Let's Encrypt Certificaat installeren (SSL)

Samenvatting: Sinds 29 juli 2024 worden alle nieuwe domeinen op onze servers automatisch voorzien van een gratis Let's Encrypt SSL-certificaat. Je hoeft zelf niets te doen. Alleen gratis wildcard-domeinen moet je handmatig activeren. Dit artikel legt uit hoe de moderne DirectAdmin SSL-functionaliteit werkt, wat er veranderd is ten opzichte van vroeger, en hoe je een oud certificaat vervangt door een nieuw.

Belangrijke melding (vanaf 29-07-2024)

Alle nieuwe domeinnamen die op de server worden geïnstalleerd, worden automatisch voorzien van een SSL-certificaat. Alle instellingen worden direct correct ingesteld. Je hoeft zelf niets meer handmatig te doen.

Uitzondering: gratis wildcard-domeinnamen. Deze moet je handmatig voorzien van een SSL-certificaat via Manual Trigger (zie verderop in dit artikel).

Wat is er veranderd? Oud vs. nieuw

Let op: het oude .htaccess script met RewriteEngine On en RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} is niet meer nodig. Gebruik de ingebouwde optie Force SSL with https redirect.

EC-384 vs RSA 4096: waarom het nieuwe sleuteltype?

Moderne DirectAdmin gebruikt standaard EC-384 (Elliptic Curve) in plaats van RSA 4096:

• Sneller: minder rekenkracht nodig bij het opzetten van HTTPS-verbindingen
• Veiliger per bit: EC-384 biedt vergelijkbare beveiliging als RSA 7680
• Kleiner: kortere sleutels betekenen snellere TLS handshakes
• Moderner: ondersteund door alle actuele browsers en besturingssystemen

Voor nieuwe certificaten is EC-384 dus de voorkeurskeuze. Werkt je site met (zeer) oude clients die geen EC ondersteunen, kies dan handmatig voor RSA 4096.

Standaard domein: hoef je iets te doen?

Nee. Voor een regulier domein is SSL automatisch actief zodra het domein op de server wordt gezet. Controleren kan zo:

1. Log in op DirectAdmin
2. Ga naar SSL Certificates
3. Bovenaan staat SSL is currently enabled for this domain
4. Onderaan zie je Let's Encrypt in use. Auto-renewal in XX Days

Wildcard-domein handmatig activeren

Gebruik je een gratis wildcard (*.jouwdomein.nl), dan is een handmatige activatie nodig.

1. Log in op DirectAdmin
2. Ga naar SSL Certificates
3. Scroll naar het blok Manual Trigger
4. Vink aan: Wildcard: *.jouwdomein.nl, jouwdomein.nl
5. Klik op Save / Trigger

Let op het volgende:

• Subdomeinen (sub-domains) worden genegeerd wanneer je een wildcard gebruikt
• Wildcard werkt alleen met lokaal beheerde DNS-zones
• Bij een mislukte wildcard-aanvraag probeert het systeem automatisch een HTTP-gebaseerde fallback per subdomein

Handmatig een nieuw Let's Encrypt certificaat aanmaken

Wil je zelf een nieuw certificaat aanmaken (bijvoorbeeld na het verwijderen van een oud certificaat, of bij specifieke configuraties)?

Stap 1: SSL inschakelen voor het domein

1. Ga in DirectAdmin naar Domain Setup
2. Selecteer het domein
3. Schakel Secure SSL in
4. Zet de optie Gebruik een symbolische koppeling van private_html naar public_html aan (zorgt dat HTTP en HTTPS dezelfde bestanden gebruiken)

Stap 2: Certificaat aanvragen

1. Ga naar SSL Certificates
2. Selecteer Free & automatic certificate from Let's Encrypt
3. Bij Let's Encrypt Certificate Entries staat standaard één optie aangevinkt. Dit is voldoende. Je mag extra opties aanvinken, maar dat voegt meestal niets toe.
4. Controleer dat Key Size op EC-384 staat (aanbevolen) en Certificate Type op SHA256
5. Klik op Save

Het genereren duurt ongeveer 20 seconden. Bij succes verschijnt de melding Certificate and Key Saved.

Stap 3: HTTPS afdwingen

Onder het certificaat-blok staat de optie Force SSL with https redirect. Vink deze aan en klik op Save. Alle bezoekers worden vanaf dat moment automatisch doorgestuurd naar HTTPS.

Er hoeft niets in .htaccess gezet te worden. De oude methode met RewriteEngine On is niet meer nodig.

Een oud certificaat vervangen door een nieuw

Wil je een bestaand certificaat vervangen (bijvoorbeeld om over te stappen van RSA naar EC, of na een domeinwijziging)?

Optie A: Direct overschrijven (aanbevolen)

1. Ga in DirectAdmin naar SSL Certificates
2. Selecteer opnieuw Free & automatic certificate from Let's Encrypt
3. Pas eventueel Key Size aan naar EC-384
4. Vink de gewenste Certificate Entries aan
5. Klik op Save

Het oude certificaat wordt direct overschreven door het nieuwe. Je website blijft bereikbaar.

Optie B: Eerst uitschakelen, dan opnieuw aanvragen

Dit is alleen nodig bij specifieke problemen of wanneer je tijdelijk zonder Let's Encrypt wilt werken.

1. Ga naar SSL Certificates
2. Klik op Disable Auto-Renew (onderaan het certificaat-blok)
3. Schakel eventueel over naar Use the server's shared signed certificate of Create your own self signed certificate
4. Klik op Save
5. Wil je een nieuw Let's Encrypt certificaat aanvragen, volg dan de stappen onder Handmatig een nieuw Let's Encrypt certificaat aanmaken

Automatische verlenging en retries

Let's Encrypt-certificaten zijn 90 dagen geldig. DirectAdmin verlengt ze automatisch, standaard 30 dagen voor afloop.

Onder Automated SSL Certificates Information zie je de status van lopende certificaten. Onder Retries zie je:

• Hosts: welk(e) domein(en) het betreft
• Next Retry: wanneer de volgende poging plaatsvindt
• Retry Now: handmatig direct proberen
• Cancel: de retry annuleren

Bij Remaining Retries zie je hoeveel pogingen er nog over zijn voordat het ACME-proces stopt. Staat dit op 0? Klik dan op Reset Retry Count en start een nieuwe aanvraag.

Veelvoorkomende problemen

Mijn site laat nog het slotje niet zien na activatie
Controleer dat Force SSL with https redirect is aangevinkt. Check ook of er in je content geen harde http:// links staan (mixed content). Voor WordPress: gebruik een plugin als Better Search Replace om alle http:// naar https:// te vervangen in de database.

"Challenge failed" bij aanvragen certificaat
Dit betekent dat Let's Encrypt je domein niet kon bereiken om te verifiëren. Veelvoorkomende oorzaken:

• Het domein wijst (nog) niet naar onze server (controleer DNS A-record)
• Er staat een .htaccess-regel die /.well-known/acme-challenge/ blokkeert
• Een externe firewall of CDN (bijv. Cloudflare) blokkeert de verificatie

Wildcard-certificaat wil niet activeren
Een wildcard vereist DNS-gebaseerde verificatie en werkt alleen als de DNS-zone op onze server wordt beheerd. Gebruik je externe DNS? Dan is een wildcard via dit systeem niet mogelijk.

Ik krijg een "too many requests" fout van Let's Encrypt
Let's Encrypt heeft rate limits (meestal 5 aanvragen per domein per week). Wacht minimaal een uur, of wacht tot de volgende week. Gebruik in de tussentijd eventueel het gedeelde server-certificaat.

Veelgestelde vragen

Kost een Let's Encrypt certificaat iets?
Nee. Let's Encrypt is volledig gratis en wordt automatisch verlengd.

Is Let's Encrypt net zo veilig als een betaald certificaat?
Ja. De versleuteling is identiek. Het verschil met commerciële certificaten zit in uitgebreide validatie (OV/EV) en garanties, die Let's Encrypt niet biedt. Voor de meeste websites is Domain Validation (DV) via Let's Encrypt ruim voldoende.

Moet ik mijn database of interne links aanpassen na activatie?
Ja. Verwijzingen naar http:// in je content of database blijven als onbeveiligd laden (mixed content warning). Werk deze bij naar https://. Voor WordPress: zoek-en-vervang plugins lossen dit snel op.

Kunnen jullie de SSL-overzetting voor mij doen?
Ja. Stuur een e-mail naar support@wned.nl. We bieden deze service tegen een eenmalige vergoeding van 25 euro (exclusief btw) per website, inclusief het bijwerken van harde links in je database.

Hoe weet ik zeker dat de automatische verlenging werkt?
Controleer in het SSL Certificates scherm de regel Let's Encrypt in use. Auto-renewal in XX Days. Staat er een getal, dan is het goed. Bij problemen verschijnt er een retry in het Retries blok.

Hulp nodig?

Kom je er niet uit? Neem contact op met onze supportafdeling en vermeld:

• Je domeinnaam en servernaam (bijv. S150)
• Of het gaat om een regulier domein of een wildcard
• Een screenshot van het SSL Certificates scherm
• De foutmelding (indien van toepassing)

Dan kijken we graag met je mee.