SSL förklarat enkelt
När en besökare fyller i ett formulär eller loggar in skickas information över internet. Ett SSL-certifikat gör att informationen överförs krypterat, så att den blir betydligt svårare för obehöriga att läsa.
SSL och HTTPS
När certifikatet är korrekt installerat använder hemsidan HTTPS i stället för HTTP. Webbläsaren visar normalt en låssymbol och besökaren slipper varningar om att anslutningen är osäker.
Varför behöver företag SSL?
SSL är viktigt för förtroende, formulär, inloggningar och betalningar. Det är också en grundläggande teknisk kvalitetsfaktor för moderna hemsidor.
Hur får man SSL?
Många webbhotell erbjuder kostnadsfria certifikat genom Let’s Encrypt. Certifikatet behöver aktiveras, kopplas till domänen och förnyas automatiskt.
Så märks en felaktig SSL-konfiguration för besökaren
Ett vanligt scenario är att certifikatet är korrekt för `www.exempel.se` men inte för `exempel.se`, eller tvärtom. Besökaren som använder den ena adressen kommer in utan problem medan den andra möts av en varning. Ett annat exempel är en sida som laddas via HTTPS men hämtar ett gammalt script via HTTP, vilket kan blockeras av webbläsaren. När SSL felsöks bör därför alla domänvarianter och sidans resurser testas. Kontrollera även certifikatkedjan och giltighetstiden i webbläsarens säkerhetsinformation i stället för att enbart utgå från att en låssymbol råkar synas på startsidan. Undvik att behandla tekniska säkerhetsfunktioner som en engångsåtgärd.
Certifikatet är bara ena halvan av en säker anslutning
Ett giltigt certifikat gör att webbläsaren kan verifiera vilken server den pratar med och upprätta en krypterad anslutning. Men säkerheten faller om delar av sidan fortfarande hämtas över vanlig HTTP. Bilder, script, typsnitt eller iframe-innehåll som laddas osäkert kan skapa så kallat mixed content. Därför behöver en HTTPS-övergång omfatta både certifikat, omdirigeringar och alla resurser som sidan använder.
Kontrollera även att gamla HTTP-adresser inte ligger kvar i databasen eller i hårdkodade mallar.
Vad händer när ett certifikat går ut?
Webbläsaren varnar besökaren om certifikatet inte längre är giltigt, vilket i praktiken kan göra webbplatsen oanvändbar för kunder. Många moderna webbhotell förnyar Let’s Encrypt-certifikat automatiskt, men automatiseringen bör ändå övervakas. Problem uppstår exempelvis om DNS pekar fel, om en domänvariant saknas i certifikatet eller om servern inte kan genomföra förnyelsen. För en viktig företagswebbplats är det därför bättre att upptäcka ett kommande certifikatfel via övervakning än genom att en kund ringer och berättar att sidan visar en säkerhetsvarning.
SSL löser inte sårbarheter i själva webbplatsen
Kryptering skyddar trafiken på vägen mellan besökaren och servern, men den hindrar inte ett osäkert plugin, ett svagt lösenord eller en felkonfigurerad server från att utnyttjas. Det är därför missvisande att använda låssymbolen som bevis för att hela webbplatsen är säker.
En bra säkerhetsnivå bygger på flera lager: uppdaterad programvara, begränsade behörigheter, backup, stark autentisering och loggning. HTTPS är ett grundkrav i den kedjan, inte en komplett säkerhetslösning.
Behöver företaget en bättre hemsida?
Få ett tydligt förslag och fast pris
Vi bygger och förbättrar WordPress-hemsidor med fokus på tydlighet, prestanda, SEO och enkel förvaltning.
Snabb återkoppling
Hjälpte den här artikeln dig?
Din röst sparas anonymt och hjälper oss att förbättra guiderna.