Het verschil in één minuut
Met HTTPS verifieert de browser de website aan de hand van een certificaat en versleutelt hij de sessie tot aan die website. Het lokale netwerk, de internetprovider en de VPN-server kunnen de HTTPS-inhoud dan niet lezen, al kunnen ze metadata waarnemen die nodig zijn voor de routering.
Met een VPN versleutelt het systeem het bedoelde verkeer tot aan de VPN-server. Vanaf die server gaat het verkeer verder naar zijn bestemming. Als het ook HTTPS gebruikt, blijft het tot aan de website versleuteld; zo niet, dan krijgt het gedeelte na de VPN-server niet op magische wijze HTTPS-bescherming.
| Vraag | VPN | HTTPS |
|---|---|---|
| Begin | Apparaat of VPN-app | Browser of toepassing |
| Einde | VPN-server | Website of dienst |
| IP-adres dat de website ziet | Exitserver | Verandert het niet |
| Beschermt tegen nepwebsites | Nee | Het certificaat helpt, maar voorkomt geen phishing |
Bronnen en referenties
Wie kan wat zien?
Het lokale netwerk ziet hoofdzakelijk een versleutelde verbinding met de VPN-server. De VPN-provider ziet de informatie die nodig is om de verbinding door te sturen, maar HTTPS beperkt zijn mogelijkheid om de met de website uitgewisselde inhoud te lezen.
De website ziet het uitgaande IP-adres van de VPN en alles wat u eraan doorgeeft: aangemeld account, cookies, formuliergegevens en browserkenmerken. HTTPS beschermt deze gegevens tijdens het transport, niet tegen de ontvanger zelf.
Voorbeeld op de wifi van een hotel
U opent uw bank via HTTPS terwijl de VPN actief is. De hotelwifi ziet de inhoud van de pagina niet, maar wel een verbinding met de VPN. De VPN-server stuurt de verbinding door, terwijl de bankinhoud dankzij HTTPS tot aan de bank versleuteld blijft.
Negeer een certificaatwaarschuwing op een pagina niet omdat de VPN actief is. De tunnel valideert de identiteit van de website niet in plaats van de browser.
Veelvoorkomende misverstanden
Het hangslot in de browser betekent niet dat de website eerlijk is: het betekent vooral dat de verbinding met dat domein volgens het certificaat is versleuteld en geauthenticeerd. Ook een phishingsite kan HTTPS gebruiken.
Omgekeerd verbergt HTTPS het IP-adres van uw verbinding niet voor de website. De VPN kan het uitgaande adres wijzigen, maar accounts en cookies blijven zichtbaar voor de website.
- HTTPS blijven gebruiken, ook met een VPN.
- Nooit een certificaatwaarschuwing omzeilen zonder de oorzaak te begrijpen.
- Het bereik van de VPN-app of -extensie controleren.
- De VPN-provider als vertrouwenspersoon behandelen.