Hva er et SSL-sertifikat? Hvorfor er HTTPS et must?
Vi forklarer hvordan kryptert tilkobling påvirker tillit, SEO og betalingssikkerhet, hvilke SSL-typer som finnes, og hvordan du blir kvitt «ikke sikker»-advarselen i nettleseren.
Aurora YazılımRedaksjonen
6 min lesetid
Et SSL-sertifikat er et digitalt dokument som bekrefter identiteten til et nettsted og sørger for at forbindelsen mellom den besøkende og serveren blir kryptert. På et nettsted med sertifikat starter adressen med https://, og nettleseren viser forbindelsen som sikker. Skjemaer, passord og betalingsopplysninger kan dermed ikke leses eller endres underveis.
Hva brukes et SSL-sertifikat til?
Med en ukryptert forbindelse går all informasjon mellom nettleser og server som ren tekst gjennom nettverkene imellom. På et delt Wi-Fi-nettverk kan en ondsinnet person se telefonnummeret du skrev i kontaktskjemaet eller passordet på innloggingssiden. Et SSL-sertifikat krypterer denne trafikken slik at den ikke kan leses.
Sertifikatets andre oppgave er identitetsverifisering. Nettleseren kontrollerer via sertifikatet at serveren den kobler til, faktisk hører til det aktuelle domenet. Dermed blir det vanskeligere for en falsk server å gi seg ut for å være nettstedet ditt.
Det tekniske navnet på protokollen som brukes i dag, er TLS (Transport Layer Security). SSL er navnet på de eldre versjonene og regnes ikke lenger som sikkert. Av gammel vane brukes likevel uttrykket SSL-sertifikat fortsatt i bransjen.
Hva er HTTPS, og hvordan fungerer det?
HTTPS er den TLS-krypterte versjonen av HTTP-protokollen som frakter nettsider. Når den besøkende kobler til nettstedet, gjør nettleser og server et kort håndtrykk: serveren viser frem sertifikatet, nettleseren kontrollerer at det er utstedt av en pålitelig sertifiseringsinstans og ikke er utløpt, og deretter genererer de to partene krypteringsnøkler som bare gjelder for den økten.
Dette tar millisekunder, og takket være moderne protokoller er hastighetstapet nesten ikke merkbart. Dessuten fungerer raskere protokoller som HTTP/2 og HTTP/3 i nettlesere bare over HTTPS, så kryptering gjør ofte nettstedet raskere i stedet for tregere. Disse innstillingene på serversiden tar vi for oss i arbeidet med hastighet og ytelse.
Hvorfor må du ha HTTPS?
Advarselen «ikke sikker»
Moderne nettlesere merker sider uten HTTPS med advarselen ikke sikker i adressefeltet, og på sider med skjemafelt blir advarselen enda tydeligere. Når dette er det første den besøkende ser, synker sannsynligheten for at de fyller ut kontaktskjemaet eller legger inn en bestilling.
SEO-effekt
Google har åpent kunngjort at de bruker HTTPS som et signal i søkerangeringen. Signalet alene avgjør ikke rangeringen, men et usikkert nettsted starter bakpå når det gjelder sideopplevelse. Ved overgang til HTTPS bevarer du søkesynligheten du har opparbeidet ved å koble de gamle HTTP-adressene til de nye med 301-omdirigering. Disse detaljene hører med i arbeidet med SEO-vennlig webdesign.
Betalingssikkerhet
Alle sider som tar imot kortopplysninger, krever kryptert forbindelse. Kortbransjens sikkerhetsstandard PCI DSS krever at kortdata overføres med sterk kryptering over åpne nettverk. Når du velger en nettbutikkplattform, bør du kontrollere at sertifikatet gjelder på alle sider og fornyes automatisk.
Beskyttelse av personopplysninger
Nettsteder som samler inn navn, telefonnummer og e-postadresse via kontaktskjema, medlemskap eller reservasjonsskjema, behandler personopplysninger. Kryptering av data under overføring er et av de grunnleggende tekniske tiltakene man forventer. For detaljer om pliktene dine bør du sjekke gjeldende KVKK-regelverk (det tyrkiske personvernregelverket, sammenlignbart med GDPR) og rådføre deg med juridisk rådgiver.
Hvilke SSL-typer finnes?
SSL-typene deles inn etter to akser: hvor grundig utstederen verifiserer deg, og hvor mange domenenavn sertifikatet dekker. Krypteringsstyrken er lik for alle typer. Forskjellen ligger i valideringsnivå og dekning.
| Type | Det som verifiseres | Passer for |
|---|---|---|
| DV (Domain Validation) | Kun at domenet tilhører deg | Blogger, bedriftsnettsider, de fleste små nettbutikker |
| OV (Organization Validation) | Domenet og selskapets offisielle registrering | Virksomheter som vil at bedriftsidentiteten skal vises i sertifikatet |
| EV (Extended Validation) | Omfattende verifisering av selskapet | Områder som krever høy tillit, som bank og finans |
Sertifikater etter dekning
Nettlesere fremhevet tidligere EV-sertifikater med selskapsnavn i adressefeltet, men i moderne nettlesere er denne visuelle forskjellen i stor grad fjernet. Derfor er et godt konfigurert DV-sertifikat nok for de fleste nettsteder.
- Enkeltdomene: kun firmaniz.com og som regel www-versjonen.
- Wildcard: på formen *.firmaniz.com, alle underdomener på samme nivå (magaza, panel, blog).
- Flere domener (SAN): samler ulike domenenavn i ett sertifikat, praktisk for virksomheter med flere merkevarer.
Gratis eller betalt?
Ideelle sertifiseringsinstanser som Let's Encrypt tilbyr gratis DV-sertifikater, og disse har samme krypteringsstyrke som betalte DV-sertifikater. De utstedes med kort gyldighet og fungerer problemfritt med verktøy for automatisk fornyelse. Mange hostingpaneler og CDN-tjenester installerer sertifikatet med ett klikk.
Betalte sertifikater gir mening når du trenger OV- og EV-validering, forsikring og support hos enkelte leverandører, eller lange fornyelsesintervaller i eldre systemer der automatisering ikke er mulig. Prisen bestemmes av valideringstype, antall dekkede domener og sertifiseringsinstans.
Sjekkliste etter installasjon av sertifikatet
Å installere sertifikatet er halve jobben. Før trinnene under er fullført, kan nettstedet fortsatt vise advarsler, eller søkesynligheten kan lide. Trinnene for installasjon på serveren har vi forklart i en egen guide, installere SSL-sertifikat.
- Send alle HTTP-forespørsler videre til HTTPS med en permanent (301) omdirigering.
- Kontroller at bilder, skript og stilfiler på sidene ikke lastes med http://, ellers får du en advarsel om blandet innhold.
- Oppdater nettstedskartet, canonical-taggene og interne lenker med HTTPS-adresser.
- Kontroller at HTTPS-versjonen er verifisert i Search Console.
- Hvis alt fungerer, ber du nettleseren med HSTS-headeren om å koble til nettstedet kun med HTTPS.
- Sett opp et varsel som overvåker utløpsdatoen til sertifikatet.
Vanlige SSL-feil
Før du endrer sertifikat og serverinnstillinger, gir en fersk kopi av nettstedet og databasen deg mulighet til å gå tilbake i løpet av minutter hvis noe går galt. Metodene finner du i artikkelen Slik tar du sikkerhetskopi. Er du nysgjerrig på krypteringens fremtid, forklarer artikkelen vår om post-kvantekryptografi hvordan TLS vil endre seg i årene som kommer.
| Feil | Hvorfor | Løsning |
|---|---|---|
| Sertifikatet er utløpt | Fornyelsen er ikke gjort | Forny sertifikatet og sett opp automatisk fornyelse |
| Navnet stemmer ikke | Sertifikatet dekker ikke www eller underdomenet | Hent et sertifikat som dekker alle adresser |
| Tilkoblingen din er ikke privat | Manglende mellomsertifikatkjede | Installer hele sertifikatkjeden på serveren |
| Ingen lås, men en advarsel | Blandet innhold | Endre ressurser som lastes med http:// til https:// |
| Enhetens klokke er feil | Problem hos den besøkende | Rett opp dato og klokkeslett på enheten |
Vanlige spørsmål
01Gjør et SSL-sertifikat nettstedet tregere?
I moderne TLS-versjoner tar håndtrykket svært kort tid, og med gjenbruk av økter blir kostnaden enda lavere ved gjentatte tilkoblinger. Siden HTTP/2 og HTTP/3 bare fungerer over HTTPS, lastes et kryptert nettsted i de fleste tilfeller raskere.
02Holder det med SSL kun på betalingssiden?
Nei. Nettlesere vurderer hver side for seg og viser advarsel på sider uten kryptering. I tillegg kan innloggingsinformasjonskapsler lekke via ukrypterte sider. Å levere hele nettstedet over HTTPS er standard praksis i dag.
03Trenger jeg egne sertifikater for underdomenene mine?
Et sertifikat for ett enkelt domene dekker bare de oppgitte navnene. Har du flere underdomener, kan du bruke et wildcard-sertifikat eller et eget gratis sertifikat for hvert underdomene. Med automatisk fornyelse er begge praktiske løsninger.
04Hvordan vet jeg at sertifikatet er riktig installert?
Du kan klikke på låsikonet i nettleseren og se hvem sertifikatet er utstedt til, og utløpsdatoen. For en grundigere kontroll rapporterer nettbaserte SSL-testverktøy sertifikatkjeden, protokollversjonene og svakheter i konfigurasjonen.
Et SSL-sertifikat er ikke lenger et valg, men en forutsetning for tillit, søkesynlighet og nettbetaling. Med riktig installasjon og automatisk fornyelse gjør du det én gang og kan glemme det. Se tjenesten vår hastighet og ytelse for å ta HTTPS, server og hurtigbuffer i ett grep, og siden vår om webdesign for et nettsted som tenker på søkesynlighet fra start. Har du spørsmål, kan du skrive til oss.
