Hvad er et SSL-certifikat, og hvordan hænger det sammen med dit domæne?

Spørg hvem som helst, hvad et SSL-certifikat er, og du får mange forskellige svar, fra "det, der får HTTPS til at virke" til "ingen idé, men jeg ved, at sider skal have et". Begge svar er tættere på sandheden, end de lyder. Et SSL-certifikat er den digitale legitimation, der krypterer forbindelsen mellem en besøgendes browser og en webserver, og det udstedes specifikt til et domænenavn. Det påvirker, hvordan din side vises i browsere, hvordan søgemaskiner behandler den, og om besøgende stoler nok på den til at blive.

Hvad er et SSL-certifikat?

Et SSL-certifikat er en digital fil, der er installeret på en webserver, og som gør to ting. For det første krypterer det de data, der rejser mellem en besøgendes browser og din server, så alle oplysninger, der bliver sendt, blandt andet formularer, loginoplysninger og betalingsoplysninger, ikke kan læses af nogen, der opfanger forbindelsen. For det andet bekræfter det, at serveren hører til det domæne, den giver sig ud for at høre til, så besøgende kan være trygge ved, at de er nået frem til den rigtige side.

SSL står for Secure Sockets Layer. Teknologien er blevet opdateret gennem årene, og den nuværende standard hedder teknisk set TLS (Transport Layer Security), men ordet SSL er blevet i almindelig brug, og de fleste, registratorer og hostingudbydere kalder stadig disse certifikater for SSL-certifikater, uanset hvilken version der ligger bag.

Når et certifikat er installeret og gyldigt, viser browsere en hængelås i adresselinjen og indlæser siden over HTTPS. Det "S" til sidst i HTTP er det, SSL gør muligt. Uden certifikat er forbindelsen ukrypteret, adressen viser almindelig HTTP, og moderne browsere viser en advarsel om "Ikke sikker" til besøgende.

Hvad betyder HTTPS, og hvordan får SSL det til at virke?

HTTP er den protokol, browsere bruger til at bede om og modtage websider. HTTPS er den samme protokol med et krypteret lag ovenpå, som leveres af et SSL-certifikat. Hver gang en besøgende indlæser en side på en hjemmeside, der bruger HTTPS, kører deres browser og serveren en hurtig udveksling til kontrol. Her tjekker browseren SSL-certifikatet, bekræfter, at det er gyldigt og udstedt til det rigtige domæne, og opretter en krypteret forbindelse. Derefter er alle data mellem den besøgende og serveren kodet undervejs.

For besøgende betyder det, at alt, de skriver i en formular, alle sider, de ser på, og alle data, siden sender tilbage til deres browser, ikke kan læses af en tredjepart, der holder øje med forbindelsen. For brandejere betyder det, at kommunikationen mellem siden og dens besøgende som udgangspunkt er privat og sikker.

Hængelåsen i browserens adresselinje er den synlige bekræftelse på, at HTTPS er aktivt, og certifikatet er gyldigt. En grøn eller grå hængelås betyder, at forbindelsen er krypteret, og certifikatet er kontrolleret. En ødelagt hængelås, en overstreget hængelås eller ingen hængelås overhovedet betyder, at forbindelsen er ukrypteret, eller at der er et problem med certifikatet.

Hvordan hænger et SSL-certifikat sammen med dit domæne?

Et SSL-certifikat udstedes til et bestemt domænenavn. Når en certifikatudsteder, som er en betroet organisation, der udsteder og kontrollerer certifikater, underskriver et certifikat, knytter den det til ét eller flere domænenavne. Et certifikat udstedt til dinbrand.dk dækker præcis det domæne. Det dækker ikke automatisk www-versionen, varianter med subdomæner eller andre domæner, medmindre de udtrykkeligt er med i certifikatet.

Det er den direkte forbindelse mellem SSL og dit domæne. Certifikatet er ikke installeret på en vilkårlig server. Det er udstedt specifikt til dit domænenavn, og browseren tjekker, at domænet i certifikatet passer til det domæne, den besøgende prøver at nå. Passer de ikke sammen, viser browseren en sikkerhedsadvarsel, uanset om selve certifikatet er gyldigt.

Forrige kapitel om at beskytte dit domæne mod at blive kapret handlede om trusler mod din registrering på kontoniveau. SSL virker i et andet lag og beskytter det, der sker over forbindelsen, i stedet for hvem der kontrollerer domæneregistreringen. Når du forstår, hvad et domænenavn er, og hvordan det fungerer som adressen på din side, bliver sammenhængen tydeligere. Domænet er det navn, certifikatet er knyttet til, og både navnet og certifikatet skal være i orden, for at den sikre forbindelse virker.

Forholdet mellem dit domæne og det sted, hvor dine sidefiler er hostet, er også relevant her. Fordi certifikatet er installeret på den server, hvor din side ligger, og domænet peger på den server, skal de to passe sammen. Kapitlet om domæne og hosting forklarer, hvordan et domænenavn og en hostingkonto hænger sammen, og det er den samme infrastruktur, der får SSL til at virke i praksis.

Hvilke typer SSL-certifikater findes der?

SSL-certifikater findes i tre hovedniveauer af validering. Forskellen er, hvor grundigt certifikatudstederen kontrollerer organisationen bag domænet, før certifikatet udstedes.

Domænevalidering (DV)

Et certifikat med domænevalidering bekræfter, at den, der anmoder om det, faktisk kontrollerer domænet. Certifikatudstederen tjekker, at vedkommende har adgang til domænets DNS-poster eller den indbakke, der hører til det. Der sker ingen kontrol af organisationens identitet eller juridiske eksistens. DV-certifikater udstedes hurtigt, ofte automatisk, og er den mest almindelige type til private sider, blogs og små brandhjemmesider. Hængelåsen vises, forbindelsen er krypteret, og besøgende ser HTTPS. For de fleste sider er DV nok.

Organisationsvalidering (OV)

Et certifikat med organisationsvalidering inkluderer en kontrol af den anmodende organisations juridiske eksistens og kontaktoplysninger. Certifikatudstederen kigger i offentlige registre for at bekræfte, at organisationen er virkelig, og at den, der anmoder om certifikatet, har beføjelse til det. OV-certifikater bruges typisk af etablerede brands og organisationer, der vil have et højere niveau af kontrolleret identitet knyttet til deres certifikat.

Udvidet validering (EV)

Et certifikat med udvidet validering indebærer den mest grundige kontrol. Certifikatudstederen tjekker juridisk registrering, fysisk adresse, om organisationen er aktivt drevet, og om ansøgeren har ret til at anmode om det. EV-certifikater blev tidligere forbundet med en grøn adresselinje i browsere, selv om de fleste moderne browsere er holdt op med at vise den visuelle forskel tydeligt. De er mest almindelige hos finansielle institutioner og webshopplatforme, hvor tillid er altafgørende.

For en typisk brandhjemmeside dækker et DV-certifikat det, du har brug for. Krypteringen og HTTPS-hængelåsen er ens på tværs af alle tre typer. Forskellen er det niveau af organisationens identitet, der er kontrolleret og knyttet til certifikatet.

Hvad sker der med din side uden et SSL-certifikat?

En side uden SSL-certifikat indlæses over almindelig HTTP. For besøgende er den mest synlige følge browseradvarslen. Chrome og andre store browsere viser en "Ikke sikker"-etiket i adresselinjen for alle sider, der ikke kører HTTPS. På sider med formularer eller loginfelter kan browsere vise en mere fremtrædende advarsel, der aktivt afholder besøgende fra at indtaste noget.

Det tillidssignal, det sender, er stort. Besøgende, der ser en "Ikke sikker"-etiket, forlader oftere siden, før de har læst noget. For en side, der beder besøgende om at kontakte dig, tilmelde sig noget eller købe, påvirker fraværet af SSL direkte, hvor mange der gennemfører.

Virkningen på SEO er også reel. Google har bekræftet HTTPS som et placeringssignal, hvilket betyder, at sider med SSL har en målbar fordel i søgeresultaterne frem for tilsvarende sider uden. Fordelen er ikke enorm i sig selv, men sammen med den højere afvisningsrate, som browseradvarsler giver, kæmper en side uden SSL en op ad bakke på flere fronter. Det gennemgås nærmere i afsnittet herunder.

Hvordan påvirker SSL dine placeringer i søgning?

Google har brugt HTTPS som placeringssignal siden 2014. Selve signalet giver et moderat løft i placeringen, men de følgevirkninger, det har at mangle SSL, er ofte større end selve signalet. En side, der udløser sikkerhedsadvarsler i browseren, får højere afvisningsrate, kortere tid på siden og færre konverteringer. Alle de adfærdssignaler påvirker over tid din præstation i søgning.

Googles crawlere foretrækker også at indeksere HTTPS-versionerne af sider. Kører din side på både HTTP og HTTPS uden korrekt opsætning, kan du ende med problemer med duplikeret indhold, delte linksignaler og forvirring for crawlerne. Når SSL er installeret og sat rigtigt op, med en omdirigering fra HTTP til HTTPS, holdes alle de signaler samlet på én version af din side.

Rent praktisk er HTTPS nu en grundforventning til enhver side, der vil rangere og tages alvorligt af besøgende. Det er ikke så meget en konkurrencefordel som prisen for at komme ind.

Hvordan får du et SSL-certifikat?

Der er tre hovedveje til at få et SSL-certifikat til dit domæne, og den rigtige afhænger af, hvor din side er hostet, og hvordan din hosting er sat op.

Gennem din hostingudbyder eller hjemmesideplatform

Er din side hostet på en platform eller hos en hostingudbyder, er den mest ligefremme vej gennem dem. Mange hosts og hjemmesideplatforme har SSL med i deres tilbud og klarer installationen automatisk. Når du forbinder dit domæne til din hostingkonto, bliver certifikatet udstedt og sat op uden, at du selv skal gøre noget. Det er den vej, der giver mindst besvær og færrest konfigurationsfejl.

Gennem din domæneregistrator

Nogle domæneregistratorer tilbyder SSL-certifikater som tilkøb til domæneregistreringen. Du køber certifikatet i det samme dashboard, hvor dit domæne er registreret, og installerer det på din server eller følger registratorens vejledning. Det er mere manuelt end at få SSL gennem en host, der automatiserer det, men det er en ligetil mulighed for folk, der selv styrer deres server. Kapitlet om hvordan du registrerer et domæne er en nyttig reference til at forstå, hvad registratorer typisk tilbyder ved siden af registreringen.

Gratis SSL fra en gratis certifikatudsteder

En gratis, automatiseret certifikatudsteder kan udstede DV-certifikater uden omkostninger. Den blev skabt for at gøre SSL tilgængeligt for alle sider på internettet, og det er lykkedes. De fleste webhosts understøtter de gratis certifikater enten direkte eller gennem integrationer, og mange sætter det automatisk op, når du forbinder et domæne. Certifikaterne fornyes automatisk hver 90. dag, hvilket fjerner risikoen for, at et certifikat udløber og giver browseradvarsler.

Hvornår skal du bruge et gratis SSL-certifikat, og hvornår et betalt?

For de fleste brandhjemmesider dækker et gratis DV-certifikat alt, hvad der er brug for. Krypteringen er den samme som i betalte certifikater. Hængelåsen vises. HTTPS-protokollen virker. Besøgende ser en sikker side. Understøtter din host gratis certifikater og sætter det automatisk op, er der ingen grund til at betale for et certifikat bare for at få den samme beskyttelse på DV-niveau.

Betalte certifikater giver mening i bestemte situationer. Har du brug for et OV- eller EV-certifikat til organisationsvalidering, kræver det et betalt certifikat, fordi gratis udstedere kun udsteder DV. Driver du en stor webshop, en finansiel tjeneste eller en hvilken som helst platform, hvor identiteten på organisationen bag siden er en reel tillidsfaktor for brugerne, er den ekstra kontrol, der følger med OV eller EV, pengene værd.

Betalte certifikater har ofte også funktioner som en garanti, som er en økonomisk sikkerhed i det usandsynlige tilfælde, at en certifikatfejl giver et sikkerhedsproblem, og mere detaljeret kundesupport. For en lille brandhjemmeside eller en indholdsfokuseret side tilføjer de ekstra ting sjældent praktisk værdi. For en side med store transaktionsmængder kan garantien og adgangen til support være relevant.

Fornyelse af SSL-certifikater og hvad der sker, når et certifikat udløber

SSL-certifikater har en udløbsdato. Almindelige certifikater er gyldige i op til 13 måneder (omkring 397 dage). Når et certifikat udløber, viser browsere straks sikkerhedsadvarsler til alle besøgende, uanset hvordan siden så ud dagen før. Hængelåsen forsvinder, "Ikke sikker"-etiketten dukker op, og besøgende ser tydelige fejlsider, der advarer om, at sidens certifikat er udløbet.

Det er en hurtig måde at miste besøgendes tillid og organisk trafik på. Advarsler om udløbne certifikater opfanges også af overvågningsværktøjer og kan udløse notifikationer fra Search Console eller tjenester til overvågning af oppetid, hvis du har sat dem op.

Den praktiske løsning er den samme som ved domæneudløb. Automatiser fornyelsen. Gratis certifikater fornyes automatisk hver 90. dag, hvis hosten har sat fornyelsesprocessen rigtigt op. Mange udbydere af betalte certifikater tilbyder også automatisk fornyelse. Styrer du selv dit certifikat, så sæt en kalenderpåmindelse i god tid før udløbsdatoen, så du har tid til at forny og geninstallere uden hul i dækningen.

Hvad er et wildcard-SSL-certifikat?

Et almindeligt SSL-certifikat dækker et bestemt domæne og eventuelt www-versionen. Et wildcard-certifikat dækker rodomænet og alle dets subdomæner på én gang. Et wildcard til dinbrand.dk ville også dække shop.dinbrand.dk, blog.dinbrand.dk, app.dinbrand.dk og alle andre subdomæner, du opretter, uden at du skal bruge et separat certifikat til hver.

Wildcard-certifikater er nyttige for brands, der kører flere tjenester eller dele af en side på forskellige subdomæner. Kapitlet om eget domæne eller subdomæne handler om, hvornår subdomæner giver mening, og hvordan de hænger sammen med dit hoveddomæne, og det er den sammenhæng, hvor wildcard-certifikater bliver relevante.

For en ligetil brandhjemmeside på ét domæne med en www-version er et almindeligt certifikat nok. Wildcard er et praktisk skridt op, når din domænestruktur har flere aktive subdomæner.

Sådan håndterer WEMASY SSL

WEMASY har SSL med på alle sider, der er hostet på platformen. Når du forbinder et domæne til din WEMASY-hjemmeside, bliver et SSL-certifikat udstedt og sat op automatisk. Omdirigeringen til HTTPS er sat op som standard, så domænet åbner sikkert uden manuel konfiguration. Fornyelse af certifikatet håndteres af platformen, så der er ingen udløbsdato at holde styr på og ingen fornyelsesproces at styre.

For domæner, der er registreret eller forbundet gennem WEMASY, dækker certifikatet det domæne, du har sat op. Se, hvad der er med i hver plan, på WEMASY Priser.

Ofte stillede spørgsmål

Næste kapitel handler om 301-omdirigeringer: hvad de er, hvordan de virker, og hvornår du har brug for en for at flytte trafik og linkværdi fra én URL til en anden.