Vad är ett SSL-certifikat och hur hänger det ihop med din domän?

Fråga vem som helst vad ett SSL-certifikat är så får du en rad olika svar, från "grejen som får HTTPS att fungera" till "ingen aning, men jag vet att webbplatser behöver ett". Båda ligger närmare sanningen än de kanske verkar. Ett SSL-certifikat är den digitala legitimation som krypterar anslutningen mellan en besökares webbläsare och en webbserver, och det utfärdas specifikt för ett domännamn. Det påverkar hur din webbplats visas i webbläsare, hur sökmotorer behandlar den och om besökare litar på den tillräckligt för att stanna.

Vad är ett SSL-certifikat?

Ett SSL-certifikat är en digital fil som installeras på en webbserver och gör två saker. Först krypterar det data som färdas mellan en besökares webbläsare och din server, så att information som skickas, inklusive formulärinskick, inloggningsuppgifter och betalningsuppgifter, inte kan läsas av någon som fångar upp anslutningen. Sedan verifierar det att servern tillhör den domän den påstår sig tillhöra, så att besökare kan vara säkra på att de har nått rätt webbplats.

SSL står för Secure Sockets Layer. Tekniken har uppdaterats genom åren och den nuvarande standarden heter tekniskt sett TLS (Transport Layer Security), men termen SSL har fortsatt användas och de flesta människor, registratorer och webbhotell kallar fortfarande de här certifikaten SSL-certifikat oavsett den underliggande versionen.

När ett certifikat är installerat och giltigt visar webbläsare en hänglåsikon i adressfältet och laddar webbplatsen via HTTPS. Det "S" som står sist i HTTP är det som SSL gör möjligt. Utan certifikat är anslutningen okrypterad, adressen visar vanligt HTTP och moderna webbläsare visar en varning om att sidan är "Inte säker" för besökarna.

Vad betyder HTTPS och hur får SSL det att fungera?

HTTP är protokollet som webbläsare använder för att begära och ta emot webbsidor. HTTPS är samma protokoll med ett krypterat lager ovanpå, som ett SSL-certifikat ger. Varje gång en besökare laddar en sida på en webbplats som använder HTTPS gör webbläsaren och servern ett snabbt verifieringsutbyte. Då kontrollerar webbläsaren SSL-certifikatet, bekräftar att det är giltigt och utfärdat för rätt domän och upprättar en krypterad anslutning. Därefter är all data mellan besökaren och servern förvrängd under överföringen.

För besökare betyder det att allt de skriver i ett formulär, varje sida de surfar på och all data som webbplatsen skickar tillbaka till deras webbläsare inte kan läsas av en tredje part som bevakar anslutningen. För varumärkesägare betyder det att kommunikationen mellan webbplatsen och dess besökare är privat och säker som standard.

Hänglåsikonen i webbläsarens adressfält är den synliga bekräftelsen på att HTTPS är aktivt och certifikatet giltigt. Ett grönt eller grått hänglås betyder att anslutningen är krypterad och certifikatet har verifierats. Ett trasigt hänglås, ett överkorsat hänglås eller inget hänglås alls betyder att anslutningen är okrypterad eller att det är något fel på certifikatet.

Hur hänger ett SSL-certifikat ihop med din domän?

Ett SSL-certifikat utfärdas för ett specifikt domännamn. När en certifikatutfärdare, en betrodd organisation som utfärdar och kontrollerar certifikat, signerar ett certifikat knyter den det till ett eller flera domännamn. Ett certifikat som utfärdas för dittvarumärke.com gäller exakt den domänen. Det täcker inte automatiskt www-versionen, subdomäner eller någon annan domän om de inte uttryckligen ingår i certifikatet.

Det här är den direkta kopplingen mellan SSL och din domän. Certifikatet installeras inte på en generisk server. Det utfärdas för just ditt domännamn, och webbläsaren kontrollerar att domänen i certifikatet stämmer med domänen som besökaren försöker nå. Om de inte stämmer visar webbläsaren en säkerhetsvarning, oavsett om själva certifikatet är giltigt.

Föregående kapitel om att skydda din domän från att kapas tog upp hot mot din registrering på kontonivå. SSL verkar i ett annat lager och skyddar det som sker över anslutningen snarare än vem som kontrollerar domänregistreringen. Att förstå vad ett domännamn är och hur det fungerar som adress till din webbplats gör kopplingen tydligare. Domänen är namnet som certifikatet är knutet till, och både namnet och certifikatet måste vara i ordning för att den säkra anslutningen ska fungera.

Förhållandet mellan din domän och var dina webbplatsfiler ligger är också relevant här. Eftersom certifikatet installeras på servern där din webbplats finns, och domänen pekar mot den servern, måste de två vara i linje. Kapitlet om domän eller webbhotell tar upp hur ett domännamn och ett webbhotellkonto hänger ihop, vilket är samma infrastruktur som får SSL att fungera i praktiken.

Vilka typer av SSL-certifikat finns?

SSL-certifikat finns i tre huvudsakliga valideringsnivåer. Skillnaden mellan dem är hur grundligt certifikatutfärdaren verifierar organisationen bakom domänen innan certifikatet utfärdas.

Domänvalidering (DV)

Ett certifikat med domänvalidering bekräftar att den som begär det faktiskt kontrollerar domänen. Certifikatutfärdaren kontrollerar att personen har åtkomst till domänens DNS-poster eller e-postinkorgen som hör till den. Ingen verifiering av organisationens identitet eller juridiska existens görs. DV-certifikat utfärdas snabbt, ofta automatiskt, och är den vanligaste typen för privata webbplatser, bloggar och små varumärkeswebbplatser. Hänglåset visas, anslutningen är krypterad och besökare ser HTTPS. För de flesta webbplatser räcker DV.

Organisationsvalidering (OV)

Ett certifikat med organisationsvalidering innehåller en kontroll av den begärande organisationens juridiska existens och kontaktuppgifter. Certifikatutfärdaren tittar i offentliga register för att bekräfta att organisationen är verklig och att personen som begär certifikatet har befogenhet att göra det. OV-certifikat används vanligtvis av etablerade varumärken och organisationer som vill ha en högre nivå av verifierad identitet knuten till sitt certifikat.

Utökad validering (EV)

Ett certifikat med utökad validering innebär den mest grundliga verifieringsprocessen. Certifikatutfärdaren kontrollerar juridisk registrering, fysisk adress, om organisationen är aktiv och om den som ansöker har rätt att begära det. EV-certifikat har historiskt förknippats med ett grönt adressfält i webbläsare, även om de flesta moderna webbläsare har slutat visa den visuella skillnaden framträdande. De är vanligast för finansiella institutioner och e-handelsplattformar där förtroende är en huvudfråga.

För en typisk varumärkeswebbplats täcker ett DV-certifikat det du behöver. Krypteringen och HTTPS-hänglåset är identiska för alla tre typer. Skillnaden ligger i nivån på den organisationsidentitet som har verifierats och knutits till certifikatet.

Vad händer med din webbplats utan SSL-certifikat?

En webbplats utan SSL-certifikat laddas via vanligt HTTP. För besökare är den mest synliga följden webbläsarvarningen. Chrome och andra stora webbläsare visar en etikett "Inte säker" i adressfältet för varje webbplats som inte kör HTTPS. På sidor med formulär eller inloggningsfält kan webbläsare visa en tydligare varning som aktivt avråder besökare från att fylla i någon information.

Förtroendesignalen det skickar är betydande. Besökare som ser etiketten "Inte säker" lämnar oftare sidan innan de läst något. För en webbplats som ber besökare kontakta dig, registrera sig för något eller köpa något påverkar avsaknaden av SSL direkt hur många av dem som fullföljer.

Effekten på SEO är också verklig. Google har bekräftat HTTPS som en rankningssignal, vilket betyder att webbplatser med SSL har en mätbar fördel i sökresultaten över likvärdiga webbplatser utan. Fördelen är inte enorm i sig, men tillsammans med den högre avvisningsfrekvensen som webbläsarvarningar ger kämpar en webbplats utan SSL i motvind på flera fronter. Det tas upp mer i detalj i avsnittet nedan.

Hur påverkar SSL dina sökrankningar?

Google har använt HTTPS som rankningssignal sedan 2014. Signalen i sig ger en måttlig rankningshöjning, men de följdeffekter som uppstår av att inte ha SSL är ofta större än själva signalen. En webbplats som utlöser säkerhetsvarningar i webbläsaren får högre avvisningsfrekvens, kortare tid på webbplatsen och färre konverteringar. Alla de beteendesignalerna påverkar sökresultaten över tid.

Googles genomsökare föredrar också att indexera HTTPS-versionerna av sidor. Om din webbplats körs på både HTTP och HTTPS utan rätt konfiguration kan du få problem med dubblerat innehåll, delade länksignaler och förvirring vid genomsökning. Att ha SSL installerat och rätt konfigurerat, med en omdirigering från HTTP till HTTPS, håller alla de signalerna samlade på en version av din webbplats.

Rent praktiskt är HTTPS i dag grundförväntningen för varje webbplats som vill ranka och tas på allvar av besökare. Det är inte så mycket en konkurrensfördel som inträdesbiljetten.

Hur får du ett SSL-certifikat?

Det finns tre huvudsakliga sätt att få ett SSL-certifikat för din domän, och rätt val beror på var din webbplats ligger och hur din hostinguppsättning ser ut.

Via ditt webbhotell eller din webbplatsplattform

Om din webbplats ligger på en plattform eller hos ett webbhotell är den enklaste vägen via dem. Många webbhotell och webbplatsplattformar inkluderar SSL i sitt erbjudande och sköter installationen automatiskt. När du kopplar din domän till ditt hostingkonto utfärdas och konfigureras certifikatet utan att du behöver göra något manuellt. Det är vägen med minst friktion och minst konfigurationsfel.

Via din domänregistrator

Vissa domänregistratorer erbjuder SSL-certifikat som tillägg till domänregistreringen. Du köper certifikatet i samma kontrollpanel som din domän är registrerad i och installerar det sedan på din server eller följer registratorns instruktioner. Processen är mer praktisk än att få SSL via ett webbhotell som automatiserar det, men det är ett enkelt alternativ för den som sköter sin egen server. Kapitlet om hur du registrerar en domän är en bra referens för att förstå vad registratorer vanligtvis erbjuder vid sidan av registrering.

Gratis SSL via en automatiserad certifikatutfärdare

Det finns gratis, automatiserade certifikatutfärdare som utfärdar DV-certifikat utan kostnad. De skapades för att göra SSL tillgängligt för varje webbplats på internet, och det har lyckats. De flesta webbhotell stöder dem antingen inbyggt eller via integrationer, och många konfigurerar det automatiskt när du kopplar en domän. Certifikaten förnyas automatiskt var 90:e dag, vilket tar bort risken att ett certifikat går ut och orsakar webbläsarvarningar.

När ska du använda ett gratis SSL-certifikat och när ett betalt?

För de flesta varumärkeswebbplatser täcker ett gratis certifikat från en automatiserad certifikatutfärdare allt som behövs. Krypteringen är identisk med betalda certifikat. Hänglåset visas. HTTPS-protokollet fungerar. Besökare ser en säker webbplats. Om ditt webbhotell stöder det och konfigurerar det automatiskt finns det ingen anledning att betala för ett certifikat bara för att få samma skydd på DV-nivå.

Betalda certifikat är rimliga i vissa situationer. Om du behöver ett OV- eller EV-certifikat för organisationsverifiering krävs ett betalt certifikat, eftersom gratistjänsterna bara utfärdar DV. Om du driver en storskalig e-handelswebbplats, en finansiell tjänst eller någon plattform där identiteten hos organisationen bakom webbplatsen är en betydande förtroendefaktor för användarna är den extra verifieringen som följer med OV eller EV värd kostnaden.

Betalda certifikat kommer också ofta med funktioner som en garanti, det vill säga en ekonomisk säkerhet i det osannolika fallet att ett certifikatfel orsakar ett säkerhetsproblem, och mer detaljerad kundsupport. För en liten varumärkeswebbplats eller en innehållsfokuserad webbplats tillför de extrafunktionerna sällan något praktiskt värde. För en webbplats med stora transaktionsvolymer kan garantin och tillgången till support vara relevanta.

Förnyelse av SSL-certifikat och vad som händer när ett certifikat går ut

SSL-certifikat har ett utgångsdatum. Standardcertifikat är giltiga i upp till 13 månader (cirka 397 dagar). När ett certifikat går ut visar webbläsare omedelbart säkerhetsvarningar för varje besökare, oavsett hur webbplatsen såg ut dagen innan. Hänglåset försvinner, etiketten "Inte säker" visas och besökare ser tydliga felsidor som varnar för att webbplatsens certifikat har gått ut.

Det är ett snabbt sätt att förlora besökarnas förtroende och organisk trafik. Varningar om utgångna certifikat fångas också upp av övervakningsverktyg och kan utlösa aviseringar från Search Console eller tjänster för driftövervakning om du har dem inställda.

Den praktiska lösningen är densamma som för domänens utgång. Automatisera förnyelsen. Certifikat från de gratis automatiserade tjänsterna förnyas automatiskt var 90:e dag om webbhotellet har ställt in förnyelseprocessen rätt. Många leverantörer av betalda certifikat erbjuder också automatisk förnyelse. Om du hanterar ditt eget certifikat bör du sätta en kalenderpåminnelse i god tid före utgångsdatumet så att du har tid att förnya och installera om utan något glapp i skyddet.

Vad är ett jokerteckencertifikat (wildcard)?

Ett vanligt SSL-certifikat gäller en specifik domän och eventuellt www-versionen. Ett wildcard-certifikat gäller rotdomänen och alla dess subdomäner på en gång. Ett wildcard för dittvarumärke.com skulle även gälla shop.dittvarumärke.com, blog.dittvarumärke.com, app.dittvarumärke.com och alla andra subdomäner du skapar, utan att du behöver ett separat certifikat för varje.

Wildcard-certifikat är användbara för varumärken som kör flera tjänster eller delar av en webbplats på olika subdomäner. Kapitlet om egen domän eller subdomän tar upp när subdomäner är rimliga och hur de hänger ihop med din huvuddomän, vilket är sammanhanget där wildcard-certifikat blir relevanta.

För en enkel varumärkeswebbplats på en enda domän med en www-version räcker ett vanligt certifikat. Wildcard är ett praktiskt steg upp när din domänstruktur omfattar flera aktiva subdomäner.

Så hanterar WEMASY SSL

WEMASY inkluderar SSL på alla webbplatser som ligger på plattformen. När du kopplar en domän till din WEMASY-webbplats utfärdas och konfigureras ett SSL-certifikat automatiskt. HTTPS-omdirigeringen ställs in som standard, så domänen fungerar säkert utan manuell konfiguration. Förnyelsen av certifikatet sköts av plattformen, så det finns inget utgångsdatum att hålla koll på och ingen förnyelseprocess att hantera.

För domäner som registrerats eller kopplats via WEMASY gäller certifikatet den domän du har konfigurerat. Se vad som ingår i varje plan på WEMASY:s prissida.

Vanliga frågor

Nästa kapitel handlar om 301-omdirigeringar, inklusive vad de är, hur de fungerar och när du behöver en för att flytta trafik och länkvärde från en URL till en annan.