Vad är ett SSL-certifikat? Varför är HTTPS ett måste?

01Vad gör ett SSL-certifikat?

Vid en okrypterad anslutning färdas all information mellan webbläsaren och servern som ren text genom nätverken emellan. På ett delat Wi-Fi-nät kan någon med onda avsikter se telefonnumret som skrivs i kontaktformuläret eller lösenordet på inloggningssidan. Ett SSL-certifikat krypterar trafiken så att den blir oläsbar.

Certifikatets andra uppgift är identitetskontroll. Webbläsaren kontrollerar via certifikatet att servern den ansluter till verkligen tillhör den domänen. Det gör det svårare för en falsk server som lägger sig emellan att utge sig för att vara din webbplats.

Det tekniska namnet på protokollet som används idag är TLS (Transport Layer Security); SSL är namnet på äldre versioner och anses inte längre säkert. Av gammal vana används dock fortfarande uttrycket SSL-certifikat i branschen.

02Vad är HTTPS och hur fungerar det?

HTTPS är HTTP-protokollet, som transporterar webbsidor, i en version krypterad med TLS. När besökaren ansluter till webbplatsen gör webbläsaren och servern en kort handskakning: servern visar sitt certifikat, webbläsaren verifierar att det utfärdats av en betrodd certifikatutfärdare och inte gått ut, och därefter skapar de två sidorna krypteringsnycklar som bara gäller för just den sessionen.

Processen tar millisekunder och tack vare moderna protokoll är hastighetsförlusten nästan obefintlig. Dessutom fungerar snabbare protokoll som HTTP/2 och HTTP/3 i webbläsare bara via HTTPS; kryptering gör alltså ofta webbplatsen snabbare i stället för långsammare. Dessa inställningar på serversidan hanterar vi tillsammans i arbetet med hastighet och prestanda.

03Varför är HTTPS ett måste?

Varningen Ej säker

Aktuella webbläsare märker sidor utan HTTPS med varningen Ej säker i adressfältet; på sidor med formulärfält blir varningen ännu tydligare. När det är den första besökaren ser minskar sannolikheten att hen fyller i kontaktformuläret eller lägger en beställning.

SEO-effekt

Google har öppet meddelat att HTTPS används som en signal i sökrankningen. Signalen avgör inte rankningen ensam, men en osäker webbplats startar på efterkälken när det gäller sidupplevelse. Vid övergången till HTTPS bevarar du den sökbarhet du byggt upp genom att länka de gamla HTTP-adresserna till de nya med 301-omdirigering; de detaljerna är en del av processen för SEO-anpassad webbdesign.

Betalsäkerhet

Varje sida som tar emot kortuppgifter kräver krypterad anslutning; kortbranschens säkerhetsstandard PCI DSS kräver att kortdata överförs med stark kryptering över öppna nät. När du väljer en e-handelsplattform bör du kontrollera att certifikatet gäller på alla sidor och förnyas automatiskt.

Skydd av personuppgifter

Webbplatser som samlar in namn, telefon och e-post via kontaktformulär, medlemskap eller bokningsformulär behandlar personuppgifter. Att kryptera data under överföringen är en av de grundläggande tekniska åtgärder som förväntas. För detaljerna kring dina skyldigheter bör du kontrollera gällande KVKK-lagstiftning (den turkiska dataskyddslagen, jämförbar med GDPR) och din juridiska rådgivare.

04Vilka typer av SSL finns det?

SSL-typerna skiljs åt på två axlar: hur ingående utfärdaren verifierar dig och hur många domäner certifikatet täcker. Krypteringsstyrkan är densamma för alla typer; skillnaden ligger i valideringsnivå och omfattning.

Certifikat efter omfattning

Webbläsarna lyfte tidigare fram EV-certifikat med företagsnamn i adressfältet; i dagens webbläsare har den visuella skillnaden i stort sett tagits bort. Därför räcker ett väl konfigurerat DV-certifikat för de flesta webbplatser.

• Enskild domän: bara firmaniz.com och oftast www-versionen.
• Wildcard: på formen *.firmaniz.com, alla underdomäner på samma nivå (magaza, panel, blog).
• Flera domäner (SAN): samlar olika domäner i ett enda certifikat; praktiskt för företag med flera varumärken.

05Gratis eller betalt?

Ideella certifikatutfärdare som Let's Encrypt tillhandahåller gratis DV-certifikat, och de certifikaten har samma krypteringsstyrka som betalda DV-certifikat. De utfärdas med kort giltighetstid och fungerar smidigt med verktyg för automatisk förnyelse. Många hostingpaneler och CDN-tjänster installerar certifikatet med ett klick.

Betalcertifikat blir meningsfulla vid behov som OV- och EV-validering, försäkring och support hos vissa leverantörer, eller långa förnyelseintervall i äldre system där automatisering inte är möjlig. Priset bestäms av valideringstyp, antal domäner som täcks och certifikatutfärdaren.

06Checklista efter installationen

Att installera certifikatet är halva jobbet. Innan stegen nedan är klara kan webbplatsen fortfarande ge varningar eller så kan sökbarheten ta skada. Stegen för installationen på servern har vi beskrivit separat i guiden installera SSL-certifikat.

1. Omdirigera alla HTTP-förfrågningar till HTTPS med en permanent (301) omdirigering.
2. Se till att bilder, skript och stilfiler på sidorna inte anropas med http://; annars visas en varning om blandat innehåll.
3. Uppdatera webbplatskartan, canonical-taggar och interna länkar med HTTPS-adresser.
4. Kontrollera i Search Console att HTTPS-versionen är verifierad.
5. Om allt fungerar kan du med HSTS-rubriken be webbläsaren ansluta till webbplatsen enbart via HTTPS.
6. Sätt upp en varning som bevakar certifikatets utgångsdatum.

07Vanliga SSL-fel

Innan du ändrar certifikat och serverinställningar gör en aktuell kopia av webbplatsen och databasen, så att du kan gå tillbaka inom några minuter om något går fel; metoderna finns i inlägget om hur man tar säkerhetskopior. Är du nyfiken på krypteringens framtid berättar vårt inlägg om post-kvantkryptografi hur TLS kommer att förändras de kommande åren.