Let's Encrypt SSL installeren: Gratis HTTPS stap voor stap
Let's Encrypt installeren is de snelste en goedkoopste manier om je website te beveiligen met HTTPS. Let's Encrypt is een gratis, geautomatiseerde certificaatautoriteit die het mogelijk maakt om SSL/TLS-certificaten te verkrijgen zonder kosten. In deze stap-voor-stap handleiding leer je hoe je het installeren van een Let's Encrypt certificaat uitvoert op verschillende platformen en hoe je zorgt dat je certificaat automatisch wordt vernieuwd.
Wat is Let's Encrypt en waarom het installeren van een Let's Encrypt certificaat?
Let's Encrypt is een non-profit certificaatautoriteit die gratis SSL/TLS-certificaten uitgeeft. Het project werd gelanceerd met als doel om het hele web over te laten stappen op HTTPS. Sinds de lancering zijn er meer dan 3 miljard certificaten uitgegeven. Door het installeren van een Let's Encrypt certificaat krijg je een volwaardig SSL-certificaat dat door alle browsers wordt vertrouwd, volledig gratis.
Voordelen van Let's Encrypt
- 100% gratis - geen kosten voor het certificaat of vernieuwing
- Geautomatiseerd - installatie en vernieuwing via Certbot of andere tools
- Vertrouwd - erkend door alle grote browsers en besturingssystemen
- Veilig - gebruikt dezelfde versleutelingsstandaarden als betaalde certificaten
- Snel - certificaat in minuten beschikbaar, geen wachtperiode
- Wildcard support - een certificaat voor alle subdomeinen
Let's Encrypt vs. betaalde SSL-certificaten
| Kenmerk | Let's Encrypt | Betaald (DV) | Betaald (OV/EV) |
|---|---|---|---|
| Prijs | Gratis | €10-100/jaar | €100-500/jaar |
| Validatietype | Domain Validation | Domain Validation | Organization/Extended |
| Geldigheid | 90 dagen (auto-renew) | 1 jaar | 1-2 jaar |
| Versleuteling | Identiek | Identiek | Identiek |
| Browser vertrouwen | Volledig | Volledig | Volledig + bedrijfsnaam |
| Garantie | Geen | $10.000-250.000 | $250.000-1.750.000 |
| Wildcard | Ja | Soms (extra kosten) | Ja |
Voor de meeste websites is Let's Encrypt meer dan voldoende. Alleen als je een Extended Validation certificaat nodig hebt (met bedrijfsnaam in de browser) of een financiele garantie wilt, is een betaald certificaat noodzakelijk. Lees meer over SSL-certificaat kosten als je de opties wilt vergelijken.
Lets encrypt installeren met Certbot
Certbot is de officiele client van Let's Encrypt en de meest gebruikte methode voor het lets encrypt installeren. Certbot automatiseert het hele proces: van certificaat aanvragen tot configuratie van je webserver.
Voorbereiding
Voordat je lets encrypt installeren start, controleer het volgende:
- Je hebt SSH-toegang tot je server (lees onze gids over serververbindingen)
- Je domein wijst naar het IP-adres van je server (DNS correct ingesteld)
- Poort 80 en 443 zijn open in je firewall
- Je webserver (Apache of Nginx) is geinstalleerd en geconfigureerd
Lets encrypt installeren op Ubuntu met Nginx
De meest voorkomende configuratie is Nginx op Ubuntu. Hier is het complete proces voor het lets encrypt installeren:
Stap 1: Certbot installeren
Op Ubuntu installeer je Certbot en de Nginx-plugin via de pakketbeheerder. Het wordt aanbevolen om Certbot te installeren via snap, wat zorgt voor de meest recente versie. Het snap-pakket heet certbot en de bijbehorende Nginx-plugin wordt automatisch meegeinstalleerd.
Stap 2: Certificaat aanvragen
Voer het certbot-commando uit met de --nginx flag. Certbot detecteert automatisch je geconfigureerde domeinen en vraagt welke je wilt beveiligen. Het commando: sudo certbot --nginx
Certbot zal je vragen om:
- Je e-mailadres (voor urgente meldingen en vernieuwherinneringen)
- Akkoord met de servicevoorwaarden
- Of je de Electronic Frontier Foundation wilt steunen
- Welke domeinen je wilt beveiligen
Stap 3: Automatische configuratie
Certbot configureert automatisch je Nginx-server voor HTTPS. Het voegt de juiste SSL-directives toe aan je server block, inclusief het pad naar het certificaat en de private key. Optioneel configureert het ook een redirect van HTTP naar HTTPS.
Stap 4: Automatische vernieuwing testen
Let's Encrypt certificaten zijn 90 dagen geldig. Certbot installeert automatisch een timer of cronjob die het certificaat vernieuwt voordat het verloopt. Test de automatische vernieuwing met: sudo certbot renew --dry-run
Lets encrypt installeren op Ubuntu met Apache
Als je Apache gebruikt als webserver, is het proces vergelijkbaar maar met een andere Certbot-plugin:
Stap-voor-stap
- Installeer Certbot met de Apache-plugin via snap
- Voer het commando uit:
sudo certbot --apache - Selecteer de domeinen die je wilt beveiligen
- Kies of je HTTP naar HTTPS wilt redirecten
- Certbot configureert Apache automatisch
- Test de automatische vernieuwing
Lets encrypt installeren via DirectAdmin
Als je DirectAdmin gebruikt als hostingpaneel, is het lets encrypt installeren nog eenvoudiger via de grafische interface:
- Log in op DirectAdmin als gebruiker
- Ga naar SSL Certificates onder Account Manager
- Selecteer Free & automatic certificate from Let's Encrypt
- Vink de domeinen en subdomeinen aan die je wilt beveiligen
- Klik op Save
- DirectAdmin installeert en configureert het certificaat automatisch
- De automatische vernieuwing wordt ook automatisch ingesteld
Lets encrypt installeren voor wildcard-domeinen
Een wildcard-certificaat beveiligt je hoofddomein en alle subdomeinen (*.jouwdomein.nl). Dit is handig als je veel subdomeinen gebruikt.
DNS-challenge methode
Wildcard-certificaten vereisen DNS-validatie in plaats van HTTP-validatie. Je moet een TXT-record toevoegen aan je DNS-configuratie om te bewijzen dat je het domein beheert. Het commando: sudo certbot certonly --manual --preferred-challenges dns -d *.jouwdomein.nl -d jouwdomein.nl
Certbot geeft je een waarde die je als TXT-record moet toevoegen bij _acme-challenge.jouwdomein.nl. Na het toevoegen van het record wacht je tot de DNS is gepropageerd en bevestig je in Certbot.
Automatische DNS-challenge
Voor automatische vernieuwing van wildcard-certificaten heb je een DNS-plugin nodig die automatisch de TXT-records aanpast. Certbot heeft plugins voor populaire DNS-providers als Cloudflare, Route53 en DigitalOcean.
Problemen oplossen bij lets encrypt installeren
Soms verloopt het lets encrypt installeren niet vlekkeloos. Hier zijn de meest voorkomende problemen en oplossingen:
DNS wijst niet naar deze server
Let's Encrypt verifieert of je domein naar je server wijst. Controleer je DNS-instellingen en wacht tot eventuele wijzigingen zijn gepropageerd (dit kan tot 24 uur duren).
Poort 80 is geblokkeerd
De HTTP-challenge van Let's Encrypt vereist dat poort 80 bereikbaar is. Controleer je firewall-instellingen en zorg dat er geen andere service op poort 80 draait.
Rate limit bereikt
Let's Encrypt heeft rate limits: maximaal 50 certificaten per geregistreerd domein per week en maximaal 5 mislukte validaties per account per uur. Gebruik de staging-omgeving (--staging flag) voor testen om je rate limit niet te verbruiken.
Certificaat verloopt niet automatisch vernieuwd
Controleer of de Certbot timer actief is met systemctl status certbot.timer. Als de timer niet draait, start deze opnieuw. Controleer ook de Certbot-logs voor eventuele foutmeldingen.
Na het lets encrypt installeren: HTTPS optimaliseren
Na het succesvol lets encrypt installeren zijn er aanvullende stappen om je HTTPS-configuratie te optimaliseren:
HTTP naar HTTPS redirect instellen
Zorg dat alle HTTP-verkeer automatisch wordt doorgestuurd naar HTTPS. Certbot kan dit automatisch configureren, maar controleer of de redirect correct werkt voor alle pagina's op je website.
HSTS activeren
HTTP Strict Transport Security (HSTS) vertelt browsers dat je website altijd via HTTPS moet worden benaderd. Voeg de HSTS-header toe aan je webserver-configuratie met een geschikte max-age waarde (minimaal 31536000 seconden = 1 jaar).
Mixed content oplossen
Na het overschakelen naar HTTPS kunnen er "mixed content" waarschuwingen optreden als je pagina HTTP-resources laadt (afbeeldingen, scripts, stylesheets). Doorzoek je website op HTTP-links en vervang deze door HTTPS of protocol-relatieve URLs.
SSL-configuratie testen
Test je SSL-configuratie met tools als SSL Labs (ssllabs.com/ssltest) om te controleren of je configuratie veilig is. Streef naar een A+ score door moderne cipher suites te gebruiken en verouderde protocollen uit te schakelen.
Samenvatting
Het lets encrypt installeren is een eenvoudig proces dat elke website-eigenaar zou moeten uitvoeren. Met gratis SSL-certificaten is er geen excuus meer om je website niet te beveiligen met HTTPS. Of je nu Certbot gebruikt op de commandoregel of de ingebouwde functie van je hostingpaneel, het resultaat is hetzelfde: een veilige, versleutelde verbinding die je bezoekers beschermt en je positie in Google verbetert. Vergeet niet om de automatische vernieuwing te configureren en je HTTPS-configuratie te optimaliseren voor de beste beveiliging en prestaties. Bekijk ook ons overzicht van HTTP vs HTTPS om te begrijpen waarom HTTPS zo belangrijk is.
Geavanceerde configuratie na het lets encrypt installeren
Na de basisinstallatie zijn er geavanceerde configuraties die je SSL-setup verbeteren.
OCSP Stapling configureren
OCSP Stapling verbetert de prestaties en privacy van je SSL-configuratie. Normaal gesproken controleert de browser bij een certificaatautoriteit of je certificaat nog geldig is. Met OCSP Stapling stuurt je webserver deze informatie mee, waardoor de browser geen extra verzoek hoeft te doen. Dit versnelt de SSL-handshake en vermindert de afhankelijkheid van externe services.
Cipher suite optimalisatie
Na het lets encrypt installeren is het belangrijk om je cipher suites te optimaliseren. Schakel verouderde en zwakke cipher suites uit en geef prioriteit aan moderne, veilige opties. Gebruik forward secrecy cipher suites zodat eerder onderschept verkeer niet achteraf ontsleuteld kan worden. Test je configuratie met SSL Labs voor een A+ score en controleer periodiek of nieuwe kwetsbaarheden ontdekt zijn.
Certificate Transparency monitoring
Certificate Transparency is een open framework dat alle uitgegeven SSL-certificaten registreert in publieke logs. Monitor deze logs voor je domein om te detecteren of er ongeautoriseerde certificaten zijn uitgegeven. Tools als CertSpotter en Facebook Certificate Transparency Monitor waarschuwen je automatisch wanneer er een nieuw certificaat voor je domein wordt gedetecteerd.
Problemen voorkomen bij het lets encrypt installeren
Met de juiste voorbereiding voorkom je de meest voorkomende problemen bij het lets encrypt installeren. Controleer voor je begint of je DNS correct is geconfigureerd en volledig is gepropageerd. Gebruik DNS-lookup tools om te verifieren dat je domein naar het juiste IP-adres verwijst. Zorg dat er geen conflicterende webserver-configuraties zijn die de ACME-challenge blokkeren. Als je achter een CDN als Cloudflare zit, moet je mogelijk tijdelijk de proxy-modus uitschakelen of de DNS-challenge methode gebruiken in plaats van HTTP-challenge. Documenteer je certificaatconfiguratie zodat je bij toekomstige vernieuwingsproblemen snel kunt troubleshooten. Het bijhouden van een logboek met installatie- en vernieuwingsdata helpt bij het proactief beheren van je SSL-certificaten.
Let's Encrypt Installeren: Wildcard-certificaten en DNS-validatie
Naast standaard SSL-certificaten kun je met Let's Encrypt ook wildcard-certificaten aanvragen. Een wildcard-certificaat dekt alle subdomeinen af onder een domein (bijvoorbeeld *.jouwdomein.nl), wat ideaal is als je meerdere subdomeinen hebt zonder voor elk apart een certificaat te hoeven installeren.
Voor wildcard-certificaten is DNS-validatie vereist in plaats van de gebruikelijke HTTP-validatie. Dit houdt in dat je een speciaal TXT-record moet toevoegen aan je DNS-configuratie om te bewijzen dat je eigenaar bent van het domein.
Verschil tussen Validatiemethoden
| Methode | Werking | Wildcard-support | Automatisering |
|---|---|---|---|
| HTTP-01 | Bestand in webroot plaatsen | Nee | Eenvoudig |
| DNS-01 | TXT-record in DNS toevoegen | Ja | Via DNS API mogelijk |
| TLS-ALPN-01 | Speciale TLS-response op poort 443 | Nee | Beperkt |
De meeste DNS-providers bieden een API waarmee je DNS-records automatisch kunt aanpassen. Certbot ondersteunt plugins voor populaire DNS-providers zoals Cloudflare, DigitalOcean, Route53 en vele anderen. Hiermee kun je ook wildcard-certificaten volledig automatisch vernieuwen.
Let's Encrypt Installeren: Automatische Vernieuwing Configureren
Certificaten van Let's Encrypt zijn 90 dagen geldig, wat betekent dat regelmatige vernieuwing essentieel is. De korte geldigheidsduur is een bewuste keuze om de impact van gecompromitteerde sleutels te beperken en automatisering te stimuleren.
Certbot stelt bij installatie automatisch een cron-job of systemd-timer in voor vernieuwing. Controleer of deze correct is geconfigureerd:
- Systemd-timer controleren — De timer draait standaard tweemaal per dag en vernieuwt alleen certificaten die binnen 30 dagen verlopen.
- Post-renewal hooks — Configureer hooks die na vernieuwing automatisch je webserver herladen. Zonder herlaadactie gebruikt je server het oude certificaat.
- Foutmeldingen monitoren — Stel e-mail notificaties in bij Let's Encrypt zodat je een waarschuwing ontvangt als vernieuwing mislukt.
- Dry-run testen — Test het vernieuwingsproces zonder daadwerkelijk te vernieuwen met de --dry-run optie om problemen vroegtijdig te ontdekken.
Als je meerdere domeinen op dezelfde server host, kun je alle certificaten in een keer beheren. Certbot houdt automatisch bij welke certificaten wanneer verlopen en vernieuwt ze op het juiste moment.
SSL-configuratie Optimaliseren na Let's Encrypt Installatie
Na het installeren van Let's Encrypt is het belangrijk om je SSL-configuratie te optimaliseren voor maximale veiligheid en performance. Een SSL-certificaat alleen is niet genoeg; de manier waarop je server SSL/TLS afhandelt bepaalt het werkelijke beveiligingsniveau.
- Schakel verouderde protocollen uit — Gebruik alleen TLS 1.2 en TLS 1.3. Oudere versies (SSL 3.0, TLS 1.0, TLS 1.1) bevatten bekende kwetsbaarheden.
- Kies sterke cipher suites — Geef prioriteit aan AEAD-ciphers zoals AES-256-GCM en ChaCha20-Poly1305.
- Activeer HSTS — HTTP Strict Transport Security dwingt browsers om altijd HTTPS te gebruiken. Begin met een korte max-age en verhoog deze geleidelijk.
- Configureer OCSP Stapling — Dit versnelt de certificaatvalidatie door de server het OCSP-response te laten cachen en meesturen.
- Test met SSL Labs — Gebruik de gratis SSL Server Test van Qualys om je configuratie te beoordelen. Streef naar een A+ score.
Een goed geconfigureerd SSL-certificaat verbetert niet alleen de beveiliging maar ook je website snelheid. TLS 1.3 vermindert de handshake-latency aanzienlijk vergeleken met oudere versies. Combineer SSL met een website firewall voor complete bescherming van je webverkeer.
Let's Encrypt Installeren: Multi-domein Certificaten
Wanneer je meerdere domeinen of subdomeinen op dezelfde server host, kun je met Let's Encrypt een enkel certificaat aanvragen dat al deze domeinen dekt. Dit vereenvoudigt het certificaatbeheer aanzienlijk en vermindert de kans op vergeten vernieuwingen.
Met Certbot kun je meerdere domeinen specificeren bij het aanvragen van een certificaat via de -d optie. Elk domein wordt apart gevalideerd, dus zorg dat alle domeinen naar de juiste server wijzen voordat je het certificaat aanvraagt. Je kunt tot 100 domeinnamen opnemen in een enkel certificaat, wat ruim voldoende is voor de meeste hostingscenario's.
Organiseer je certificaten logisch: groepeer domeinen die bij dezelfde website of applicatie horen in een enkel certificaat, en gebruik aparte certificaten voor onafhankelijke projecten. Dit maakt het beheer overzichtelijker en voorkomt dat een probleem met de validatie van een domein de vernieuwing van het hele certificaat blokkeert.
Let's Encrypt Alternatieven en Wanneer Ze Beter Passen
Hoewel Let's Encrypt uitstekend is voor de meeste websites, zijn er situaties waarin een betaald SSL-certificaat de betere keuze is. Begrijp de verschillen om de juiste keuze te maken voor jouw specifieke situatie.
Extended Validation (EV) certificaten vereisen een uitgebreide identiteitscontrole van de aanvragende organisatie en tonen de bedrijfsnaam in de adresbalk van sommige browsers. Voor financiele instellingen en grote webshops kan dit extra vertrouwen wekken bij bezoekers. Organization Validation (OV) certificaten bevestigen dat het certificaat is uitgegeven aan een geverifieerde organisatie, wat een stap boven Domain Validation (DV) is waar Let's Encrypt gebruik van maakt.
Betaalde certificaten bieden daarnaast vaak een garantie (warranty) die uitkeert als het certificaat door een fout van de certificaatautoriteit wordt gecompromitteerd. Ze bieden ook langere geldigheidsperiodes tot maximaal een jaar, wat minder frequente vernieuwingen vereist. Voor de overgrote meerderheid van websites bieden Let's Encrypt certificaten echter identieke beveiliging tegen nul kosten. De versleuteling is technisch even sterk, ongeacht of het certificaat gratis of betaald is. Het verschil zit uitsluitend in het validatieniveau en de garantievoorwaarden.
Let's Encrypt en Webserver-integratie
De manier waarop Let's Encrypt integreert met je webserver verschilt per platform. Een correcte integratie zorgt voor naadloze vernieuwing en optimale SSL-configuratie zonder handmatige tussenkomst.
Voor Nginx is certbot met de nginx-plugin de aanbevolen methode. De plugin past automatisch je Nginx-configuratie aan om het certificaat te gebruiken en configureert een redirect van HTTP naar HTTPS. Bij Apache werkt de apache-plugin vergelijkbaar en wijzigt automatisch de virtual host-configuratie. Voor LiteSpeed is een aparte aanpak nodig: gebruik de certbot standalone-modus of integreer via het LiteSpeed WebAdmin-paneel dat ingebouwde ondersteuning biedt voor Let's Encrypt.
Bij hostingpanelen als cPanel, DirectAdmin en Plesk is Let's Encrypt vaak als module beschikbaar. Deze integratie maakt het mogelijk om met enkele klikken certificaten aan te vragen en automatisch te vernieuwen voor alle domeinen op de server. Dit is de eenvoudigste optie en vereist geen commandolijn-kennis. Controleer na de installatie altijd of de automatische vernieuwing correct is geconfigureerd door een dry-run test uit te voeren en de geplande vernieuwingstaak te controleren in je cron of systemd-timers. Een certificaat dat onverwacht verloopt is een van de meest voorkomende oorzaken van website-downtime en schaadt zowel je bezoekersvertrouwen als je zoekmachine-rankings.
Let's Encrypt: Veelgestelde Vragen en Oplossingen
Bij het werken met Let's Encrypt komen regelmatig vragen en problemen naar voren die je snel moet kunnen oplossen. De meestgestelde vraag is wat te doen als de automatische vernieuwing mislukt. Controleer eerst of je webserver correct geconfigureerd is om de validatie-challenge te beantwoorden en of er geen firewall is die de validatieserver van Let's Encrypt blokkeert. De rate limits van Let's Encrypt staan maximaal vijf certificaataanvragen per domein per week toe, dus plan je tests zorgvuldig. Als je dit limiet bereikt, gebruik dan de staging-omgeving van Let's Encrypt die veel ruimere limieten heeft. Voor domeinen achter een load balancer of CDN kan de HTTP-validatie problematisch zijn omdat het verzoek niet altijd bij de juiste server terechtkomt. Gebruik in dat geval DNS-validatie die onafhankelijk werkt van je webserver-architectuur.
