HTTPS en VPN: wat de versleuteling van websites al beschermt, en wat niet
HTTPS versleutelt de verbinding tussen je browser en een website, en volgens Google laadt Chrome sinds ongeveer 2020 tussen 95 en 99 procent van de webpagina’s via HTTPS, afhankelijk van het besturingssysteem. Wat je op een site leest of invult, is dus al afgeschermd voor wie op het netwerk meekijkt, ook zonder VPN. Wat HTTPS vaak open laat, zijn de metagegevens: welke domeinnamen je opzoekt, met welke servers je verbinding maakt en wanneer. Deze gids legt uit wat een VPN daar nog aan toevoegt, en voor wie.
Of: waarom het slotje in je adresbalk al het meeste werk doet
Een groot deel van de verkoopargumenten voor VPN’s stamt uit een tijd waarin het meeste webverkeer onversleuteld over het netwerk ging. Die tijd is voorbij. Volgens het Transparency Report van Google laadt Chrome sinds ongeveer 2020 tussen 95 en 99 procent van de pagina’s via HTTPS, afhankelijk van het besturingssysteem. Wie wil begrijpen wat een VPN beschermt, moet dus eerst weten wat HTTPS al beschermt, en wat het openlaat.
Kort: HTTPS beschermt de inhoud, een VPN beschermt vooral de omslag. Wat je op een website leest, typt of downloadt, is met HTTPS al onleesbaar voor wie meekijkt. Welke sites je bezoekt, wanneer en hoeveel, is dat vaak niet. Dat is wat een VPN toevoegt, met als prijs dat de VPN-aanbieder die gegevens dan wel ziet.
Wat HTTPS beschermt, en wat een VPN toevoegt
Denk aan een brief in een verzegelde envelop. Het zegel beschermt de inhoud: wie de brief onderweg vasthoudt, kan hem niet lezen zonder het zegel te breken, en dat zou je merken. Maar de naam van de ontvanger staat op de envelop, en de postbode ziet aan welk adres je elke dag schrijft. Een VPN steekt die envelop in een kluis die naar een ander postkantoor rijdt. Dat is meer bescherming, maar de envelop was al dicht.
Wat HTTPS al afschermt
Bij een HTTPS-verbinding zijn versleuteld: de inhoud van de pagina, wat je in formulieren invult, je wachtwoord, je cookies, en het volledige pad van de pagina na de domeinnaam. Het certificaat van de site bewijst bovendien dat je met de echte server praat, niet met een tussenpersoon die zich ervoor uitgeeft. Daarvoor heb je niet meer nodig dan een recente browser.
Certificaten zijn ook geen drempel meer voor websites. Let’s Encrypt, een gratis certificaatautoriteit, schreef eind december 2025 dat het in een jaar tijd van 492 miljoen naar 762 miljoen websites ging. En Google kondigde in oktober 2025 aan dat Chrome vanaf versie 154, in oktober 2026, standaard waarschuwt voor je een openbare website zonder HTTPS opent.
Wat HTTPS openlaat
- De naamopzoeking: voor je browser een site opent, vraagt hij via DNS het IP-adres op. Zonder versleutelde DNS ziet het netwerk welke namen je opzoekt.
- De servernaam: bij het opzetten van een HTTPS-verbinding stuurt je browser de naam van de site vaak nog leesbaar mee. Een nieuwe standaard, Encrypted Client Hello, sinds maart 2026 RFC 9849, versleutelt die naam ook, maar alleen als de browser en de website het allebei ondersteunen.
- Het IP-adres en het ritme: met welke server je verbinding maakt, wanneer, hoelang en hoeveel data, blijft zichtbaar.
- Programma’s zonder HTTPS: oudere software, sommige printers en camera’s, of een verouderde mailinstelling versleutelen niet altijd zelf.
| Wie kijkt mee | Alleen HTTPS | HTTPS en een VPN |
|---|---|---|
| Het wifi-netwerk of je internetprovider | Welke sites je bezoekt, wanneer en hoeveel; niet de inhoud | Alleen een versleutelde verbinding met de VPN-server |
| De VPN-aanbieder | Niets | Welke sites je bezoekt, wanneer en hoeveel; niet de inhoud |
| De website | Je IP-adres en wat je er doet | Het adres van de VPN-server en wat je er doet |
Het lokale netwerk
Op een netwerk dat je niet beheert, speelt nog iets anders. Wie zo’n netwerk opzet of overneemt, kan namen laten verwijzen naar valse servers, of een netwerk opzetten met de naam van het hotel. HTTPS vangt veel daarvan op, omdat een valse server geen geldig certificaat voor de echte site heeft. Maar je browser waarschuwt dan, en wie haast heeft, klikt waarschuwingen soms weg. Een VPN haalt je verkeer van dat netwerk weg voor het er iets mee kan doen.
Een zelfstandige boekhouder die in een hotellobby inlogt op zijn boekhoudsoftware in de cloud, is met HTTPS al beschermd tegen meelezen. Een VPN verbergt voor het hotel daarnaast dat hij die software gebruikt, en welke andere diensten hij die avond opent. Tegen een phishingmail die hem naar een valse inlogpagina lokt, helpt geen van beide: die pagina heeft vaak gewoon een eigen, geldig certificaat.
Kmo-Kristof: Het slotje staat er. Dan is de site toch veilig?
Security-Sofie: Dan is de verbinding met die site veilig.
Kmo-Kristof: Is dat niet hetzelfde?
Security-Sofie: Een oplichter kan ook een verzegelde envelop sturen.
Hoe de tunnel er bovenop komt
Wat er met je pakketten gebeurt als er een VPN-tunnel rond je HTTPS-verkeer komt, staat bij hoe de tunnel werkt.
Wanneer de omslag telt
Voor een zaak die thuis en op kantoor werkt, is de omslag zelden een probleem. Op welke momenten wel, lees je bij wanneer een VPN echt helpt.
Aan of uit op het hotelnetwerk
Wie een VPN gebruikt, vraagt zich daarna af of hij altijd aan moet, of alleen buitenshuis. Dat staat bij je VPN laten aanstaan.