Hoe vraag je een S/MIME e-mailondertekeningscertificaat aan en gebruik je deze

Als ontwikkelaar is veilige communicatie cruciaal. S/MIME is een veelgebruikte standaard voor e-mailbeveiliging die het mogelijk maakt om verstuurde e-mails digitaal te ondertekenen en te versleutelen. Via digitale ondertekening kan de ontvanger verifiëren dat een e-mail daadwerkelijk van jou afkomstig is en dat de inhoud niet is gewijzigd; via encryptie kan alleen de geadresseerde met de juiste privésleutel de inhoud lezen, waardoor gevoelige informatie beschermd blijft.

In dit artikel begeleiden we je bij het aanvragen en gebruiken van een S/MIME e-mailondertekeningscertificaat in de krachtige lokale webontwikkelomgeving van ServBay. Dankzij de ingebouwde certificaatbeheer-functies kun je dit snel regelen en zo de veiligheid van je e-mailverkeer flink verhogen.

Inleiding tot S/MIME e-mailondertekeningscertificaten

S/MIME (Secure/Multipurpose Internet Mail Extensions) is een e-mailbeveiligingsstandaard gebaseerd op Public Key Infrastructure (PKI). Het maakt gebruik van digitale certificaten (S/MIME-certificaten) voor het digitaal ondertekenen en versleutelen van e-mails.

Belangrijkste functies van S/MIME-certificaten:

• Digitale handtekening: Met je privésleutel wordt een samenvatting van de e-mailinhoud berekend en ondertekend. De ontvanger kan met de publieke sleutel uit je certificaat de handtekening verifiëren, zodat zowel de identiteit van de afzender als de integriteit van de e-mail wordt gegarandeerd. Dit zorgt voor authenticiteit en integriteit van het bericht.
• E-mailencryptie: De inhoud wordt versleuteld met de publieke sleutel van de ontvanger. Alleen de ontvanger met de bijbehorende privésleutel kan de e-mail ontsleutelen. Dit waarborgt de vertrouwelijkheid en voorkomt dat het bericht bij onderschepping wordt uitgelezen.
• Verhoogd vertrouwen: In e-mailclients met S/MIME-ondersteuning wordt een getekende e-mail vaak gemarkeerd als vertrouwd, waardoor ontvangers legitieme e-mails makkelijker herkennen en de kans op phishing wordt verkleind.

Voor ontwikkelaars biedt S/MIME bescherming bij communicatie over code, projectdetails, API-sleutels of andere gevoelige informatie.

Vereisten

Controleer voordat je begint of je aan de volgende voorwaarden voldoet:

• Je hebt de lokale ontwikkelomgeving van ServBay succesvol geïnstalleerd en draait deze (deze handleiding is gericht op macOS).
• Je beschikt over een geldig e-mailadres, dat gekoppeld wordt aan je S/MIME-certificaat.

S/MIME e-mailondertekeningscertificaat aanvragen via ServBay

ServBay biedt een gebruiksvriendelijke interface voor certificaatbeheer, waarmee je via de ingebouwde ServBay CA snel S/MIME-certificaten kunt aanmaken voor lokaal gebruik, testen of persoonlijk gebruik.

1. Open het SSL-certificaatbeheer: Start de ServBay-app. Klik in de zijbalk van het hoofdscherm op "SSL Certificates". Dit opent het certificaatbeheerpaneel.
2. Klik op de toevoegen-knop: Rechtsboven op de beheerpagina klik je op het "+" (toevoegen) icoon.
3. Vul de certificaatgegevens in: In het venster "Request Certificate" moet je de volgende belangrijke informatie invullen:
   • Common Name: Vul je naam in, of de naam die getoond moet worden in het certificaat. Bijvoorbeeld: ServBay Demo User.
   • Usage Purpose: Kies het doeleinde van het certificaat. Selecteer verplicht S/MIME (E-mail Signing).
   • Request Method: Selecteer de aanvraagmethode. Kies voor ServBay CA om de interne CA van ServBay te gebruiken.
   • Issuer: Kies de uitgever. Selecteer voor S/MIME-certificaten meestal ServBay User CA, bedoeld voor het uitgeven van persoonlijke niet-openbare certificaten.
   • Algorithm: Kies het algoritme. De moderne en veilige keuze is ECC (Elliptic Curve Cryptography), of kies traditioneel voor RSA.
   • Key Length: Kies de sleutellengte. Voor ECC wordt 384 bits of hoger aangeraden; voor RSA minimaal 2048 bits, voor voldoende beveiliging.
   • Password: [Zeer belangrijk!] Stel een sterk wachtwoord in ter bescherming van je privésleutel. Dit wachtwoord heb je nodig bij het exporteren én bij het importeren van het certificaat in je e-mailclient. ServBay slaat dit wachtwoord niet op: bij verlies kan het niet worden hersteld en zul je een nieuw certificaat moeten aanvragen. Het standaardwachtwoord is ServBay.dev, maar stel altijd een uniek en veilig wachtwoord in!
   • E-mailaddress: Vul het e-mailadres in dat aan dit certificaat wordt gekoppeld. Dit is een belangrijke identifier voor het S/MIME-certificaat.
4. Klik op de "Request"-knop: Controleer goed of alle informatie correct is ingevuld en klik daarna onderaan op de "Request"-knop. ServBay zal nu direct een S/MIME-certificaat uitgeven via de ingebouwde ServBay User CA.

(Afbeelding: toont het formulier voor S/MIME-certificaataanvraag in ServBay)

Na succesvolle uitgifte verschijnt je nieuwe S/MIME-certificaat in de lijst van SSL-certificaten.

Certificaat exporteren en gebruiken

Na succesvolle aanvraag moet je het certificaat exporteren in een formaat dat je e-mailclient herkent, en dit vervolgens importeren.

1. Open het SSL-certificaatbeheerpaneel: Klik in de ServBay-zijbalk op "SSL Certificates".
2. Vind je S/MIME-certificaat: Zoek in de lijst naar het zojuist uitgegeven S/MIME-certificaat (identificeer het via Common Name of e-mailadres).
3. Klik op de exporteren-knop: Klik naast het certificaat op het export-icoon (meestal een naar rechts wijzende pijl).
4. Kies opslaglocatie en sla op: Selecteer in het dialoogvenster de lokale map waar je het certificaat wilt opslaan en geef het bestand een naam. Het geëxporteerde bestand heeft meestal de extensie .p12 of .pfx, en bevat zowel het publieke certificaat als de privésleutel.
5. Importeer het in je e-mailclient: Open je gangbare e-mailapplicatie (zoals Apple Mail, Microsoft Outlook, Mozilla Thunderbird, enz.). Zoek in de instellingen of voorkeuren naar onderdelen zoals ‘accounts’, ‘beveiliging’ of ‘certificaten’. Kies voor certificaat importeren en selecteer vervolgens het geëxporteerde .p12-bestand. Tijdens de import wordt gevraagd naar het wachtwoord voor de privésleutel. Vul het correcte wachtwoord in om het certificaat toe te voegen en te koppelen aan je e-mailaccount.

(Afbeelding: toont opties voor het ondertekenen of versleutelen van e-mails met S/MIME tijdens het opstellen van een bericht)

Na import biedt de e-mailclient doorgaans bij het opstellen van nieuwe e-mails de keuze om deze digitaal te ondertekenen en/of te versleutelen. Let op: om een versleutelde e-mail te sturen, heb je het S/MIME-certificaat (de publieke sleutel) van de ontvanger nodig.

(Afbeelding: toont hoe ondertekende of versleutelde e-mails worden weergegeven bij de ontvanger in hun e-mailclient)

Certificaat verlengen

S/MIME-certificaten die via de ServBay User CA zijn uitgegeven, hebben standaard een geldigheid van 800 dagen. Voor blijvende werking moet je vóór het verlopen verlengen.

1. Open het SSL-certificaatbeheerpaneel.
2. Vind het certificaat dat verlengd moet worden.
3. Klik op de verlengen-knop: Klik naast het certificaat op het verlengingsicoon (meestal een kringvormige pijl).
4. Bevestig verlenging: Volg de instructies; na bevestiging wordt de geldigheid vanaf de huidige datum met 800 dagen verlengd. Vergeet niet het vernieuwde certificaat opnieuw te exporteren en weer te importeren in je e-mailclient.

Certificaat verwijderen

Als je een S/MIME-certificaat niet langer nodig hebt, kun je deze uit ServBay verwijderen.

1. Open het SSL-certificaatbeheerpaneel.
2. Vind het certificaat dat verwijderd moet worden.
3. Klik op het verwijder-icoon: Bij het certificaat, klik op het prullenbakicoon.
4. Bevestig verwijdering: Selecteer "Delete" in het menu dat verschijnt en bevestig. Let op: na verwijdering bewaart ServBay geen kopie meer van het certificaat. Als het reeds was geïmporteerd in je e-mailclient, wordt het niet automatisch daaruit verwijderd: je dient het handmatig via je e-mailclient te verwijderen of te deactiveren.

Belangrijke aandachtspunten

• Beveiliging van de privésleutel: De sterkte van het S/MIME-certificaat staat of valt met de beveiliging van de privésleutel. Gebruik altijd een sterk wachtwoord en deel het .p12-bestand met privésleutel nooit met anderen.
• Vertrouwen in ServBay User CA: Certificaten van de ServBay User CA zijn uitgegeven door een privé-CA en worden niet publiekelijk vertrouwd. Gebruik je zo’n certificaat om e-mails te ondertekenen aan externe ontvangers, dan zal hun e-mailclient mogelijk de melding geven dat de ondertekening niet vertrouwd wordt. Dit is acceptabel voor interne teams of testomgevingen, maar voor bredere externe acceptatie kun je overwegen een publiek S/MIME-certificaat aan te schaffen. De ACME-functie in ServBay ondersteunt momenteel alleen publieke SSL-certificaten voor websites, niet voor S/MIME.
• Koppeling tussen certificaat en e-mailadres: Een S/MIME-certificaat is verbonden aan het e-mailadres dat je bij de aanvraag opgeeft. Wijzig je je e-mailadres, dan moet je opnieuw een S/MIME-certificaat aanvragen voor het nieuwe adres.
• Verlies wachtwoord: Zoals hierboven uitgelegd is het niet mogelijk het wachtwoord van de privésleutel te herstellen als je deze bent vergeten. Bewaar het dus goed!

Veelgestelde vragen (FAQ)

Vraag 1: Wat als ik het wachtwoord van de privésleutel van mijn S/MIME-certificaat ben vergeten?

Antwoord: Helaas slaat ServBay je privésleutelwachtwoord niet op en kan het niet herstellen. Zonder wachtwoord is het certificaat onbruikbaar. Verwijder het bijbehorende certificaat in ServBay en vraag een nieuwe S/MIME certificaat aan.

Vraag 2: Waarom zien ontvangers een waarschuwing "Ondertekening niet vertrouwd" als ik e-mails stuur met een via ServBay uitgegeven S/MIME-certificaat?

Antwoord: De ServBay User CA is een lokale, niet-publiek vertrouwde certificaatautoriteit. Tenzij de ontvanger ook de ServBay User CA vertrouwt (bijvoorbeeld door handmatig deze CA in hun omgeving te installeren), zal hun client handtekeningen van deze CA niet automatisch vertrouwen. Dit is normaal: de handtekening is geldig, maar de uitgever is niet opgenomen in publieke vertrouwenslijsten.

Vraag 3: Kan ik mijn oude S/MIME-certificaat blijven gebruiken als ik van e-mailadres verander?

Antwoord: Nee, S/MIME-certificaten zijn gekoppeld aan het e-mailadres opgegeven bij de aanvraag. Wijzig je je e-mailadres, dan dien je een nieuw S/MIME-certificaat aan te vragen.

Samenvatting

Dankzij het SSL-certificaatbeheer van ServBay kun je eenvoudig S/MIME e-mailondertekeningscertificaten aanvragen en beheren. Met S/MIME voeg je digitale handtekeningen toe aan belangrijke e-mails, verifieer je je identiteit en waarborg je de integriteit van berichten – of versleutel je gevoelige inhoud ter bescherming van privacy en gegevens.

Begin vandaag nog met het aanvragen van je S/MIME-certificaat in ServBay en maak je e-mailverkeer veiliger én betrouwbaarder! Loop je tijdens het proces ergens tegenaan, raadpleeg dan de officiële documentatie van ServBay of neem contact op met het supportteam voor hulp.