EV SSL certificaat

Een EV SSL (Extended Validation) certificaat geeft websites een professionele en betrouwbare uitstraling. Door het zichtbaar maken van bedrijfsgegevens zien bezoekers binnen één muisklik wie de eigenaar van een website is. Een gecontroleerde identiteit verbetert het klantvertrouwen en verhoogt het aantal online transacties. De EV certificaten van Sectigo zijn erg voordelig geprijsd, ook hoef je voor een aanvraag geen documenten aan te leveren. Zo heb je voor € 114 binnen een dag een EV certificaat voor je website!

 Bestel een EV Certificaat

Waarom een Extended Validation certificaat?

De hoogste vorm van authenticatie voor SSL is Extended Validation (EV), ook wel uitgebreide validatie genoemd. De controles voor uitgifte zijn streng, hierdoor zijn de kosten ook hoger dan bij certificaten met alleen domein of organisatie validatie. Ook is de levertijd meestal langer. Een EV SSL certificaat is ideaal voor webshops, banken en websites waar bezoekers gevoelige persoonsgegevens moeten uitwisselen.

• Betrouwbare en professionele uitstraling door snel zichtbare bedrijfsgegevens.
• Beste identiteitsgarantie door strenge validatie: controle domeinnaamhouder, bedrijfsgegevens én aanvrager.
• Hoger in Google bij gebruik op de hele website.

De meerwaarde van EV SSL

Het gebruik van SSL voor phishing websites is de afgelopen tijd flink toegenomen. Hiervoor worden Domein Validatie (DV) certificaten zonder bedrijfsgegevens gebruikt, omdat het uitgifteproces daarvoor minder streng is en ze voordelig of zelfs gratis verkrijgbaar zijn. Door de strenge controle voor uitgifte van een EV certificaat, verkleint het de kans op phishing websites aanzienlijk. Uit recent onderzoek blijkt dat slechts 0,4% van de phishing websites EV gebruikt, terwijl maar lieft 34% DV gebruikt.

De bedrijfsnaam wordt bij EV getoond door te klikken op het slotje, in de Page-Info pop-up. Er staat dan bijvoorbeeld bij: 'Issued  to: Company.' Een Organisatie Validatie (OV) certificaat toont deze 'Issued to' niet, de bedrijfsnaam wordt dan pas getoond als je certificaat zelf opent, en een DV certificaat bevat helemaal geen bedrijfsgegevens. De exacte weergave verschilt per browser.

EV (Uitgebreide Validatie)	OV (Organisatie Validatie)
Weergave in Chrome	Weergave in Chrome
Weergave in Firefox	Weergave in Firefox

Aanvragen

Een EV certificaat vraag je aan via onze website. Wij controleren de aanvraag en, als de aanvraag aan alle voorwaarden voldoet en de benodigde documentatie ondertekend is teruggestuurd, ontvang je doorgaans tussen de 3 en 10 werkdagen het certificaat (dit is afhankelijk van de uitgever van het certificaat). Omdat we voor Sectigo zelf de validatie verzorgen, kunnen we EV certificaten van Sectigo al binnen twee werkdagen leveren.

Als er iets is waardoor de aanvraag nog niet voltooid kan worden, koppelen wij aan je terug wat er eventueel nog ontbreekt. Na levering kun je het certificaat installeren op de server(s). Voor het aanmaken van een CSR en het installeren van een certificaat hebben wij stap voor stap handleidingen beschikbaar in onze knowledgebase. Let op: in het certificaat wordt standaard de statutaire naam getoond, óf de handelsnaam met tussen haakjes de statutaire naam. Gebruik hiervoor de notatie: Handelsnaam (Statutaire naam).

Uitzondering hierop zijn de eenmanszaak en VOF: omdat deze rechtsvormen geen statutaire naam hebben mag er een handelsnaam opgegeven worden. Een eenmanszaak wordt verwerkt op de volgende manier: 'Handelsnaam (Voornaam Achternaam)'. Voor een VOF geldt: 'Naam Samenwerkingsverband', alternatief 'Handelsnaam (Naam Samenwerkingsverband)'.

Controles

Bij het aanvragen van een EV certificaat wordt standaard het volgende gecontroleerd:

• De domeinnaamhoudergegevens (Whois);
• De KvK-inschrijving: de organisatiegegevens in de ingediende CSR dienen hier exact mee overeen te komen (inclusief rechtsvorm, zoals B.V.);
• Een ondertekend contract;
• Controle op eerder ingetrokken certificaten;
• Telefonische validatie: de organisatie dient ingeschreven te staan bij detelefoongids.nl of het telefoonnummer dient in de KvK te staan.

De exacte eisen voor een aanvraag verschillen enigszins per CA:

DigiCert, Thawte, GeoTrust

• Er moet een contactpersoon worden opgegeven voor de validatie; let er hierbij op dat de volledige voornaam wordt gebruikt. De contactpersoon moet werkzaam zijn voor de organisatie waarvoor het certificaat is aangevraagd. De telefonische validatie kan direct worden voltooid wanneer de contactpersoon als bevoegd is geregistreerd in de KvK. Wanneer dit niet het geval is wordt de contactpersoon via HR (Human Resources) of PZ (Personeelszaken) geverifieerd als tekeningsbevoegd.
• De CA belt alleen naar een publiek geregistreerd nummer dat is terug te vinden in de KvK en/of in de telefoongids.nl. Tevens dient er een Acknowledgement Agreement te worden ondertekend. Deze wordt per e-mail door de CA naar de contactpersoon gestuurd.

Sectigo

Er moet een contactpersoon worden opgegeven voor de validatie die werkzaam is voor de organisatie waarvoor het certificaat is aangevraagd, of door de organisatie bevoegd is voor het aanvragen van certificaten.
De telefonische validatie kan direct worden voltooid wanneer de contactpersoon als bevoegd is geregistreerd in de KvK. Wanneer dit niet het geval is kan een medewerker bevestigen dat de contactpersoon een medewerker is, of bevoegd is. Er kan alleen gebeld worden naar een publiek geregistreerd nummer dat is terug te  vinden in de KvK en/of in de telefoongids.nl. Wanneer de gegevens niet kloppen moeten deze eerst gewijzigd worden.

Daarnaast moet er een subscriber agreement ondertekend worden; je kunt deze online ondertekenen en bevestigen. Het insturen van documenten is dus niet nodig. Let op: Als er sprake is van een BV met een Holding BV moet de aanvraag gedaan worden door BV zelf, NIET vanuit de holding; een certificaat is een erkenning van het bedrijf als entiteit, en niet van haar eigenaren. Er wordt ook een domeinvalidatie uitgevoerd.

GlobalSign

Voor de validatie moet er een contactpersoon worden opgegeven die werkzaam is voor de organisatie waarvoor het certificaat is aangevraagd. De telefonische validatie kan direct worden voltooid wanneer de persoon als bevoegd is geregistreerd in de KvK. Anders wordt er via HR (Human Resources) of PZ (Personeelszaken) gecontroleerd wat de functie van de contactpersoon is. Wanneer dit niet op managementniveau is, zal er bij de manager van de contactpersoon worden gecontroleerd of deze bevoegd is. Er kan alleen gebeld worden naar een publiek geregistreerd nummer dat is terug te vinden in de KvK en/of in de telefoongids.nl.

Verder moeten er een ondertekende Acknowledgement Agreement en een Request Form worden verzonden. Het Request Form wordt per e-mail naar het adres dat is opgegeven bij de aanvraag verstuurd, de Acknowledgement Agreement wordt vanuit GlobalSign direct naar het e-mailadres van de opgegeven contactpersoon verstuurd. 

Onderstaand de exacte controles per CA:

	Sectigo	GlobalSign	Geotrust	Thawte	DigiCert
Domeinvalidatie
Controle KvK gegevens (Inclusief rechtsvorm)
Controle whois gegevens (organisatienaam en adres)
Controle US blacklist
Controle op eerder ingetrokken certificaten
Extra controle bij organisaties jonger dan 3 jaar
Controleren publiek geregistreerd telefoonnummer**
Contactpersoon werkzaam binnen organisatie
Apart leveren request form vanuit CA
Toesturen van overeenkomst
Bevoegdheid via KvK uittreksel bepalen
Bevoegdheid via HR
Functie via HR (om bevoegdheid uit af te leiden)
Controle bij manager om bevoegdheid te controleren
Validatie met contact
Definitieve validatie vanuit CA

Historie

Een belangrijke motivatie voor het gebruik van SSL certificaten is het geven van vertrouwen bij online transacties. Hiervoor getuigt de CA als 'onafhankelijke derde' dat de eigenaar van een certificaat betrouwbaar is. Commerciële druk leidde er echter toe dat CA's SSL certificaten zonder organisatiegegevens gingen uitgeven. Voor dit type certificaat wordt een beperkte controle uitgevoerd, en de eigenaar van een website niet gecontroleerd. Browsers tonen geen duidelijk onderscheid tussen dit type certificaat, en degenen waarvoor wel meer controle is gedaan. Aangezien een standaard SSL verbinding alleen een slotje weergeeft in de adresbalk, kunnen gebruikers hier niet uit afleiden of de eigenaar van de website is gevalideerd. Als gevolg daarvan hebben fraudeurs (waaronder phishing websites) SSL certificaten gebruikt om zich voor te doen als geloofwaardige en betrouwbare websites.

In 2005 was de eerste vergadering van het CA/Browser Forum (een samenwerkingsverband tussen de browsers en CA's), op initiatief van Sectigo (Comodo). Het doel was het verbeteren van de standaarden voor het uitgeven van SSL certificaten. Op 12 juni 2007 heeft het CAB Forum de eerste versie van de richtlijnen voor Extended Validation (EV) vastgesteld.

Door het instellen van strengere criteria voor de uitgifte van certificaten en consistente controle op deze criteria door alle deelnemende CA's, zijn SSL certificaten met uitgebreide validatie (EV) ontworpen om het vertrouwen van de bezoekers in de veiligheid van websites te behouden. EV certificaten tonen de bezoeker duidelijk dat zij de website van een wettelijk gevestigd bedrijf of organisatie bezoeken, met een gevalideerde identiteit.

Certificate Transparency

Certificate transparency (CT) is een initiatief van Google. Google Chrome kan hiermee zelf controleren of een SSL certificaat legitiem is uitgegeven. Per 1 februari 2015 verplichten zij CT voor alle EV certificaten. Alle CA's werken mee aan dit initiatief en zorgen ervoor dat certificaten die zij uitgeven bekend zijn in de CT lijst.