SSL-certificaat of domeinnaam verlopen? Zo los je het op

Zien bezoekers "Je verbinding is niet privé" met de code NET::ERR_CERT_DATE_INVALID? Dan is je SSL-certificaat verlopen (of staat de klok van hun toestel verkeerd). Je website bestaat nog en met een vernieuwd certificaat is hij vaak binnen het uur terug. Zegt de browser dat de site niet gevonden kan worden, zie je een parkeerpagina van je registrar en werkt je mail ook niet meer? Dan is waarschijnlijk je domeinnaam verlopen of opgeheven. Een opgeheven .nl- of .be-domeinnaam gaat 40 dagen in quarantaine: in die tijd kan alleen jij hem terughalen. Daarna kan iedereen hem registreren. Wacht dus niet.

Hieronder lees je hoe je de twee uit elkaar houdt, hoe je elk probleem oplost, wie de domeinnaam mag terughalen en hoe je dit voorkomt. Heb je nu meteen een developer nodig? Onze spoedhulp start dezelfde dag voor €75 per uur.

Certificaat of domeinnaam? Lees de foutmelding

De meeste zoekresultaten komen van één hostingpartij of één SSL-leverancier en behandelen maar de helft van het probleem. Zoek eerst uit welke helft jij hebt.

Volgens de helppagina van Google kan NET::ERR_CERT_DATE_INVALID ook verschijnen als datum en tijd van het toestel verkeerd staan, en betekent ERR_NAME_NOT_RESOLVED dat het adres niet bestaat of een ander IP-adres heeft gekregen (Chrome Help). Ziet maar één persoon de melding, controleer dan eerst diens klok.

De eerste 15 minuten

1. Test op een ander toestel via mobiele data. Maak een screenshot van de foutmelding en de code.
2. Bekijk de vervaldatum van het certificaat. Open in de waarschuwing de certificaatgegevens en noteer "geldig tot" en de uitgever (Let's Encrypt, Sectigo, Cloudflare, je hoster).
3. Zoek je domeinnaam op in de Whois van SIDN (.nl) of DNS Belgium (.be). Noteer de status en, bij quarantaine, de einddatum.
4. Zoek uit wie de registrar is en wie kan inloggen. Vaak is dat een vorig webbureau of een oud-medewerker.
5. Doorzoek je mail en spam op verlengingsherinneringen en mislukte betalingen. Een verlopen creditcard is de klassieke oorzaak.
6. Verleng of heractiveer als het in jouw account staat. Beheert je hoster het certificaat, gebruik dan de knop "vernieuwen" in het paneel.
7. Laat klanten weten hoe ze je intussen bereiken, telefonisch of via social media.

Als het je SSL-certificaat is

Waarom automatisch verlengen stopt

De meeste certificaten zijn gratis en worden automatisch verlengd: door je hostingpaneel (cPanel AutoSSL, Plesk, DirectAdmin), door Certbot op je server of door een platform als Shopify of Cloudflare. Verloopt het toch, dan liep de automatisering al weken eerder vast. Veelvoorkomende redenen:

• Poort 80 dicht. De standaardcontrole van Let's Encrypt kan alleen via poort 80 (Let's Encrypt). Een firewall die na de installatie strenger is gezet, breekt elke verlenging.
• DNS verhuisd. De domeinnaam wijst naar een nieuwe server of een CDN, waardoor de controle op de oude server mislukt.
• Wildcardcertificaten hebben een DNS-controle nodig met API-toegang tot je DNS-provider. Nieuwe provider of nieuwe sleutel, en de verlenging faalt.
• Niemand krijgt de waarschuwing. Let's Encrypt stuurt sinds 4 juni 2025 geen vervalmails meer (aankondiging).
• De webserver is niet herladen. Het nieuwe certificaat staat op schijf, maar de server toont nog het oude.

Gebruik je Cloudflare?

Dan zijn er twee certificaten: het certificaat dat bezoekers zien (beheerd door Cloudflare) en dat op je eigen server. In de modus Full (strict) controleert Cloudflare het certificaat van je server; is dat verlopen, dan krijg je fout 526. Cloudflare noemt overschakelen naar Full een snelle noodoplossing en vernieuwen de echte oplossing (fout 526). Zet hem niet op Flexible om de fout weg te krijgen: dan is het verkeer tussen Cloudflare en je server niet versleuteld (SSL-modi).

Certificaten gaan steeds korter mee

In april 2025 stemde het CA/Browser Forum, waarin certificaatuitgevers en browsermakers zitten, voor een stapsgewijze verkorting van de maximale looptijd; Apple, Google, Microsoft en Mozilla stemden alle vier voor (ballot SC-081v3). Het schema (DigiCert):

Let's Encrypt gaat verder: standaardcertificaten gaan in februari 2027 van 90 naar 64 dagen en in februari 2028 naar 45 dagen (Let's Encrypt). Een jaarcertificaat met de hand installeren is dus voorbij: elk certificaat moet automatisch verlengen, en iemand moet controleren dat dat lukt.

Als het je domeinnaam is

.nl en .be: 40 dagen quarantaine

Een .nl-domeinnaam die is opgeheven, kan volgens SIDN 40 dagen lang door niemand anders geregistreerd worden. Alleen jij, de oude houder, kunt hem terughalen, via je oude of een nieuwe registrar. SIDN rekent de heractivering af met de registrar en die bepaalt wat jij betaalt. Een nieuwe registrar kan om een kopie van je ID en een KvK-uittreksel vragen (SIDN).

Voor .be werkt het vergelijkbaar. DNS Belgium verlengt domeinnamen automatisch en factureert de registrar; wil die niet meer betalen, dan heft hij de naam op (DNS Belgium). Een gedeactiveerde naam gaat 40 dagen in quarantaine. Heractiveren via je huidige registrar is het goedkoopst; overzetten naar een nieuwe registrar kan ook. Staat de naam op "out of service" omdat hij verlopen is of je registrar geen contract meer heeft, dan kun je binnen 2 maanden na de vervaldatum een nieuwe registrar kiezen (DNS Belgium).

.com, .net, .org en andere generieke extensies

Hiervoor gelden ICANN-regels (ERRP): twee herinneringen voor de vervaldatum (ongeveer een maand en een week ervoor) en één binnen vijf dagen erna; de houder moet na de vervaldatum nog kunnen verlengen; en na verwijdering volgt een Redemption Grace Period van 30 dagen waarin de registrar de naam voor je kan herstellen. Hoe lang je daarvóór nog tegen normaal tarief kunt verlengen, bepaalt de registrar. Eén registrar publiceert bijvoorbeeld 38 dagen respijt, dan 30 dagen redemption met een herstelkost van $20 tot $250 afhankelijk van de extensie ($40 voor .com), en daarna ongeveer 5 dagen tot de naam vrijkomt (Fozzy).

Wie mag verlengen of terughalen?

De registrar handelt voor de houder uit de Whois of voor wie het account beheert. Daar loopt het vaak mis: de naam is ooit geregistreerd door een freelancer, een vorig bureau of een medewerker, op eigen naam of in eigen account. Staat het login-mailadres op het verlopen domein zelf, dan komen wachtwoordherstelmails niet eens aan. Verzamel bewijs (facturen, KvK- of KBO-gegevens, ID) en neem rechtstreeks contact op met de registrar.

Het echte risico: domeinkapers

Zodra een naam vrijkomt, proberen geautomatiseerde diensten hem binnen enkele seconden te registreren. Afnic bouwde er zelfs een aparte server voor, omdat het volume andere registrars hinderde. Een verloren domeinnaam krijg je meestal alleen terug door hem te kopen, of via een geschil als je een merkrecht hebt. Wacht dus niet tot dag 39.

Wanneer bel je een developer?

• Verlengen in je hostingpaneel werkt: geen developer nodig. Controleer wel of de site overal via https laadt, ook met www.
• Het certificaat is vernieuwd maar de melding blijft, verlengen geeft een fout, of je hebt een eigen server, Cloudflare of maatwerk: bel een developer.
• De domeinnaam is terug maar site of mail niet: DNS-records kunnen kwijt of gewijzigd zijn. Een developer zet ze terug en controleert je mail (SPF, DKIM, DMARC).
• Je krijgt de accounthouder niet te pakken: start zelf de eigendomsclaim bij de registrar; een developer bereidt intussen de rest voor.

Wat je klaarlegt

• Login bij je registrar, of minstens de naam van de registrar en je Whois-gegevens
• Toegang tot hostingpaneel of server, en tot Cloudflare als je dat gebruikt
• Screenshots van de foutmelding met code
• Wat er recent veranderd is: nieuwe hoster, DNS-verhuizing, firewall, nieuwe developer
• Eén persoon die verlengings- en herstelkosten mag goedkeuren

Ligt je WordPress-site plat om een andere reden? Gebruik dan onze checklist voor een offline WordPress-site.

Wat het kost

Verlengen kost het normale tarief van je registrar; herstel- of heractiveringskosten komen er pas bij in quarantaine of redemption. Een developer heb je nodig voor wat stuk is: de automatische verlenging, DNS, Cloudflare, mail. Onze prijzen, exclusief btw:

Een voorbeeld: kost het herstellen van een kapotte automatische verlenging plus het nalopen van alle subdomeinen twee uur op een werkdag, dan betaal je €150. Abonnementen lopen minstens 3 maanden. Je houdt alle toegang zelf; we werken in jouw accounts en repository en tekenen een NDA als je dat wilt. In onze gids over wat een spoeddeveloper kost vergelijken we tarieven van anderen.

Zo voorkom je het volgende keer

• Automatisch verlengen aan, met een betaalkaart die niet binnenkort verloopt, voor domeinnaam, hosting en betaalde certificaten.
• Registreer de domeinnaam op naam van je bedrijf, in een account dat van het bedrijf is, met een gedeeld adres (bijvoorbeeld it@) dat niet op datzelfde domein draait.
• Bewaak vervaldatums van elke domeinnaam en elk certificaat, met een alert op 30 en 7 dagen. Let's Encrypt mailt niet meer, dus dit moet een tool of een persoon doen.
• Noteer wie welke login heeft: registrar, DNS, hosting, Cloudflare.
• Laat iemand meekijken. Onze abonnementen omvatten updates en monitoring, en we bewaken de vervaldatums van je domeinnaam en SSL-certificaat voor je; in onze gids over onderhoudskosten zie je wat dat waard is.

Wil je weten wat er nog meer op knappen staat? EngineeringScore doet een gratis audit van beveiliging, snelheid, SEO, toegankelijkheid en betrouwbaarheid van je site.

Ligt je site nu plat?

Stuur ons de foutmelding en je domeinnaam via de pagina spoedhulp. Een senior developer pakt het dezelfde dag op, ook buiten kantooruren, voor €75 per uur zonder minimum, en vertelt je eerst of het om het certificaat, de domeinnaam of iets anders gaat. Overkwam je dit al eerder? Bekijk dan onze prijzen voor een abonnement dat de wacht houdt.