In 2014 kondigde Google HTTPS aan als rankingsignaal. In 2018 begon Chrome "Niet veilig" te tonen voor HTTP-sites. In 2026 is de vraag niet meer "moeten we overstappen op HTTPS?" maar "voldoet uw HTTPS-implementatie aan de huidige normen?"
Want het groene hangslot volstaat niet meer. Een slecht geconfigureerd SSL-certificaat, resterend gemengd materiaal of de afwezigheid van moderne beveiligingsheaders sturen een negatief signaal — naar Google, naar browsers en nu ook naar LLM's die de betrouwbaarheid van uw pagina's evalueren voor ze worden geciteerd.
HTTPS in 2026: meer dan een hangslot
HTTPS versleutelt de verbinding tussen de browser van de gebruiker en uw server. Dat is de basis. Maar in 2026 omvat webbeveiliging een veel breder ecosysteem van signalen en beschermingen.
Het SSL/TLS-certificaat is het minimum. Daarboven komen: HTTP-beveiligingsheaders (Content-Security-Policy, X-Frame-Options, Strict-Transport-Security), bescherming tegen veelvoorkomende aanvallen (XSS, clickjacking, injectie) en naleving van Europese normen voor gegevensbescherming (AVG, ePrivacy).
Volgens een analyse van Cloudflare (maart 2025) hebben Europese sites die een volledige suite beveiligingsheaders implementeren een bouncepercentage dat 12% lager is dan die met alleen basis-HTTPS. De reden: moderne browsers gebruiken deze headers om de betrouwbaarheid van de site te beoordelen en de beveiligingswaarschuwingen aan de gebruiker aan te passen.
De meetbare SEO-impact van HTTPS
Laten we eerlijk zijn: in 2026 is de directe impact van HTTPS op rankings marginaal voor sites die het al hebben. Google heeft bevestigd dat het een "tiebreaker" is — bij gelijke inhoud wordt de HTTPS-site begunstigd. Maar het zal een matige pagina niet omtoveren tot een eerste-paginaresultaat.
De echte impact is indirect en meer significant:
| Signaal | SEO-impact | Impact AI-zichtbaarheid |
|---|---|---|
| Basis-HTTPS (geldig certificaat) | Vereiste, geen extra voordeel | Basis vertrouwenssignaal |
| HSTS (HTTP Strict Transport Security) | Verbetert snelheid (vermijdt HTTP naar HTTPS-redirects) | Versterkt waargenomen betrouwbaarheid |
| Content Security Policy | Beschermt tegen geinjecteerde kwaadaardige inhoud | Geavanceerd signaal van goed onderhouden site |
| Afwezigheid van gemengde inhoud | Vermijdt browserwaarschuwingen | LLM-crawlers weigeren pagina's met gemengde inhoud |
| EV-certificaat (Extended Validation) | Geen gemeten SEO-impact | Geen gemeten impact |
Geavanceerde beveiligingssignalen
HSTS (HTTP Strict Transport Security)
HSTS instrueert browsers altijd HTTPS te gebruiken, zelfs als de gebruiker "http://" typt in de adresbalk. Zonder HSTS gaat elk eerste bezoek via een 301-redirect van HTTP naar HTTPS — wat latentie en een onnodige aanvraag toevoegt. Met HSTS gaat de browser rechtstreeks naar HTTPS.
Voor hoogpresterende websites is HSTS een snelle winst: nulkosten, nulrisico (zodra u zeker weet dat HTTPS overal werkt) en een meetbare prestatiewinst.
Content Security Policy (CSP)
CSP definieert welke externe bronnen mogen worden uitgevoerd op uw pagina. Het is de beste bescherming tegen XSS-aanvallen (Cross-Site Scripting). Een goed geconfigureerde CSP verhindert de injectie van kwaadaardige scripts, zelfs als een aanvaller een kwetsbaarheid in uw code vindt.
Permissions Policy
Vroeger Feature Policy, deze header controleert welke browser-API's uw site kan gebruiken (camera, microfoon, geolocatie). Het uitschakelen van onnodige API's verkleint het aanvalsoppervlak en stuurt een signaal van technische zorgvuldigheid.
HTTPS en vertrouwen van LLM's
Hier is een hoek die zeer weinig artikelen behandelen: LLM's gebruiken sitebeveiliging als vertrouwenssignaal. De crawlers van Perplexity, de robots van OpenAI (GPTBot) en de RAG-systemen van Google behandelen HTTP- en HTTPS-sites anders.
Concreet: een eenvoudige HTTP-site heeft minder kans opgenomen te worden in bronnen die worden geciteerd door LLM's. Niet omdat LLM's beveiliging "begrijpen", maar omdat de dataverzamelingspipelines onbeveiligde bronnen filteren als potentieel onbetrouwbaar.
Volgens Bartosz Goralewicz, CEO van Onely (Polen) en technisch SEO-expert: "Sitebeveiliging is een kwaliteitssignaal geworden net zoals snelheid. Geautomatiseerde systemen — of het nu zoekmachines of LLM's zijn — gebruiken proxy's om betrouwbaarheid te beoordelen. Een geldig SSL-certificaat, beveiligingsheaders en de afwezigheid van gemengde inhoud zijn toegankelijke en betrouwbare proxy's."
Implementatiechecklist
Fundamenten (verplicht)
- Geldig SSL/TLS-certificaat (Let's Encrypt volstaat)
- 301-redirect van HTTP naar HTTPS op alle pagina's
- Geen gemengde inhoud (alle bronnen in HTTPS)
- XML-sitemap met HTTPS-URL's
- Canonical in HTTPS
- Interne links in HTTPS
Intermediair (aanbevolen)
- HSTS ingeschakeld met max-age van minimaal 1 jaar (31536000 seconden)
- X-Content-Type-Options: nosniff
- X-Frame-Options: DENY of SAMEORIGIN
- Referrer-Policy geconfigureerd
Geavanceerd (best practice)
- Volledige Content Security Policy
- Beperkende Permissions Policy
- Opname in de HSTS Preload List
- OCSP Stapling ingeschakeld
- TLS 1.3 (TLS 1.0 en 1.1 uitschakelen)
HTTPS-fouten die uw SEO om zeep helpen
Resterend gemengd materiaal. Uw pagina is in HTTPS maar laadt afbeeldingen, scripts of CSS in HTTP. Browsers tonen een waarschuwing, sommige bronnen worden geblokkeerd en uw Core Web Vitals verslechteren. Oplossing: auditeer alle bronnen met een Screaming Frog-crawl en corrigeer elke HTTP-URL.
Redirect-ketens. HTTP naar HTTPS naar www naar eindpagina. Elke redirect voegt latentie toe en verdunt mogelijk SEO-signalen. Best practice: een enkele 301-redirect, rechtstreeks naar de uiteindelijke canonieke HTTPS-URL.
Verlopen certificaat. Een verlopen SSL-certificaat blokkeert de sitetoegang volledig en kan uw pagina's binnen dagen uit de index verwijderen. Automatiseer verlenging met Let's Encrypt of een CDN-service zoals Cloudflare.
Slecht geconfigureerde canonicals. Na migratie naar HTTPS verwijzen canonieke URL's nog steeds naar HTTP. Google ontvangt tegenstrijdige signalen en kan de verkeerde versie indexeren. Controleer elke canonical na de migratie.
Voor een overzicht van alle technische aspecten, zie onze gids over technische SEO in 2026, en als u van plan bent naar HTTPS te migreren, behandelt onze migratiechecklist alle controlepunten.
FAQ
Is een gratis SSL-certificaat (Let's Encrypt) voldoende voor SEO?
Ja, absoluut. Google maakt geen onderscheid tussen een gratis Let's Encrypt-certificaat en een betaald certificaat. Het versleutelingsniveau is identiek. Betaalde certificaten (OV, EV) bieden extra juridische garanties maar hebben geen gemeten impact op SEO of AI-zichtbaarheid.
Zal de overstap naar HTTPS mijn verkeer tijdelijk beinvloeden?
Ja, tijdelijk. Google beschouwt de overstap van HTTP naar HTTPS als een sitemigratie. Verwacht volatiliteit van 2 tot 4 weken, met een terugkeer naar normaal als de redirects correct zijn geimplementeerd. Raadpleeg onze migratiechecklist om de impact te minimaliseren.
Hoe detecteer ik gemengde inhoud op mijn site?
Drie methoden: (1) de browserconsole (F12) toont waarschuwingen voor gemengde inhoud, (2) een Screaming Frog-crawl filtert niet-HTTPS-bronnen, (3) de header Content-Security-Policy-Report-Only laat u geautomatiseerde rapporten over gemengde inhoud ontvangen zonder bronnen te blokkeren.
TLS 1.2 of TLS 1.3: welke versie gebruiken?
TLS 1.3 wordt aanbevolen. Het is sneller (1 round-trip handshake in plaats van 2) en veiliger. Bijna alle moderne browsers ondersteunen het. Schakel TLS 1.0 en 1.1 uit, handhaaf TLS 1.2 als fallback en geef de voorkeur aan TLS 1.3 voor optimale prestaties.
Heeft HTTPS invloed op de laadsnelheid?
De TLS-handshake voegt een lichte latentie toe (10-30ms met TLS 1.3). Maar deze impact is verwaarloosbaar en wordt ruimschoots gecompenseerd door de voordelen: HTTPS is een vereiste voor HTTP/2 en HTTP/3, die het laden aanzienlijk versnellen. Een HTTPS-site met HTTP/3 zal sneller zijn dan een HTTP-site met HTTP/1.1.
Is HTTPS verplicht onder de AVG?
De AVG vermeldt HTTPS niet expliciet, maar vereist de implementatie van "passende technische maatregelen" om persoonsgegevens te beschermen (artikel 32). In de praktijk beschouwt elke Europese gegevensbeschermingsautoriteit HTTPS als een verplichte minimale technische maatregel zodra persoonsgegevens worden verzonden.
Is uw webbeveiliging op peil?
Onze experts auditeren uw beveiligingssignalen en hun impact op uw SEO en AI-zichtbaarheid.
Mijn webbeveiliging auditeren
