Een beveiligingsmelding bij je website oplossen

Bewaar de melding en stop met invoeren

Een melding zoals “Je verbinding is niet privé” betekent dat de browser een probleem ziet met de website, het netwerk of je apparaat. HTTPS gebruikt certificaten om de verbinding te beveiligen en de website te controleren. Google licht deze beveiligingsmeldingen toe.

Vul op de geblokkeerde pagina geen persoonsgegevens, betaalgegevens of wachtwoorden in. Maak een schermafbeelding van de melding zonder privégegevens en noteer het volledige webadres en tijdstip. Lees eventueel de technische details om de foutcode over te nemen. Kies geen optie om de waarschuwing te negeren of toch door te gaan.

Controleer adres, datum en tijd

1. Vergelijk de domeinnaam in de adresbalk met het adres dat je verwacht. Let op typefouten en onverwachte extra woorden. Gebruik de bekende website-URL, geen link uit een onverwacht bericht.
2. Controleer datum, tijd en tijdzone van je apparaat. Herstel een onjuiste instelling via de normale systeeminstellingen en open de bekende URL opnieuw.
3. Noteer of de melding blijft bestaan en welke foutcode erbij staat.

Een verkeerde systeemklok kan een geldig certificaat ongeldig laten lijken. Kloppen datum en tijd wel, dan kan het certificaat zelf verlopen of verkeerd ingericht zijn. Mozilla beschrijft het onderscheid bij tijdgerelateerde certificaatfouten.

Vergelijk zonder beveiliging uit te zetten

Probeer dezelfde URL op een tweede, bijgewerkt apparaat of via een andere vertrouwde verbinding. Noteer de verschillen. Een andere browser kan ook helpen vergelijken; Apple beschrijft deze vergelijking bij Safari-problemen.

Werkt de website elders wel, dan is dat nuttige informatie, maar nog geen bewijs dat de oorspronkelijke waarschuwing onterecht is. Installeer niet zelf een onbekend certificaat. Schakel antivirus, certificaatcontrole of andere beveiliging niet uit. Meld een probleem op een beheerde werkcomputer ook bij je systeembeheerder.

Wat kan de foutcode betekenen?

• Datum of geldigheid, bijvoorbeeld NET::ERR_CERT_DATE_INVALID: controleer de apparaatklok. De beheerder moet ook de geldigheidsperiode en verlenging van het certificaat controleren.
• Verkeerde webnaam, bijvoorbeeld ERR_CERT_COMMON_NAME_INVALID: het aangeboden certificaat past niet bij het adres dat je opent. De naam met www en de naam zonder www moeten worden meegenomen wanneer beide worden gebruikt.
• Onbekende uitgever, bijvoorbeeld NET::ERR_CERT_AUTHORITY_INVALID: de browser kan de vertrouwensketen niet bevestigen. Dat kan onder meer samenhangen met ontbrekende tussencertificaten.

De code is een aanwijzing, geen complete diagnose. Zie Googles uitleg van Chrome-foutcodes en Mozilla's uitleg van certificaatmeldingen.

Wat moet de websitebeheerder laten controleren?

Ben jij de eigenaar? Vraag Nolex of je hostingbeheerder welke partij het certificaat en de verlenging beheert. Laat gericht controleren:

1. Of de juiste hostnamen op het certificaat staan en de bedoelde server het juiste certificaat aanbiedt.
2. Of het certificaat geldig is en de volledige certificaatketen wordt aangeboden. Een onvolledige keten kan verklaren waarom sommige apparaten wel werken en andere niet; Let's Encrypt beschrijft dit compatibiliteitsprobleem.
3. Of automatische verlenging werkt en een nieuw certificaat daadwerkelijk actief is. Laat mislukte verlengingen onderzoeken; alleen opnieuw proberen neemt de oorzaak niet weg. Let's Encrypt beschrijft automatische verlenging en foutafhandeling.

Wijzig DNS niet op basis van alleen een certificaatmelding. Laat eerst de benodigde instelling bevestigen. Gebruik de DNS-handleiding als er werkelijk een DNS-aanpassing nodig is.

De pagina opent, maar onderdelen worden geblokkeerd

Een HTTPS-pagina kan afbeeldingen, scripts of andere onderdelen via onbeveiligd HTTP proberen te laden. Dit heet mixed content. De browser kan zulke aanvragen aanpassen of blokkeren. De beheerder moet de betreffende verwijzingen en onderdelen controleren, zodat ze veilig via HTTPS beschikbaar zijn. MDN legt mixed content uit.

Geef je bevindingen door

Meld via support de exacte URL, foutcode, het tijdstip en op welke apparaten en verbindingen het probleem optreedt. Vermeld een recente verhuizing of certificaatwijziging. Stuur geen persoonlijke browserexports of geheime sleutels mee. Gebruik de supporthandleiding om de impact te beschrijven. De beheerder kan daarna gericht onderzoeken wat moet worden hersteld.