En webbplats som ser prydlig och professionell ut kan ändå vara helt osäker att använda. Att veta hur du kontrollerar om en webbplats är säker innan du anger någon information är inte svårt, men det kräver att du vet var du ska titta, eftersom de uppenbara tecknen inte alltid är de som spelar roll.
Signalerna som visar om en webbplats är säker syns i webbläsaren och på själva sidan. Den här artikeln går igenom vad du ska kontrollera, vad varje signal betyder och vad du gör när något inte ser rätt ut.
Samma kontroller gäller oavsett om du är en besökare som försöker avgöra om du kan lita på en webbplats eller en webbplatsägare som vill förstå vad besökarna ser när de kommer till din. Säkra och osäkra webbplatser lämnar samma spår. Att veta vad du ska titta efter tar bort gissandet. För sammanhanget kring varför webbplatssäkerhet är viktigt för varje webbplats, inte bara stora, läs artikeln varför webbplatssäkerhet är viktigt.
Så kontrollerar du om en webbplats är säker
Titta på adressfältet först
Webbläsarens adressfält är det snabbaste stället att börja på. Två saker säger mycket innan du har läst ett enda ord på sidan.
- Adressen ska börja med HTTPS, inte HTTP. S:et står för Secure. Det betyder att anslutningen mellan din webbläsare och webbplatsen är krypterad, så att all information du skickar görs oläsbar innan den färdas. En webbplats med en adress som börjar med vanlig HTTP har inget säkerhetscertifikat, och allt du skickar via ett formulär går ut oskyddat
- En hänglåsikon visas bredvid adressen på webbplatser med ett giltigt säkerhetscertifikat installerat. Inget hänglås betyder inget certifikat, vilket betyder ingen krypterad anslutning. Om du klickar på hänglåset visas uppgifter om certifikatet, bland annat vem som utfärdade det och när det går ut
HTTPS och hänglåset är grundnivån. En webbplats utan dem faller igenom den första kontrollen direkt. För en fullständig förklaring av vad ett säkerhetscertifikat är och vad det gör, läs artikeln vad ett säkerhetscertifikat för en webbplats är och varför din webbplats behöver ett.
Läs webbadressen noga
HTTPS-hänglåset visar bara att anslutningen är krypterad. Det visar inte att webbplatsen är pålitlig. En bedrägerisida kan ha ett giltigt säkerhetscertifikat lika lätt som en riktig. Därför är det viktigt att läsa själva domännamnet.
- Titta på hela domännamnet i adressfältet, inte bara sidans rubrik. En webbplats som är gjord för att likna en bank eller en känd tjänst använder ofta en domän som ser lik ut vid en hastig blick men är något annorlunda. Extra tecken, bindestreck eller ovanliga ändelser är värda att lägga märke till
- Kontrollera att domänen stämmer med webbplatsen du tänkte besöka. Om du klickade på en länk i ett e-postmeddelande eller från en annan webbplats ska du bekräfta att adressen i fältet stämmer med dit du ville
- Långa, obekanta teckensträngar i adressen, eller domäner du inte känner igen från början av webbadressen, är värda att behandla med försiktighet
Kolla vad webbläsaren säger
Webbläsare flaggar osäkra webbplatser direkt. De här varningarna är värda att ta på allvar.
- Texten "Inte säker" i adressfältet visas på webbplatser som levereras utan HTTPS. Vissa webbläsare visar den på alla HTTP-sidor. Andra flaggar den bara på sidor med formulär eller inloggningsfält, där det är tydligast riskabelt att ange information
- En varning över hela sidan, ofta röd eller orange med text som "Din anslutning är inte privat" eller "Den här webbplatsen kan vara osäker", visas när webbläsaren upptäcker ett allvarligare problem. Det kan betyda att säkerhetscertifikatet har gått ut, att certifikatet inte stämmer med domänen eller att webbplatsen har flaggats för skadligt innehåll. De här varningarna finns för att stoppa dig från att gå vidare, och det är värt att lyssna på dem
- Om en varning över hela sidan visas ska du inte klicka dig förbi den om du inte har ett särskilt skäl att lita på webbplatsen och förstår vad varningen betyder
Titta på själva webbplatsen
När du är på sidan säger några saker mer om huruvida webbplatsen är det den ser ut att vara.
- En fungerande kontaktsida med en riktig adress, ett telefonnummer eller en e-postadress är en positiv signal. Webbplatser som bara är gjorda för att samla in information hoppar ofta över dem eller använder generisk platshållartext
- Sidor med integritetspolicy och användarvillkor som faktiskt har innehåll, inte bara en rubrik med ingenting under, tyder på en webbplats som är byggd för att drivas på riktigt
- Stavfel, trasiga bilder eller layoutproblem som ser ofärdiga ut kan vara tecken på en hastigt byggd webbplats. De är ingen garanti för att något är fel, men tillsammans med andra signaler räknas de ihop
- Förfrågningar om information som känns malplacerade, till exempel att en webbplats ber om personnummer eller bankuppgifter utan att det finns något uppenbart skäl, ska behandlas som en varningsflagga oavsett hur resten av webbplatsen ser ut
Så använder du en kontroll av webbplatssäkerhet
Ett verktyg för att kontrollera webbplatssäkerhet slår upp en webbadress mot kända listor över skadliga eller anmälda webbplatser och ger en säkerhetsbedömning. De här verktygen är användbara som snabb andra åsikt, särskilt för webbplatser du inte har besökt förut.
Vad säkerhetskontroller tittar på
- Kända listor över skadliga webbplatser som förs av webbläsartillverkare och säkerhetsorganisationer. Webbplatser som bekräftats vara nätfiskesidor, spridare av skadlig kod eller bedrägerier finns på de här listorna och flaggas direkt
- Domänens ålder och rykte. Nyregistrerade domäner som redan har anmälts för problem, eller domäner som visar mönster som hör ihop med skadlig verksamhet, kan flaggas även om de ännu inte har lagts till på en specifik lista
- Om webbplatsen har ett giltigt säkerhetscertifikat och om HTTPS är rätt konfigurerat
- Om tidigare besökare har anmält webbplatsen
Vad säkerhetskontroller inte kan säga dig
Ett rent resultat från en kontroll av webbplatssäkerhet är ingen garanti för att webbplatsen är pålitlig. Det betyder att webbplatsen inte har anmälts eller flaggats på de listor som verktyget kontrollerar mot.
- En helt ny bedrägerisida klarar en säkerhetskontroll om den ännu inte har anmälts. Skadliga webbplatser ligger ofta före listorna i dagar eller veckor innan de läggs till
- Säkerhetskontroller bedömer inte kvaliteten eller ärligheten i webbplatsens innehåll. En webbplats kan klara alla automatiska kontroller och ändå vara gjord för att vilseleda besökare
- Använd en säkerhetskontroll som ett underlag vid sidan av de andra kontrollerna, inte som det enda
Vad som gör en webbplats genuint säker att använda
HTTPS är utgångspunkten, inte målet
En webbplats med HTTPS och ett giltigt hänglås har klarat de grundläggande tekniska kraven för en säker anslutning. Det är värt att bekräfta, men det är början på kontrollen, inte slutet.
HTTPS skyddar datan som färdas mellan webbläsaren och servern. Det säger ingenting om vad webbplatsen gör med datan när den väl har kommit fram. En webbplats kan ha ett giltigt certifikat och ändå samla in information för syften som besökaren inte skulle gå med på om de visste om dem. För en fullständig genomgång av hur HTTPS fungerar och vad det faktiskt skyddar, läs artikeln vad HTTPS är och hur det skyddar din webbplats.
Förtroendesignaler på sidan
Utöver de tekniska kontrollerna visar webbplatser som är byggda för att drivas på riktigt det i hur de hanterar grundläggande saker.
- Tydlig information om vem som driver webbplatsen och hur man kontaktar dem
- Policyer som förklarar vilken data som samlas in och hur den används
- En kassa, om det finns en, som använder en välkänd betalningsmetod och visar vad du betalar för innan du bekräftar köpet
- Inga pressmetoder: nedräkningsklockor, påståenden om att ditt konto kommer att låsas om du inte agerar nu eller varningar om att din enhet är infekterad är vanliga knep för att få besökare att fatta beslut utan att tänka efter
Vad SSL-certifikat bevisar och inte bevisar
Ett enkelt SSL-certifikat, det som ger en webbplats dess hänglås och HTTPS, bevisar en enda sak: att den som installerade det styr domänen. Det verifierar inte att företaget bakom webbplatsen är legitimt, att webbplatsen har granskats oberoende eller att de som driver den är de de säger sig vara.
Certifikat på högre nivå går längre. Ett certifikat med organisationsvalidering eller utökad validering kräver att certifikatutfärdaren verifierar företagets juridiska identitet. Webbplatser som använder de här certifikaten har kontrollerats utöver bara ägandet av domänen. För de flesta vardagliga webbplatser krävs inte den nivån av verifiering, men på finansiella plattformar eller myndighetsplattformar är det värt att känna till skillnaden. För en fullständig genomgång av certifikattyper och vad var och en bevisar, läs artikeln vad ett SSL-certifikat är och hur det fungerar.
Vad du ska göra när en webbplats inte ser säker ut
- Ange ingen personlig information, inga inloggningsuppgifter och inga betaluppgifter på en webbplats du inte är säker på. Informationen går inte att ta tillbaka när den väl har skickats
- Stäng fliken och gå direkt till webbplatsen du försökte nå genom att skriva adressen själv, i stället för att följa en länk som kan ha skickat dig till något oväntat
- Om du redan har lämnat information på en webbplats som visade sig vara osäker ska du omedelbart byta lösenordet som hör till den e-postadressen. Om betaluppgifter var inblandade ska du kontakta din bank
- Anmäl webbplatsen om webbläsaren eller säkerhetsverktyget ger dig möjlighet till det. Det hjälper till att få webbplatsen upptagen på varningslistor snabbare, vilket skyddar andra besökare
- Om du driver en egen webbplats och vill förstå vad dina besökare ser när de kontrollerar din säkerhet kan du se över om HTTPS är aktivt, om certifikatet är giltigt och inte har gått ut och om något på sidan kan upplevas som en varningsflagga av någon som inte redan känner till webbplatsen
Så hanterar WEMASY säkerhetssignaler på webbplatsen
Varje webbplats som byggs på WEMASY körs på HTTPS som standard. SSL-certifikat ingår i alla planer och tillämpas automatiskt när en webbplats eller egen domän kopplas. Ingen installation krävs och ingen förnyelse behöver hanteras. Besökare som tittar i adressfältet ser HTTPS och hänglåset från första dagen.
Omdirigeringar från HTTP till HTTPS finns på plats på plattformsnivå, så besökare hamnar alltid på den säkra versionen av webbplatsen oavsett hur de kommer dit. Varningar för blandat innehåll, som visas när en sida laddas över HTTPS men vissa delar inte gör det, är inget problem eftersom alla resurser som levereras via plattformen använder HTTPS genomgående.
Se vad som ingår i WEMASY webbplatsbyggare, eller jämför planerna på prissidan.
Vanliga frågor
Hur vet jag om en webbplats är säker?
Börja med webbläsarens adressfält. Adressen ska börja med HTTPS och en hänglåsikon ska synas. Inget hänglås betyder inget säkerhetscertifikat och ingen krypterad anslutning. Läs domännamnet noga för att bekräfta att det stämmer med dit du tänkte. Om webbläsaren visar en varning ska du ta den på allvar. På själva sidan ska du leta efter fungerande kontaktuppgifter, en riktig integritetspolicy och inga förfrågningar om information som verkar malplacerade för den typ av webbplats det är. Med WEMASY:s webbplatsbyggare kan du ställa in det direkt på din webbplats.
Betyder HTTPS att en webbplats är säker?
HTTPS betyder att anslutningen mellan din webbläsare och webbplatsen är krypterad, så att information du skickar görs oläsbar innan den färdas. Det betyder inte att webbplatsen är pålitlig eller att de som driver den är de de säger sig vara. En bedrägerisida kan ha ett giltigt HTTPS-certifikat precis som en riktig. HTTPS är en nödvändig utgångspunkt, inte en garanti för säkerhet i sig. Kontrollera domännamnet, titta på webbplatsens innehåll och använd en kontroll av webbplatssäkerhet om du är osäker.
Vad är en kontroll av webbplatssäkerhet?
Ett verktyg för att kontrollera webbplatssäkerhet slår upp en webbadress mot databaser över kända skadliga eller anmälda webbplatser. Det visar om webbplatsen har flaggats för nätfiske, skadlig kod, bedrägerier eller andra problem. Ett rent resultat betyder att webbplatsen inte har anmälts på de listor som verktyget kontrollerar, men det är ingen garanti för att webbplatsen är säker. Nya skadliga webbplatser skapas hela tiden och det tar tid innan de syns på varningslistor. Använd en säkerhetskontroll tillsammans med de andra kontrollerna, inte i stället för dem.
Vad betyder hänglåset i webbläsaren?
Hänglåset betyder att webbplatsen har ett giltigt säkerhetscertifikat installerat och att anslutningen mellan din webbläsare och webbplatsen är krypterad. All information du skickar via ett formulär görs oläsbar innan den färdas, så att den inte går att läsa om den avlyssnas. Om du klickar på hänglåset visas uppgifter om certifikatet, bland annat vem som utfärdade det och när det går ut. Inget hänglås betyder inget certifikat och ingen kryptering. Ett utgånget certifikat gör att hänglåset försvinner och kan utlösa en varning i webbläsaren.
Vad ska jag göra om jag av misstag har lämnat information på en osäker webbplats?
Byt lösenordet som hör till det kontot eller den e-postadressen direkt, före allt annat. Om betaluppgifter har angetts ska du kontakta din bank och förklara vad som hänt, så kan de spärra kortet och ge råd om nästa steg. Kontrollera om du använder samma lösenord på andra konton och byt dem också om du gör det. Anmäl webbplatsen om webbläsaren eller säkerhetsverktyget ger dig möjlighet till det. Håll utkik efter ovanlig aktivitet på konton som hör till informationen du lämnade under de följande veckorna.
Kan en webbplats med HTTPS ändå vara ett bedrägeri?
Ja. Ett enkelt säkerhetscertifikat är gratis och tar några minuter att skaffa. Vem som helst kan lägga till HTTPS på en webbplats, även de som driver bedrägerier. Hänglåset betyder att anslutningen är krypterad. Det betyder inte att webbplatsen har verifierats som legitim, att företaget bakom den är verkligt eller att dina uppgifter kommer att hanteras ansvarsfullt. HTTPS tar bort en specifik risk, men inte alla. Kontrollera alltid domännamnet, läs sidan noga och använd en kontroll av webbplatssäkerhet om något känns fel.