Hänglåset i webbläsarens adressfält är en av de mest kända symbolerna på webben. Det är ett SSL-certifikat som sätter dit det, och vad det faktiskt gör går längre än de flesta besökare inser. Det avgör om data som skickas via din webbplats färdas krypterad eller som vanlig text som vem som helst kan läsa om de avlyssnar anslutningen. Att förstå hur SSL fungerar, och var det inte räcker till, förändrar hur du skyddar dina besökare.
SSL är grundtekniken som gör HTTPS möjligt. När en besökares webbläsare ansluter till en webbplats med ett giltigt SSL-certifikat upprättar den en krypterad anslutning innan någon data utbyts. Hänglåsikonen, HTTPS i adressfältet och att varningen "Inte säker" uteblir beror alla på att certifikatet finns och är giltigt. För sammanhanget kring varför säkerhet är viktig på hela webbplatsen, läs artikeln varför webbplatssäkerhet är viktigt.
Vad gör ett SSL-certifikat egentligen?
Ett SSL-certifikat har två skilda uppgifter samtidigt. Det krypterar data under överföringen och det bekräftar webbplatsens identitet.
Kryptering
- Kryptering betyder att all data som skickas mellan webbläsaren och servern görs oläsbar under överföringen
- Bara den avsedda mottagaren, webbläsaren eller servern, har nyckeln för att göra den läsbar igen
- Utan kryptering färdas formulär, inloggningsuppgifter och betaluppgifter över nätverk som vanlig text som går att läsa om den avlyssnas
Autentisering
- Ett SSL-certifikat utfärdas av en certifikatutfärdare, en oberoende organisation som kontrollerar webbplatsens identitet innan certifikatet utfärdas
- Kontrollen bekräftar att domänen som certifikatet gäller styrs av den organisation som hävdar att den äger den
- När en webbläsare kontrollerar certifikatet bekräftar den både att anslutningen är krypterad och att webbplatsen är den den utger sig för att vara, inte en bedragare
Hur fungerar SSL-kryptering?
Krypteringen sker automatiskt och osynligt i samma stund som en webbläsare ansluter till en webbplats. Den består av en rad steg som kallas TLS-handskakningen. TLS, Transport Layer Security, är det moderna namnet på protokollet som ursprungligen hette SSL.
Anslutningens steg
- Webbläsaren begär en säker anslutning och servern svarar genom att skicka sitt SSL-certifikat
- Webbläsaren verifierar certifikatet hos certifikatutfärdaren som utfärdade det och bekräftar att det är giltigt och inte har gått ut
- Båda sidor kommer överens om en krypteringsmetod och utbyter nycklar, och därmed upprättas en säker kanal
- All data som överförs efter det krypteras så länge besöket pågår
Vad krypteringen skyddar
- Data i kontaktformulär, inklusive namn, e-postadresser och meddelanden
- Inloggningsuppgifter, inklusive användarnamn och lösenord
- Betalkortsuppgifter och faktureringsinformation
- All annan inmatning som en besökare skickar via din webbplats
Vad SSL inte skyddar
- SSL krypterar data under överföringen. Det skyddar inte data som lagras osäkert på servern efter att den tagits emot
- En webbplats med SSL-certifikat kan fortfarande hackas om själva servern har säkerhetsbrister
- SSL är ett lager av webbplatssäkerhet, inte en komplett lösning i sig
Vilka typer av SSL-certifikat finns det?
SSL-certifikat skiljer sig åt i hur noggrant certifikatutfärdaren kontrollerar identiteten innan certifikatet utfärdas.
Domänvalidering
- Certifikatutfärdaren bekräftar bara att den som ansöker styr domänen
- Processen är automatiserad och certifikat utfärdas snabbt
- Certifikat med domänvalidering räcker för bloggar, informationswebbplatser och de flesta webbplatser som inte hanterar betalningar direkt på webbplatsen
Organisationsvalidering
- Certifikatutfärdaren kontrollerar både domänen och att organisationen som ansöker om certifikatet finns juridiskt
- Certifikat med organisationsvalidering används oftare av företag som vill visa verifierad organisationsinformation tillsammans med certifikatet
Utökad validering
- Certifikat med utökad validering innebär den mest grundliga identitetskontrollen, med juridiska, fysiska och operativa kontroller av organisationen
- De förknippades tidigare med ett grönt adressfält i webbläsare, men den visuella skillnaden har tagits bort i moderna webbläsare
- Certifikat med utökad validering används oftast av finansiella institutioner och stora webbutiker
Wildcard- och multidomäncertifikat
- Ett wildcard-certifikat täcker en domän och alla dess underdomäner med ett enda certifikat
- Ett multidomäncertifikat täcker flera separata domäner med ett certifikat
- De är praktiska för organisationer som hanterar flera webbplatser eller underdomäner utan att utfärda ett separat certifikat för var och en
Behöver alla webbplatser ett SSL-certifikat?
Ja. Behovet av HTTPS gäller inte bara webbplatser som tar betalt eller hanterar känslig data. Det gäller varje offentlig webbplats, av tre skäl.
Varningar i webbläsaren
- Webbläsare visar texten "Inte säker" i adressfältet för varje webbplats som levereras över HTTP
- På sidor med formulär visar vissa webbläsare en tydlig varning innan en besökare skickar in något
- De här varningarna minskar förtroendet och avskräcker besökare från att interagera med sidan
Rankning i sökmotorer
- HTTPS är en bekräftad rankningssignal. Webbplatser som levereras över HTTPS har ett försprång i rankningen jämfört med likvärdiga sidor över HTTP
- Sökmotorer minskar också synligheten för webbplatser med aktiva säkerhetsvarningar i resultaten
Skydd av besökarnas data
- Även en webbplats som bara har ett kontaktformulär samlar in besökardata. Utan HTTPS överförs den datan utan kryptering
- I många regioner kräver dataskyddslagstiftningen att personuppgifter hanteras säkert, vilket inkluderar skydd under överföringen
Hur skaffar du ett SSL-certifikat?
Via ditt webbhotell
- Många webbhotell inkluderar SSL-certifikat i sina paket
- I de fallen installeras och förnyas certifikatet automatiskt utan att webbplatsägaren behöver göra något
- Det är det enklaste alternativet för de flesta webbplatser
Via en certifikatutfärdare
- SSL-certifikat kan fås direkt från certifikatutfärdare och installeras manuellt på en server
- Gratis certifikat finns hos allmänt betrodda certifikatutfärdare och förnyas automatiskt med hjälp av verifieringsverktyg
- Det här alternativet kräver mer teknisk kunskap och är vanligare för utvecklingsteam som sköter sina egna servrar
När du har skaffat certifikatet
- När ett certifikat är installerat bör alla interna länkar och resursreferenser på webbplatsen peka på HTTPS-adresser för att undvika varningar om blandat innehåll
- En omdirigering från HTTP till HTTPS bör ställas in så att besökare som kommer till HTTP-versionen automatiskt skickas till den säkra versionen
En fullständig förklaring av vad HTTPS betyder och hur det påverkar dina besökare och din rankning finns i artikeln vad HTTPS är och hur det skyddar din webbplats. En fullständig guide till hur du skyddar webbplatsen utöver själva certifikatet finns i artikeln så skyddar du din webbplats mot hackare. Om säkerhetskopior som ett kompletterande skydd, läs artikeln så säkerhetskopierar du din webbplats.
Så hanterar WEMASY SSL-certifikat
SSL-certifikat ingår i varje WEMASY-plan. När en webbplats skapas på WEMASY installeras och aktiveras certifikatet automatiskt. Alla sidor levereras över HTTPS som standard utan att webbplatsägaren behöver ställa in något.
Certifikaten förnyas automatiskt innan de går ut. Det finns ingen manuell förnyelse och ingen risk att certifikatet löper ut och utlöser varningar i webbläsaren. Den underliggande SSL-infrastrukturen sköts på plattformsnivå, så webbplatsägare behöver inte hantera den själva.
Se vad som ingår i WEMASY webbplatsbyggare, eller jämför planerna på prissidan.
Vanliga frågor
Vad är ett SSL-certifikat?
Ett SSL-certifikat är en digital fil som installeras på en webbserver och möjliggör krypterade anslutningar mellan servern och besökarnas webbläsare. Det är det som gör att en webbplats kan använda HTTPS i stället för HTTP. När en besökares webbläsare verifierar ett giltigt SSL-certifikat upprättas en krypterad kanal, så att data som överförs under besöket inte går att läsa om den avlyssnas. Med WEMASY:s webbplatsbyggare kan du ställa in det direkt på din webbplats.
Behöver jag ett SSL-certifikat för min webbplats?
Ja. Varje offentlig webbplats behöver ett SSL-certifikat. Webbläsare visar en varning om att webbplatsen inte är säker på webbplatser utan certifikat, och HTTPS är en bekräftad rankningssignal för sökmotorer. Även en webbplats som bara tar emot kontaktformulär överför besökardata som bör skyddas under överföringen. Vilken typ av SSL-certifikat som krävs beror på webbplatsens syfte, men någon form av certifikat behövs för alla webbplatser.
Vad är skillnaden mellan SSL och TLS?
TLS (Transport Layer Security) är den moderna, uppdaterade versionen av protokollet SSL (Secure Sockets Layer). SSL har inte använts aktivt på över två decennier, men termen används fortfarande flitigt i vardagligt tal för tekniken som skyddar webbanslutningar. När någon säger "SSL-certifikat" menar de nästan alltid ett certifikat som använder TLS. Själva protokollet som hanterar krypteringen har uppdaterats, men certifikaten har inte ändrats nämnvärt i hur de används.
Vad händer om mitt SSL-certifikat går ut?
När ett SSL-certifikat går ut visar webbläsare direkt en varning över hela sidan för besökare som försöker nå webbplatsen. Varningen säger att anslutningen inte är privat och avråder besökare från att gå vidare. Webbplatsen blir i praktiken oåtkomlig för alla som ser varningen och inte väljer att ignorera den. Sökmotorer kan också minska webbplatsens synlighet. Certifikat bör förnyas innan de går ut, vilket de flesta webbhotell och system för certifikathantering sköter automatiskt.
Påverkar ett SSL-certifikat webbplatsens prestanda?
TLS-handskakningen som upprättar en krypterad anslutning lägger till en liten stund på den första anslutningen. På moderna servrar och nätverk mäts den extra tiden oftast i millisekunder och märks inte av besökarna. HTTP/2, som stöds brett och kräver HTTPS, kan ge bättre laddningsprestanda än HTTP/1.1, så i praktiken laddas en välkonfigurerad HTTPS-webbplats ofta snabbare än sin HTTP-motsvarighet.
Är ett gratis SSL-certifikat lika bra som ett betalt?
När det gäller kryptering ger ett gratis certifikat med domänvalidering samma krypteringsnivå som ett betalt certifikat på samma valideringsnivå. Hänglåsikonen och HTTPS visas likadant i webbläsaren. Betalda certifikat med organisationsvalidering eller utökad validering ger ytterligare identitetskontroll, vilket kan vara relevant för finansiella institutioner eller stora webbutiker där verifierad organisationsinformation är viktig. För de flesta webbplatser räcker ett gratis certifikat gott och väl.