staat achter een dienst als Cloudflare, waardoor de controle niet bij je server aankomt.
• Je hebt een betaald certificaat dat je elk jaar handmatig moest verlengen, en niemand deed het.

Handmatig verlengen wordt bovendien steeds onhandiger. Certificaten mogen sinds maart 2026 minder lang geldig zijn, en dat wordt stap voor stap korter tot 47 dagen in 2029. Let's Encrypt gaat van 90 dagen naar 64 dagen in februari 2027 en naar 45 dagen in februari 2028. Zorg dus dat verlengen automatisch gaat, en laat iemand de verloopdatum bewaken. Dat hoort bij goed onderhoud, zoals je leest in website onderhoud: wat het kost en wat erin hoort te zitten.

Het certificaat hoort niet bij je adres

Bij NET::ERR_CERT_COMMON_NAME_INVALID geldt het certificaat voor een ander adres dan de bezoeker opent. Bijna altijd gaat het om www. Het certificaat is aangevraagd voor jouwdomein.nl, maar de bezoeker typt www.jouwdomein.nl, of andersom. Vraag het certificaat aan voor beide adressen en stuur het ene adres door naar het andere.

Andere oorzaken: een nieuw domein dat je aan een bestaande site hebt gekoppeld, of een subdomein zoals shop.jouwdomein.nl dat niet in het certificaat staat.

Bij NET::ERR_CERT_AUTHORITY_INVALID vertrouwt de browser de uitgever niet. Dat gebeurt bij een zelf gemaakt certificaat, dat je hostingpartij soms tijdelijk plaatst, of bij een certificaat dat niet compleet is geïnstalleerd. Vraag dan een geldig certificaat aan of laat je hostingpartij de installatie controleren.

Mixed content in WordPress oplossen

Mixed content betekent dat je pagina via https laadt, maar dat onderdelen ervan via http komen: een afbeelding, een lettertype, een script of een video. Moderne browsers proberen afbeeldingen alsnog via https te laden en blokkeren scripts die via http komen. Het gevolg: ontbrekende afbeeldingen, een kapot menu of een formulier dat niet werkt.

Zo vind je het. Open de pagina in Chrome, druk op F12 en kijk in het tabblad Console. Daar staat bij elk onderdeel een melding die begint met 'Mixed Content', met het adres dat nog via http laadt.

Zo los je het op in WordPress:

1. Maak eerst een back-up van je bestanden en database. Hoe je dat goed doet, staat in WordPress backup maken en terugzetten.
2. Controleer Instellingen > Algemeen. Beide adressen moeten met https:// beginnen.
3. Vervang de oude adressen in de database. Gebruik een geschikte tool, zoals wp search-replace 'http://jouwdomein.nl' 'https://jouwdomein.nl' van WP-CLI. Draai die eerst met --dry-run om te zien wat er verandert. Een gewone zoek-en-vervangactie in de database kan instellingen beschadigen.
4. Kijk in je thema en page builder. Achtergrondafbeeldingen, logo's en eigen CSS bevatten soms vaste http-adressen.
5. Controleer externe scripts, zoals een oude chatwidget of een ingesloten kaart. Werkt een dienst niet via https, vervang hem dan.
6. Kijk onder Tools > Sitediagnose (Site Health). WordPress laat daar zien of je site https gebruikt.

Een plugin zoals Really Simple Security kan mixed content voor je herschrijven. Dat is een snelle pleister. Beter is de bron oplossen, zodat je niet afhankelijk bent van een plugin die elke pagina aanpast.

Te vaak omgeleid na het overzetten naar https

Krijg je na het aanzetten van https de melding ERR_TOO_MANY_REDIRECTS, dan sturen twee instellingen elkaar heen en weer. De bekendste oorzaak: Cloudflare staat op de SSL-modus 'Flexible'. Cloudflare praat dan via http met je server, je server stuurt door naar https, en dat herhaalt zich eindeloos. Zet de modus op 'Full (strict)', dan is ook de verbinding tussen Cloudflare en je server versleuteld.

Een andere oorzaak is een dubbele doorverwijzing: zowel een plugin als je hosting stuurt door, elk op een eigen manier. Zet er één uit. Kom je niet meer in je WordPress-beheer, zet dan via FTP of het bestandsbeheer van je hosting de plugin tijdelijk uit door de map te hernoemen.

Rood scherm: Google waarschuwt voor je site

Een rood scherm met een waarschuwing dat de site misleidend is of schadelijke software bevat, heeft niets met je certificaat te maken. Google heeft je site dan gemarkeerd, bijna altijd omdat hij gehackt is. Een nieuw certificaat lost dat niet op.

Check in Google Search Console het rapport Beveiligingsproblemen. Daar staat waarom Google waarschuwt. Daarna schoon je de site op, dicht je het lek en vraag je Google om een nieuwe beoordeling. Hoe je dat in de juiste volgorde doet, lees je in WordPress website gehackt? Dit doe je in het eerste uur. Is je site na de hack ook uit Google verdwenen, lees dan website niet zichtbaar in Google.

Andere systemen: Wix, JouwWeb en Shopify

Bij websitebouwers en webshopplatformen regelt het platform het certificaat zelf. Zie je daar toch 'Niet beveiligd' of een certificaatmelding, dan ligt het bijna altijd aan de koppeling van je domein. Je domein wijst bijvoorbeeld via een doorverwijzing bij je domeinprovider naar het platform, in plaats van via de juiste DNS-records. Het platform kan dan geen certificaat voor je domein aanvragen.

Kijk in de domeininstellingen van je platform welke records het verwacht, en vergelijk die met wat er bij je domeinprovider staat. De meeste platforms tonen daar ook of het certificaat actief is. Verhuis je je site naar een ander systeem, neem https dan mee in je plan: lees website migreren zonder SEO-verlies.

Zo houd je je website veilig: de checklist

Is de melding weg, zorg dan dat hij wegblijft:

1. Het certificaat wordt automatisch verlengd, en iemand bewaakt de verloopdatum.
2. Alle adressen sturen door naar één https-adres, met of zonder www.
3. In WordPress staan beide adressen op https en de database bevat geen oude http-adressen meer.
4. Je controleert na elke grote wijziging de console op mixed content.
5. Na een verhuizing van domein of hosting test je het certificaat dezelfde dag.
6. WordPress, plugins en thema zijn bijgewerkt, zodat een hack geen kans krijgt. De tien maatregelen staan in WordPress beveiligen.

Conclusie: lees de melding, dan weet je de oplossing

'Website niet veilig' is geen diagnose, maar een verzamelnaam. 'Niet beveiligd' betekent http, en dat los je op met een gratis certificaat en een doorverwijzing. Een scherm over een niet-privé verbinding wijst op een verlopen of verkeerd certificaat. Ontbrekende onderdelen wijzen op mixed content. En een rood scherm betekent bijna altijd een hack. Sinds Chrome 154 wordt https nog belangrijker, omdat Chrome bezoekers van een site zonder https standaard eerst een waarschuwing toont.

Wil je dat iemand je certificaat, updates en back-ups bijhoudt, lees dan wat er in website onderhoud hoort. Mijn onderhoud kost € 50 per maand; wat er verder in zit, staat in de prijslijst.