# Certificaten en sleutels: VPN-toegang zonder alleen een wachtwoord > Hoe certificaten en sleutels een VPN sterker maken dan een wachtwoord: servercertificaat, clientcertificaat, WireGuard-sleutels en vervaldatums. **Certificaten en sleutels** bewijzen bij een VPN wie er aan de andere kant zit, zonder dat iemand een geheim moet intikken. Het servercertificaat bewijst aan de laptop dat hij met de echte VPN-gateway van je zaak praat. Een clientcertificaat of een sleutel op het toestel bewijst aan de gateway dat de laptop van je zaak is. Samen met tweestapsverificatie maken ze een gestolen wachtwoord veel minder waard. Deze gids legt uit hoe dat werkt en waar een zelfstandige of kmo op let: vervaldatums, verloren laptops en gedeelde sleutels. **In het kort** 1. Een servercertificaat beschermt tegen valse VPN-servers, maar alleen als gebruikers certificaatwaarschuwingen niet leren wegklikken. 2. Een clientcertificaat of sleutel op een bedrijfslaptop, liefst beschermd door de TPM-chip, zorgt dat alleen toestellen van je zaak kunnen verbinden. 3. Publieke TLS-certificaten worden korter geldig: het CA/Browser Forum besliste in april 2025 om de maximale geldigheid tussen maart 2026 en maart 2029 terug te brengen van 398 naar 47 dagen. *Of: waarom een badge met een foto meer zegt dan een code* Wie [zijn VPN beter wil beveiligen](/gidsen/vpn-voor-bedrijven/vpn-beveiligen/) dan met een wachtwoord alleen, komt vroeg of laat bij certificaten en sleutels uit. Ze werken in twee richtingen. Het servercertificaat laat de laptop controleren dat hij met de echte gateway van je zaak verbindt. Een clientcertificaat of sleutel laat de gateway controleren dat er een toestel van de zaak aanklopt. Microsoft beschrijft voor zijn [Always On VPN](https://learn.microsoft.com/nl-nl/windows-server/remote/remote-access/overview-always-on-vpn) bijvoorbeeld aanmelding met computercertificaten, en met gebruikerscertificaten waarvan de sleutel in de TPM-chip van de laptop zit en niet kan worden gekopieerd. Kort: een wachtwoord bewijst wat iemand weet. Een certificaat op een beheerde laptop bewijst wat iemand heeft, en dat is veel moeilijker door te geven, te raden of te laten ontfutselen. ## VPN-certificaten en sleutels: twee kanten van de deur ### Het servercertificaat: is dit wel mijn kantoor? Bij elke verbinding toont de VPN-gateway een certificaat. Als de laptop dat vertrouwt, verbindt hij zonder morren. Als hij het niet vertrouwt, verschijnt er een waarschuwing. Daar loopt het in kleine zaken vaak mis. De installateur zet een zelfondertekend certificaat op de firewall, de gebruikers krijgen bij elke verbinding een waarschuwing, en ze leren op „toch doorgaan” te klikken. Daarmee is de controle weg. Als iemand ooit een valse VPN-server opzet, bijvoorbeeld op een hotelnetwerk, krijgen ze dezelfde waarschuwing en klikken ze op dezelfde knop. Twee nette oplossingen: een certificaat van een erkende certificaatautoriteit, of een eigen certificaatautoriteit waarvan je het basiscertificaat zelf op de laptops van de zaak zet. In beide gevallen verdwijnt de waarschuwing, zodat ze opnieuw iets betekent als ze toch verschijnt. Gebruikt je VPN-portaal een publiek certificaat, hou dan rekening met kortere looptijden. Het [CA/Browser Forum](https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/), waar certificaatautoriteiten en browsermakers de regels afspreken, besliste in april 2025 om de maximale geldigheid van publieke TLS-certificaten stap voor stap terug te brengen van 398 dagen naar 47 dagen, tussen maart 2026 en maart 2029. Een certificaat dat je met de hand vernieuwt, wordt zo een terugkerende afspraak. Automatisch vernieuwen is de enige houdbare manier. > **Kmo-Kristof:** Elke keer dat ik verbind, krijg ik een waarschuwing over het certificaat. Ik klik gewoon op doorgaan. > > **Security-Sofie:** Sinds wanneer? > > **Kmo-Kristof:** Sinds de installatie. Drie jaar. > > **Security-Sofie:** Dan heb je drie jaar geoefend om de enige waarschuwing te negeren die echt iets zou betekenen. {.dialoog} ### Het clientcertificaat: is dit wel onze laptop? Een clientcertificaat is een digitaal bewijs dat op de laptop staat. De gateway laat alleen toestellen binnen met een geldig certificaat van jouw zaak. Een gestolen wachtwoord volstaat dan niet meer: de aanvaller heeft ook een laptop van de zaak nodig. Hoe sterk dat is, hangt af van waar de sleutel staat. Een certificaat dat als bestand op de schijf staat, kan worden gekopieerd. Een sleutel in de TPM-chip niet. Microsoft noemt die laatste vorm uitdrukkelijk een hogere zekerheid, omdat de sleutel niet exporteerbaar is. Voor een kmo met Microsoft 365 en beheerde laptops kan het nog een stap verder: na een geslaagde aanmelding met tweestapsverificatie en een controle van het toestel geeft Microsoft Entra ID een kortlevend certificaat uit, standaard zestig minuten geldig, waarmee de laptop zich bij de VPN-gateway aanmeldt. Wie een gestolen certificaat heeft, heeft er dan niet lang plezier van. ### WireGuard: sleutels zonder certificaat [WireGuard](https://www.wireguard.com/) werkt zonder certificaten en zonder wachtwoorden. Elk toestel heeft een sleutelpaar, en de server kent de publieke sleutel van elk toestel dat mag verbinden, vergelijkbaar met hoe SSH-sleutels werken. Per publieke sleutel ligt vast welke interne adressen dat toestel mag gebruiken, wat als een kleine toegangslijst werkt. Het gevolg voor beheer: WireGuard regelt de verdeling van sleutels niet zelf. Jij houdt bij welke sleutel bij welke laptop hoort, en verwijdert de sleutel van de server als de laptop verdwijnt of de medewerker vertrekt. Een tweede factor zit er niet standaard bij; die moet uit de software rond WireGuard komen. ### Eén gedeelde sleutel voor iedereen Sommige oudere IPsec-opstellingen werken met een vooraf gedeelde sleutel: één geheim dat iedereen in de zaak in zijn VPN-instellingen heeft staan. Dat is een groepswachtwoord met een technischere naam. Vertrekt er iemand of raakt er een laptop zoek, dan moet de sleutel voor iedereen veranderen, en dat gebeurt zelden. Een certificaat of sleutel per toestel is beter, omdat je dan één toestel kunt uitsluiten zonder de anderen te storen. ### Verloren laptop, vertrokken collega Een certificaat dat niet meer gebruikt mag worden, trek je in. Ga na dat de gateway die intrekking ook echt controleert, anders blijft een ingetrokken certificaat werken tot het vervalt. Bij WireGuard verwijder je de publieke sleutel van het toestel op de server. Een fotograaf die alleen werkt met één laptop, heeft daar weinig werk aan. Een bureau met twintig laptops en een paar wissels per jaar zet het best op de lijst van wat er gebeurt bij elk vertrek. ### Een certificaat en een tweede factor Een certificaat bewijst welk toestel er verbindt, niet wie erachter zit. Daarom gaat het samen met [een tweede factor erbovenop](/gidsen/vpn-voor-bedrijven/vpn-beveiligen/vpn-mfa/), niet in de plaats ervan. ### Per persoon en per toestel Een certificaat per laptop vraagt dezelfde discipline als een account per persoon. Hoe je dat organiseert bij aanwerving, vertrek en migratie, lees je bij [het beheer van VPN-accounts](/gidsen/vpn-voor-bedrijven/vpn-beveiligen/vpn-accounts/). --- Deze pagina bevat affiliatielinks. Sluit je via zo'n link een abonnement of aankoop af, dan kan keek.be een commissie ontvangen, zonder extra kosten voor jou. Dat verandert niets aan de beoordeling in dit artikel. [Meer in de algemene voorwaarden](https://www.keek.be/algemene-voorwaarden/#affiliatie).