SSL-certificaat kosten: Let’s Encrypt, DV, OV, EV en wildcard

Een SSL-certificaat kan gratis zijn: Let’s Encrypt en andere ACME-certificaatautoriteiten geven DV-certificaten kosteloos uit, en de meeste hostingproviders zetten ze aan met één vinkje in het controlepaneel. Bij resellers kost een betaald certificaat vanaf $ 5,99 per jaar voor DV, vanaf $ 19,99 voor OV, vanaf $ 39,99 voor wildcard en vanaf $ 45,99 voor EV (gecontroleerd op 30-10-2026). Rechtstreeks bij DigiCert begint OV bij $ 218 en EV bij $ 344. De versleuteling is identiek. Je betaalt voor de controle van de organisatie, support, garantie en gemak, niet voor een “sterker slotje”.

SSL-certificaat kosten in 2026: prijstabel

De prijzen komen van de officiële websites van de verkopers, gecontroleerd op 30-10-2026. Resellers zoals Namecheap en GoGetSSL verkopen certificaten van dezelfde certificaatautoriteiten (CA’s) met korting. Rechtstreeks kopen bij Sectigo of DigiCert is duurder, maar je krijgt er een zakelijke console en uitgebreidere support bij. Resellerprijzen voor het eerste jaar zijn vaak actieprijzen, vergelijk dus de verlengingsprijzen.

Het verschil tussen $ 19,99 voor een OV-certificaat bij een reseller en $ 218 rechtstreeks bij DigiCert zit in het verkoopkanaal (groothandelsprijzen voor resellers) en het servicepakket van de CA, niet in de kwaliteit van de versleuteling.

DV, OV, EV en wildcard: wat is echt het verschil

Het type sleutel (RSA 2048, RSA 3072 of ECDSA P-256) kies je bij het genereren van de sleutel, en de TLS-versie hangt af van de serverinstellingen. Het type certificaat heeft op geen van beide invloed. Er verschillen maar twee dingen: wat de CA heeft gecontroleerd en welke gegevens in het certificaat staan.

• DV (Domain Validation): de CA bevestigt alleen dat jij het domein beheert, via een bestand op de site, een DNS-record of een e-mail naar een adres als admin@example.com. Het certificaat bevat alleen de domeinnaam.
• OV (Organization Validation): de CA controleert daarnaast of de organisatie bestaat, aan de hand van overheidsregisters, een telefoonnummer uit een onafhankelijke gids en het adres. In het veld Subject staan de bedrijfsnaam (O=) en de plaats.
• EV (Extended Validation): de strengste controle volgens de richtlijnen van het CA/Browser Forum: juridisch en feitelijk bestaan, adres, de bevoegdheid van de aanvrager en ondertekende formulieren. EV-wildcards zijn volgens de richtlijnen niet toegestaan.
• Wildcard: dit gaat over dekking, niet over een validatieniveau. Een certificaat voor *.example.com dekt shop.example.com of blog.example.com, maar niet a.b.example.com. De meeste verkopers voegen het kale example.com automatisch toe, maar controleer de productbeschrijving.
• Multidomein (SAN): meerdere verschillende namen in één certificaat, bijvoorbeeld example.com en example.net.

Koop je EV voor de “groene adresbalk”? Die bestaat niet meer. Chrome 77 en Firefox 70 haalden de bedrijfsnaam in 2019 uit de adresbalk, en Chrome 117 verving in 2023 zelfs het slotje door een neutraal instellingenpictogram (“tune”). Voor een gewone bezoeker zien een site met Let’s Encrypt en een site met een EV-certificaat van $ 344 er hetzelfde uit.

Gratis Let’s Encrypt: wat je krijgt en wat de beperkingen zijn

Let’s Encrypt is een non-profit CA die sinds 2015 DV-certificaten met een geldigheid van 90 dagen uitgeeft. Je hostingprovider of certbot verlengt ze automatisch, dus de meeste site-eigenaren denken er nooit over na. Deze beperkingen moet je kennen:

• Alleen DV. Geen OV en geen EV.
• Wildcards vereisen DNS-validatie (DNS-01). Sommige panelen regelen dat als de DNS-zone van het domein op dezelfde server staat (voeg de alias *.example.com toe). Bij externe DNS gebruik je acme.sh met de API van je DNS-provider.
• Rate limits. Maximaal 50 certificaten per geregistreerd domein en 5 voor precies dezelfde set namen per 7 dagen, tot 100 namen per certificaat. Een normale site komt daar nooit aan, maar herhaaldelijk opnieuw installeren tijdens het debuggen wel.
• Geen garantie en geen persoonlijke support. Hulp komt van het communityforum.
• Oude Android-apparaten. Sinds de cross-signature op 30 september 2024 is verlopen, vertrouwt Android ouder dan 7.1.1 Let’s Encrypt niet meer standaard. Dat speelt bij apps of terminals op oude apparaten, niet bij de meeste sites.
• De looptijd wordt korter. Optionele certificaten van 6 dagen zijn er al, en Let’s Encrypt wil de maximale looptijd tegen februari 2028 terugbrengen naar 45 dagen.

Andere gratis opties zijn ZeroSSL en Google Trust Services (ook DV via ACME) en Cloudflare. Cloudflare levert een gratis edge-certificaat plus een Origin CA-certificaat voor je server, tot 15 jaar geldig, maar alleen vertrouwd door Cloudflare zelf. Gebruik de modus Full (strict): in de modus Flexible is het verkeer tussen Cloudflare en je hosting niet versleuteld. Waarom een slotje alleen niet genoeg is, leggen we uit in ons artikel over SSL-certificaten op shared hosting.

Waarom een certificaat “voor 1 jaar” nu maar 200 dagen geldig is

In het voorjaar van 2025 nam het CA/Browser Forum ballot SC-081 aan. Die verkort stap voor stap de maximale looptijd van publieke TLS-certificaten en de periode waarin een CA een domeinvalidatie opnieuw mag gebruiken. Dat geldt voor elke CA, betaald of gratis.

Voor OV en EV mogen organisatiegegevens sinds 15-03-2026 maximaal 398 dagen opnieuw worden gebruikt (eerder 825). In de praktijk:

• Een betaald abonnement “voor 1 jaar” is nu echt een abonnement: de CA geeft een certificaat uit voor maximaal 200 dagen, daarna laat je het opnieuw uitgeven en installeer je het opnieuw.
• “Eén keer per jaar installeren en vergeten” werkt niet meer, en vanaf 2029 elke 47 dagen handmatig vervangen is onrealistisch: automatiseer elk certificaat.
• Grote CA’s bieden al ACME aan voor betaalde certificaten, maar vraag het je reseller voordat je koopt.

Een vergeten verlenging is een klassieke reden waarom een site ineens niet meer opent.

Wanneer een betaald SSL-certificaat de moeite waard is

Koop een betaald certificaat als:

• een contract, aanbesteding, partnerbank of het securityteam van je bedrijf OV, EV of een specifieke CA eist.
• je klanten oude apparaten en embedded systemen gebruiken (oude Android-toestellen, betaalterminals, industriële apparatuur) die de root van Let’s Encrypt niet vertrouwen.
• het certificaat op hardware zonder ACME-client komt (sommige load balancers, mailgateways, netwerkapparatuur), waar elke 200 dagen opnieuw uitgeven makkelijker is dan elke 60-90 dagen handmatig verlengen.
• je CA-support met vastgelegde reactietijden nodig hebt, of een garantiebedrag dat je risicobeleid voorschrijft.

Gratis Let’s Encrypt is genoeg als:

• je een blog, landingspagina, bedrijfswebsite, portfolio of de site van een dienstverlener hebt.
• je een webshop hebt waar klanten hun kaartgegevens invoeren op de pagina van de betaalprovider. PCI DSS vraagt om sterke cryptografie en geldige certificaten, niet om OV of EV. Waar het bij een webshop echt om draait, lees je in onze gids over hosting voor een webshop.
• SEO belangrijk voor je is. Google gebruikt HTTPS sinds 2014 als rankingsignaal, maar heeft nooit enig voordeel voor OV of EV aangekondigd.

Zo betaal je niet te veel voor SSL

1. Kijk wat je hosting al biedt. Als het paneel gratis Let’s Encrypt uitgeeft, heeft een gewone site geen betaald DV-certificaat nodig.
2. Vergelijk verlengingsprijzen. Bij Namecheap kost DV $ 5,99 voor het eerste jaar en $ 6,99 bij verlenging, EV $ 45,99 en $ 55,19.
3. Koop bij een reseller. Resellers verkopen certificaten van dezelfde CA’s tegen groothandelsprijzen: OV kost $ 19,99 bij Namecheap en vanaf $ 32,80 bij GoGetSSL, tegenover $ 218 rechtstreeks bij DigiCert (Basic OV).
4. Reken de wildcard na. Zeven losse DV-certificaten van $ 5,99 kosten $ 41,93, een wildcard $ 39,99. Met 2-3 subdomeinen is Let’s Encrypt of een SAN-certificaat goedkoper. Een wildcard is zinvol bij veel subdomeinen of als ze automatisch worden aangemaakt.
5. Controleer CAA-records. Als je DNS een CAA-record heeft dat alleen letsencrypt.org toestaat (sommige panelen voegen dat automatisch toe voor zones die ze zelf hosten), kan geen andere CA uitgeven. Voeg bijvoorbeeld 0 issue "sectigo.com" of 0 issue "digicert.com" toe.

SSL is maar een klein deel van het budget voor een website. Voor het volledige plaatje vergelijk je de prijzen van onze hostingpakketten en let je bij elke provider op verborgen kosten.

Zo installeer je SSL op je hosting

Let’s Encrypt in het controlepaneel

De namen van opties verschillen per hostingcontrolepaneel, maar de stappen zijn vergelijkbaar.

1. Controleer of het A-record van het domein (en het AAAA-record, als dat er is) naar de hostingserver wijst.
2. Open de domeininstellingen, zet SSL aan en kies het gratis Let’s Encrypt-certificaat.
3. Zet de automatische doorverwijzing naar HTTPS aan. Zet HSTS pas aan als je zeker weet dat de site betrouwbaar via HTTPS werkt. Belandt de site daarna in een redirect-lus, bekijk dan onze handleiding over ERR_TOO_MANY_REDIRECTS.
4. Sla op. Het certificaat verschijnt binnen een à twee minuten en wordt automatisch verlengd.

Betaald certificaat: CSR, validatie, installatie

1. Genereer een private key en een certificaatondertekeningsverzoek (CSR). Sommige panelen maken de sleutel en CSR aan in de SSL-instellingen van het domein; via SSH gebruik je de opdracht hieronder.
2. Dien de CSR in en doorloop de domeinvalidatie: e-mail naar admin@ of webmaster@, een CNAME- of TXT-record in DNS, of een bestand in /.well-known/pki-validation/. Houd voor OV en EV de registergegevens en een telefoonnummer van het bedrijf bij de hand.
3. Download het certificaat (.crt) en de tussenliggende keten (CA-bundle). Plak het certificaat, de private key en de tussenliggende keten in de bijbehorende velden van de SSL-instellingen van het domein.
4. Controleer het resultaat met de opdrachten hieronder en zet een herinnering om het certificaat over ongeveer 180 dagen opnieuw te laten uitgeven.

# key and CSR for the domain
openssl req -new -newkey rsa:2048 -nodes -keyout example.com.key -out example.com.csr -subj "/CN=example.com"

# who the installed certificate was issued to, by whom, and its validity dates
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates

# which CAs are allowed in DNS
dig CAA example.com +short

Geeft de browser na de installatie nog steeds een waarschuwing, controleer dan op een onvolledige keten, een sleutel die niet overeenkomt of gemengde inhoud. Algemene tips voor beveiliging staan in ons artikel over beveiligingslekken op servers.

Veelgestelde vragen

Is een betaald SSL-certificaat veiliger dan een gratis certificaat?

Nee. De versleuteling hangt af van de sleutel en de serverconfiguratie, niet van de prijs. Het verschil zit in de identiteitscontrole en extra diensten.

Wat kost SSL voor een webshop?

Meestal niets: de betaalprovider verwerkt de kaartgegevens, dus Let’s Encrypt volstaat, tenzij een bank, contract of intern beleid OV of EV eist. Bij RichHost zit een gratis SSL-certificaat van Let’s Encrypt in elk hostingpakket.

Kan ik gratis een wildcardcertificaat krijgen?

Ja. Let’s Encrypt geeft wildcards uit via DNS-validatie. In een hostingpaneel werkt dat meestal als de DNS-zone van het domein op dezelfde server staat; anders gebruik je acme.sh met de API van je DNS-provider. Een betaalde wildcard kost vanaf ongeveer $ 40 per jaar.

Wat gebeurt er als een certificaat verloopt?

Browsers tonen een waarschuwing over de hele pagina (NET::ERR_CERT_DATE_INVALID in Chrome) en veel bezoekers haken af. Ook crawlers en API-clients kunnen falen.

Conclusie

Voor een blog, bedrijfswebsite of webshop kost een SSL-certificaat niets: Let’s Encrypt versleutelt precies zoals betaalde certificaten en verlengt zichzelf. Betaal alleen voor een concrete eis: OV of EV in een contract, compatibiliteit met oude apparaten, support van de CA of hardware zonder ACME. Alle hostingpakketten van RichHost bevatten gratis Let’s Encrypt SSL en ons eigen controlepaneel met AI-assistent; heb je OV of EV nodig, vraag dan de support naar het installeren van je eigen certificaat.