När någon skickar ett formulär på en HTTP-webbplats (inte HTTPS) färdas datan över internet i klartext. Vem som helst i nätverket mellan besökaren och din server kan se vad hen skrev, inklusive lösenord, kreditkortsnummer och e-postadresser. Det här är inte teoretiskt. Verktyg för att avlyssna datapaket finns fritt tillgängliga, och angripare fångar aktivt upp okrypterade formulärinskick.
SSL/TLS-kryptering är tekniken som skyddar formulärdata medan den färdas från besökarens webbläsare till din server. Det är den mest grundläggande formen av formulärsäkerhet, och den går inte att förhandla om.
Det här lär du dig: Hur HTTPS-kryptering fungerar, skillnaden mellan SSL och TLS, vad ett SSL-certifikat är och varför du behöver ett, hur du kontrollerar att ditt formulär är rätt krypterat och vad du gör om HTTPS inte fungerar.
Vad är HTTPS och hur krypterar det data?
HTTPS är den säkra versionen av HTTP (Hypertext Transfer Protocol). "S" står för Secure, säker. HTTPS använder SSL/TLS (Secure Sockets Layer / Transport Layer Security) för att kryptera all data som skickas mellan besökaren och din server.
Så här går det till när en besökare skickar ett formulär över HTTPS:
- Besökaren fyller i och skickar formuläret. Webbläsaren samlar in datan.
- Webbläsaren upprättar en krypterad anslutning. Den kontaktar din server och verifierar SSL-certifikatet (mer om det nedan).
- Båda sidor kommer överens om krypteringsinställningar. De förhandlar fram den starkaste kryptering som båda stöder.
- All data krypteras innan den skickas. Formulärdatan blandas om med den överenskomna krypteringen.
- Din server tar emot den krypterade datan. Den använder sin privata nyckel för att dekryptera datan så att den går att läsa.
För den som avlyssnar nätverket ser datan ut som slumpmässiga tecken. De kan inte läsa den utan krypteringsnyckeln, som bara din server har.
Skillnaden mellan SSL och TLS
SSL (Secure Sockets Layer) och TLS (Transport Layer Security) är besläktade tekniker som gör samma jobb. SSL var den ursprungliga standarden och släpptes först 1995. TLS är den moderna, förbättrade versionen som ersatte den.
- SSL 3.0: Den sista versionen av SSL, släppt 1996. Föråldrad och inte längre säker.
- TLS 1.0: Första versionen av TLS, släppt 1999. Fungerar fortfarande men är äldre.
- TLS 1.2: Släppt 2008. Används fortfarande brett och anses säker.
- TLS 1.3: Släppt 2018. Den nuvarande standarden, snabbare och säkrare.
Moderna webbläsare och servrar använder TLS 1.2 eller TLS 1.3. När folk säger "SSL-certifikat" menar de oftast ett certifikat som används för TLS-kryptering. Termerna används ofta om vartannat, men TLS är den teknik som faktiskt används idag.
Vad är ett SSL-certifikat?
Ett SSL-certifikat är en digital fil som din webbserver använder för att bevisa sin identitet och upprätta en krypterad anslutning. Det innehåller:
- Ditt domännamn: Vilken domän certifikatet gäller för (www.example.com)
- Uppgifter om din organisation: Företagsnamn, adress och så vidare
- En publik nyckel: Används av besökarnas webbläsare för att kryptera data
- En digital signatur: Bevis på att en betrodd utfärdare har verifierat certifikatet
- Utgångsdatum: När certifikatet löper ut och behöver förnyas
Certifikatet är som ett digitalt id-kort som bevisar att din server är äkta.
Så verifieras SSL-certifikat
När en besökare går till din HTTPS-webbplats kontrollerar webbläsaren ditt SSL-certifikat för att se till att det är äkta:
- Din server skickar sitt certifikat. Webbläsaren tar emot det.
- Webbläsaren kontrollerar den digitala signaturen. Är certifikatet signerat av en betrodd certifikatutfärdare?
- Webbläsaren verifierar domänen. Stämmer certifikatet med domänen besökaren är på?
- Webbläsaren kontrollerar utgångsdatumet. Är certifikatet fortfarande giltigt?
Om någon av kontrollerna misslyckas visar webbläsaren en varning. Om allt går igenom visar webbläsaren en hänglåsikon (eller en säkerhetsindikator) som talar om för besökaren att anslutningen är krypterad och att webbplatsen är äkta.
Typer av SSL-certifikat
Domänvaliderade (DV) certifikat
Det grundläggande certifikatet. Certifikatutfärdaren verifierar att du äger domänen men inte din organisation. Det billigaste alternativet. Bra för de flesta formulär.
Organisationsvaliderade (OV) certifikat
Utfärdaren verifierar både domänen och uppgifterna om din organisation. Dyrare än DV och ger mer förtroende. Webbläsaren visar din organisations namn i certifikatets detaljer.
Certifikat med utökad validering (EV)
Utfärdaren gör en omfattande verifiering inklusive juridiska kontroller. Det dyraste. Visar organisationens namn direkt i webbläsarens adressfält. Används mest av finansiella institutioner och webbplatser med hög säkerhet.
Wildcard-certifikat
Gäller för en domän och alla dess underdomäner (till exempel täcker ett wildcard för *.example.com mail.example.com, blog.example.com och så vidare). Användbart om du har många underdomäner med formulär.
Certifikat för flera domäner (SAN)
Gäller för flera olika domäner i ett och samma certifikat. Användbart om du driver flera webbplatser med formulär.
Så skaffar du ett SSL-certifikat
Certifikatutfärdare
Du köper certifikat från certifikatutfärdare (CA), till exempel:
- En stor kommersiell certifikatutfärdare
- Domänregistratorer som säljer certifikat vidare
- En annan etablerad kommersiell certifikatutfärdare
- En gratis och mycket använd certifikatutfärdare
Priserna varierar från gratis (hos den gratis utfärdaren) till hundratals dollar per år (EV-certifikat).
Via ditt webbhotell
De flesta moderna webbhotell (inklusive WEMASY) inkluderar SSL-certifikat automatiskt. Du behöver inte köpa eller hantera dem separat. De sköter förnyelsen automatiskt.
Installation och förnyelse
SSL-certifikat löper ut och behöver förnyas. De flesta webbhotell sköter det automatiskt. Kontrollera ditt certifikats utgångsdatum då och då för att se att det fortfarande är giltigt. Om det löper ut visar din webbplats en säkerhetsvarning och besökare kanske inte litar på den.
Så kontrollerar du att ditt formulär är rätt krypterat
Kontrollera webbadressen
Din formulärsida ska använda HTTPS, inte HTTP. Titta i adressfältet.
BRA: https://www.example.com/contact
DÅLIGT: http://www.example.com/contact
Leta efter säkerhetsindikatorn
I moderna webbläsare visar en säker HTTPS-anslutning en hänglåsikon eller en "Säker"-etikett i adressfältet. Klicka på den för att se certifikatets detaljer.
Kontrollera certifikatets giltighet
Klicka på hänglåset och visa certifikatet. Titta efter:
- Är det giltigt för din domän?
- Har det löpt ut?
- Vem utfärdade det (certifikatutfärdaren)?
Använd en SSL-kontroll på nätet
Med onlineverktyg för SSL-kontroll kan du ange din domän och få en detaljerad rapport om din SSL-konfiguration. Verktyget kontrollerar om du använder de senaste krypteringsstandarderna och pekar ut eventuella svagheter.
Vanliga problem med HTTPS och SSL
Varning för blandat innehåll
Din formulärsida är HTTPS, men vissa resurser (bilder, skript, formatmallar) laddas över HTTP. Webbläsare varnar besökare för att sidan inte är helt säker. Åtgärda det genom att göra alla resurser HTTPS.
Certifikat som inte stämmer
Certifikatet gäller för www.example.com men besökaren är på example.com (utan www), eller tvärtom. Webbläsare visar en säkerhetsvarning. Åtgärda det med ett wildcard-certifikat eller genom att omdirigera den ena versionen till den andra.
Utgånget certifikat
Ditt certifikat har löpt ut och behöver förnyas. Webbläsare visar en tydlig säkerhetsvarning. Besökare kanske inte litar på ditt formulär. Förnya certifikatet omedelbart.
Självsignerat certifikat
Din server använder ett certifikat du skapat själv i stället för ett från en betrodd utfärdare. Webbläsare litar inte på det och visar en varning. Använd aldrig självsignerade certifikat på offentliga formulär. Köp eller använd ett certifikat från en erkänd utfärdare.
HTTPS är inte bara för formulär
Varje sida på din webbplats ska använda HTTPS, inte bara dina formulärsidor. Det skyddar all besökardata och talar om för Google att din webbplats är säker. Omdirigera all HTTP-trafik till HTTPS så att besökare alltid är skyddade.
Det här gör WEMASY för SSL/TLS-kryptering
Varje WEMASY-webbplats och varje formulär byggt med WEMASY använder HTTPS som standard. Dina formulär körs automatiskt över säkra anslutningar. WEMASY hanterar SSL-certifikat åt dig, inklusive automatisk förnyelse. Du behöver aldrig köpa, installera eller hantera certifikat. Krypteringen är inbyggd och alltid aktiv.
Läs mer om din säkerhetsinställning i dina kontoinställningar eller på prissidan.