Handleidingen TLS-certificaat

De nieuwe “Staat der Nederlanden Private Root CA – G1” certificate chain, die wordt gebruikt door het nieuwe api.kvk.nl-certificaat, wordt standaard niet vertrouwd door je applicatie. Voeg daarom de nieuwe chain toe aan je lijst met vertrouwde chains.

Vertrouwde certificaten

Root CA
Staat_der_Nederlanden_Private_Root_CA_-_G1.crt
Intermediate CA
Staat_der_Nederlanden_Private_Services_CA_-_G1.crt
Intermediate CA
QuoVadis_PKIoverheid_Private_Services_CA_-_G1.crt

Download certificaten

Root and intermediate certificaten
api.kvk.nl certificaat

Testomgeving

Via https://ssltest.kvk.nl kun je testen of je de nieuwe root en intermediate certificaten correct hebt toegevoegd in je systeem of applicatie. SSLtest gebruikt een certificaat met dezelfde root en intermediate chains als het nieuwe api.kvk.nl-certificaat.

  1. Download het zip bestand met de root- en intermediate certificaten die gebruikt worden door api.kvk.nl.
  2. Pak het bestand uit. Bijvoorbeeld in ~/apicerts.
  3. Ga naar de map met de cacerts truststore. Deze vind je normaliter in de lib/security sub map of in je java home mappen. In bash shell omgeving: cd $JAVA_HOME/lib/security.
  4. Importeer de certificaten met de Java keytool tool:

    keytool -importcert -alias Staat_der_Nederlanden_Private_Root_CA -keystore cacerts -storepass changeit -file ~/apicerts/Staat_der_Nederlanden_Private_Root_CA_-_G1.crt

    keytool -importcert -alias Staat_der_Nederlanden_Private_Services_CA -keystore cacerts -storepass changeit -file ~/apicerts/Staat_der_Nederlanden_Private_Services_CA_-_G1.crt

    keytool -importcert -alias QuoVadis_PKIoverheid_Private_Services_CA -keystore cacerts -storepass changeit -file ~/apicerts/QuoVadis_PKIoverheid_Private_Services_CA_-_G1.crt

  5. Zorg ervoor dat de certificaten correct geïmporteerd worden door het keytool -list commando te gebruiken:

    keytool -list -v -keystore ./cacerts -storepass changeit

  1. Download het root en intermediate chain bestand hier.
  2. Maak een omgevingsvariabele met het juiste pad naar het root en intermediate chain bestand. Bijvoorbeeld:

    NODE_EXTRA_CA_CERTS=./Private_G1_chain.pem

  3. Controleer of het opgegeven bestand in de omgevingsvariabelen bestaat:

    cat $NODE_EXTRA_CA_CERTS

  4. De 3 certificaten worden getoond in PEM formaat. Elk certificaat begint met "-----BEGIN CERTIFICATE-----".

PHP gebruikt de lijst met vertrouwde certificaten van je besturingssysteem. Zorg ervoor dat de root en intermediate certificaten op de lijst van vertrouwde certificaten komen te staan.

Check de CentOS, Debian en Windows tabs hieronder voor instructies.

  1. Download het zip bestand met de root en intermediate certificaten die gebruikt worden door api.kvk.nl.
  2. Pak het bestand uit in ~/apicerts
  3. Installeer het ca-certificaten pakket:

    sudo yum install ca-certificates

    - Wanneer er gevraagd wordt of je verder wilt gaan selecteer dan ‘ja’.
  4. Schakel de dynamische CA-configuratiefunctie in:

    sudo update-ca-trust force-enable

  5. Kopieer het rootcertificaatbestand naar /etc/pki/ca-trust/source/anchors/

    sudo cp ~/apicerts/* /etc/pki/ca-trust/source/anchors/

  6. Controleer of de volgende bestanden bestaan in /etc/pki/ca-trust/source/anchors/:

    QuoVadis_PKIoverheid_Private_Services_CA_-_G1.crt
    Staat_der_Nederlanden_Private_Root_CA_-_G1.crt
    Staat_der_Nederlanden_Private_Services_CA_-_G1.crt

  7. Update de truststore:

    sudo update-ca-trust extract

  8. Test of alles werkt via

    curl https://ssltest.kvk.nl

  1. Download het zip bestand met de root en intermediate certificaten die gebruikt worden door api.kvk.nl.
  2. Pak de bestanden uit in ~/apicerts
  3. Kopieer de crt-bestanden naar /usr/local/share/ca-certificates/

    sudo cp ~/apicerts/*.crt /usr/local/share/ca-certificates/

  4. Controleer of de volgende bestanden bestaan in /usr/local/share/ca-certificates/:

    QuoVadis_PKIoverheid_Private_Services_CA_-_G1.crt
    Staat_der_Nederlanden_Private_Root_CA_-_G1.crt
    Staat_der_Nederlanden_Private_Services_CA_-_G1.crt

  5. Update de vertrouwde certificaten:

    sudo update-ca-certificates

  6. Test of alles werkt via

    curl https://ssltest.kvk.nl

  1. Log in op Windows met een account met beheerdersrechten
  2. Download het zip bestand met de root en intermediate certificaten die gebruikt worden door api.kvk.nl.
  3. Pak het bestand uit op een willekeurige locatie.
  4. Open mmc (druk op de windows toets en type mmc) en open mmc.exe.
  5. windows mmc.exe
  6. Klik op "Bestand" en op "Module toevoegen/verwijderen...".
  7. Kies "Module toevoegen/verwijderen...".

    windows Add/Remove Snap-in

    Selecteer 'Certificaten' in de lijst met Beschikbare modules en klik op 'Toevoegen >' om de Certificaat module toe te voegen

    windows Add Certificate Snap-in

    Selecteer 'Computeraccount' om de computeraccounts te beheren en klik op 'Volgende'

    windows Select Computer Account

    Selecteer 'Lokale computer'

    windows Select Local Computer

    Klik op 'Voltooien' om het 'Modules toevoegen/verwijderen' venster te sluiten

  8. Voeg het Staat der Nederlanden Private Root CA_-_G1 certificaat toe aan de Vertrouwde basiscertificeringsinstanties/Certificaten sectie
  9. Klap de sectie Certificaten (Lokale computer) uit en vervolgens de Vertrouwde basiscertificeringsinstanties sectie. Klik op 'Certificaten' om de vertrouwde basiscertificeringen te kunnen zien.

    windows Trusted Root Certificates Local Computer

    Klik met de rechtermuisknop op 'Certificaten', kies 'Alle taken' en klik op 'Importeren'

    windows Trusted Root Certificates All Tasks Import...

    Klik op 'Volgende'

    Selecteer het juiste bestand door op 'Bladeren' te klikken

    windows Trusted Root Certificates Browse

    Navigeer naar de map waar je de certificaten opgeslagen hebt. Selecteer het bestand "Staat_der_Nederlanden_Private_Root_CA_-_G1.crt" en klik op 'Openen' om het bestand-selectie venster te sluiten.

    windows Navigate To Private Root Certificate

    Klik op 'Volgende'

    windows Private Root Certificate Next

    Selecteer 'Alle certificaten in het onderstaande archief opslaan' en klik op 'Volgende'

    windows Private Root Certificate Place In Store

    Controleer de informatie en klik op 'Voltooien' om de Wizard Certificaat importeren te voltooien

    windows Private Root Certificate Finish

    Een venster met het bericht: 'Het importeren is voltooid' zal verschijnen

    Controleer of het certificaat Staat der Nederlanden Private Root CA_-_G1 in de lijst staat

    windows Private Root Certificate Check
  10. Voeg het Staat der Nederlanden Private Services CA_-_G1 tussenliggende certificaat toe
  11. Klap de sectie 'Tussenliggende certificeringsinstanties' uit en klik op Certificaten

    windows Intermediate Certification Authorities

    Klik met de rechtermuisknop op 'Certificaten', kies 'Alle taken' en klik op 'Importeren'.

    windows Intermediate Certification Authorities All Tasks Import...

    Klik op 'Volgende' om de wizard te starten

    Selecteer het correcte bestand door op 'Bladeren' te klikken

    Navigeer naar de map waar de certificaten zijn opgeslagen. Selecteer het bestand 'Staat_der_Nederlanden_Private_Services_CA_-_G1.crt' en klik op 'Openen'

    windows Navigate To Intermediate Certificate

    Klik 'Volgende' in de Wizard Certificaat importeren

    windows Intermediate Certificate Next

    Controleer of 'Alle certificaten in het onderstaande archief opslaan' geselecteerd is en klik op 'Volgende'

    windows Intermediate Certificate Place In Store

    Voltooi de wizard door op voltooien te klikken

    windows Intermediate Certificate Finish

    Een venster met het bericht: 'Het importeren is voltooid' zal verschijnen

    Controleer of het certificaat Staat der Nederlanden Private Services CA_-_G1 in de lijst staat van Tussenliggende Certificeringsinstanties

    windows Intermediate Certificate Check
  12. Voeg het QuoVadis_PKIoverheid_Private_Services_CA_-_G1 tussenliggende certificaat toe
  13. Herhaal de stappen die je gedaan hebt voor "Voeg het Staat der Nederlanden Private Services CA_-_G1 tussenliggende certificaat toe" maar gebruik hiervoor het bestand QuoVadis_PKIoverheid_Private_Services_CA_-_G1.crt in plaats van Staat_der_Nederlanden_Private_Services_CA_-_G1.crt

    Controleer of het QuoVadis PKIoverheid Private Services CA_-_G1 certificaat ook in de tussenliggende certificeringsinstanties lijst aanwezig is:

    windows Second Intermediate Certificate Check
  14. Test of alles werkt door de website https://ssltest.kvk.nl te openen met je browser.