Når nogen sender en formular på en HTTP-hjemmeside (ikke HTTPS), rejser deres data over internettet som almindelig tekst. Alle på netværket mellem dem og din server kan se, hvad de skrev, herunder adgangskoder, kreditkortnumre og e-mailadresser. Det er ikke teori. Værktøjer til at aflytte datapakker er frit tilgængelige, og angribere opsnapper aktivt ukrypterede formularindsendelser.
SSL/TLS-kryptering er teknologien, der beskytter formulardata, mens de rejser fra den besøgendes browser til din server. Det er den mest grundlæggende form for formularsikkerhed, og den er ikke til forhandling.
Det lærer du: Hvordan HTTPS-kryptering virker, forskellen på SSL og TLS, hvad et SSL-certifikat er, og hvorfor du har brug for et, hvordan du kontrollerer, at din formular er krypteret ordentligt, og hvad du gør, hvis HTTPS ikke virker.
Hvad er HTTPS, og hvordan krypterer det data?
HTTPS er den sikre version af HTTP (Hypertext Transfer Protocol). "S" står for Secure. HTTPS bruger SSL/TLS (Secure Sockets Layer / Transport Layer Security) til at kryptere alle data, der sendes mellem den besøgende og din server.
Her er, hvad der sker, når en besøgende sender en formular over HTTPS:
- Den besøgende udfylder og sender formularen. Deres browser samler dataene.
- Browseren opretter en krypteret forbindelse. Den kontakter din server og kontrollerer SSL-certifikatet (mere om det nedenfor).
- Begge sider aftaler krypteringsindstillinger. De forhandler den stærkeste kryptering, som begge understøtter.
- Alle data krypteres, før de sendes. Formulardataene gøres ulæselige med den aftalte kryptering.
- Din server modtager de krypterede data. Den bruger sin private nøgle til at dekryptere dem, så de kan læses.
For enhver, der aflytter netværket, ser dataene ud som tilfældige tegn. De kan ikke læse dem uden krypteringsnøglen, som kun din server har.
Forskellen på SSL og TLS
SSL (Secure Sockets Layer) og TLS (Transport Layer Security) er beslægtede teknologier, der gør det samme. SSL var den oprindelige standard, første gang udgivet i 1995. TLS er den moderne, forbedrede version, der afløste den.
- SSL 3.0: Den sidste version af SSL, udgivet i 1996. Forældet og ikke længere sikker.
- TLS 1.0: Første version af TLS, udgivet i 1999. Virker stadig, men er ældre.
- TLS 1.2: Udgivet i 2008. Stadig udbredt og anset for sikker.
- TLS 1.3: Udgivet i 2018. Den nuværende standard, hurtigere og mere sikker.
Moderne browsere og servere bruger TLS 1.2 eller TLS 1.3. Når folk siger "SSL-certifikat", mener de som regel et certifikat, der bruges til TLS-kryptering. Begreberne bruges ofte i flæng, men TLS er den teknologi, der faktisk er i brug i dag.
Hvad er et SSL-certifikat?
Et SSL-certifikat er en digital fil, som din webserver bruger til at bevise sin identitet og oprette en krypteret forbindelse. Det indeholder:
- Dit domænenavn: Hvilket domæne certifikatet er gyldigt for (www.eksempel.dk)
- Oplysninger om din organisation: Firmanavn, adresse osv.
- En offentlig nøgle: Bruges af de besøgendes browsere til at kryptere data
- En digital signatur: Bevis for, at en betroet myndighed har verificeret certifikatet
- Udløbsdato: Hvornår certifikatet udløber og skal fornyes
Certifikatet er som et digitalt id-kort, der beviser, at din server er ægte.
Sådan kontrolleres SSL-certifikater
Når en besøgende åbner din HTTPS-hjemmeside, kontrollerer deres browser dit SSL-certifikat for at sikre, at det er ægte:
- Din server sender sit certifikat. Browseren modtager det.
- Browseren kontrollerer den digitale signatur. Er certifikatet underskrevet af en betroet certifikatudsteder?
- Browseren verificerer domænet. Passer certifikatet til det domæne, den besøgende er på?
- Browseren kontrollerer udløbsdatoen. Er certifikatet stadig gyldigt?
Hvis en af kontrollerne fejler, viser browseren en advarsel. Hvis alt består, viser browseren et hængelåsikon (eller en sikkerhedsmarkering), der fortæller den besøgende, at forbindelsen er krypteret, og at hjemmesiden er ægte.
Typer af SSL-certifikater
Domænevaliderede (DV) certifikater
Det grundlæggende certifikat. Certifikatudstederen verificerer, at du ejer domænet, men ikke din organisation. Den billigste mulighed. Godt til de fleste formularer.
Organisationsvaliderede (OV) certifikater
Udstederen verificerer både domænet og oplysninger om din organisation. Dyrere end DV og giver mere tillid. Browseren viser din organisations navn i certifikatets detaljer.
Certifikater med udvidet validering (EV)
Udstederen foretager en omfattende verificering, herunder juridiske kontroller. Den dyreste. Viser organisationens navn direkte i browserens adresselinje. Bruges mest af finansielle institutioner og hjemmesider med høj sikkerhed.
Wildcard-certifikater
Gyldige for et domæne og alle dets underdomæner (fx dækker et wildcard til *.eksempel.dk mail.eksempel.dk, blog.eksempel.dk osv.). Nyttigt, hvis du har mange underdomæner med formularer.
Certifikater til flere domæner (SAN)
Gyldige for flere forskellige domæner i ét certifikat. Nyttigt, hvis du driver flere hjemmesider med formularer.
Sådan får du et SSL-certifikat
Certifikatudstedere
Du køber certifikater hos certifikatudstedere (CA'er) som:
- Store kommercielle udstedere
- Domæneregistratorer, der videresælger certifikater
- Udstedere med fokus på virksomhedscertifikater
- Gratis udstedere, der er udbredt
Priserne spænder fra gratis (hos de gratis udstedere) til hundredvis af dollars om året (EV-certifikater).
Gennem din webhost
De fleste moderne webhosts (herunder WEMASY) inkluderer SSL-certifikater automatisk. Du behøver ikke købe eller administrere dem separat. De klarer fornyelsen automatisk.
Installation og fornyelse
SSL-certifikater udløber og skal fornyes. De fleste hosts klarer det automatisk. Tjek af og til dit certifikats udløbsdato for at sikre, at det stadig er gyldigt. Hvis det udløber, viser din hjemmeside en sikkerhedsadvarsel, og besøgende stoler måske ikke på den.
Sådan kontrollerer du, at din formular er krypteret ordentligt
Tjek URL'en
Din formularside skal bruge HTTPS, ikke HTTP. Tjek adresselinjen.
GODT: https://www.example.com/contact
DÅRLIGT: http://www.example.com/contact
Kig efter sikkerhedsmarkeringen
I moderne browsere viser en sikker HTTPS-forbindelse et hængelåsikon eller en "Sikker"-markering i adresselinjen. Klik på den for at se certifikatets detaljer.
Tjek certifikatets gyldighed
Klik på hængelåsen og se certifikatet. Kig efter:
- Er det gyldigt for dit domæne?
- Er det udløbet?
- Hvem udstedte det (certifikatudstederen)?
Brug et online SSL-tjek
Online SSL-tjek lader dig skrive dit domæne og få en detaljeret rapport om din SSL-konfiguration. De kontrollerer, om du bruger de nyeste krypteringsstandarder, og finder eventuelle svagheder.
Almindelige problemer med HTTPS og SSL
Advarsel om blandet indhold
Din formularside er HTTPS, men nogle ressourcer (billeder, scripts, typografiark) hentes over HTTP. Browsere advarer besøgende om, at siden ikke er helt sikker. Ret det ved at gøre alle ressourcer HTTPS.
Certifikat, der ikke passer
Certifikatet er til www.example.com, men den besøgende er på example.com (uden www), eller omvendt. Browsere viser en sikkerhedsadvarsel. Ret det med et wildcard-certifikat eller ved at omdirigere den ene version til den anden.
Udløbet certifikat
Dit certifikat er udløbet og skal fornyes. Browsere viser en tydelig sikkerhedsadvarsel. Besøgende stoler måske ikke på din formular. Forny certifikatet med det samme.
Selvsigneret certifikat
Din server bruger et certifikat, du selv har lavet, i stedet for et fra en betroet udsteder. Browsere stoler ikke på det og viser en advarsel. Brug aldrig selvsignerede certifikater på offentlige formularer. Køb eller brug et certifikat fra en anerkendt udsteder.
HTTPS er ikke kun til formularer
Hver side på din hjemmeside bør bruge HTTPS, ikke kun dine formularsider. Det beskytter alle besøgendes data og fortæller Google, at din hjemmeside er sikker. Omdiriger al HTTP-trafik til HTTPS, så besøgende altid er beskyttet.
Det gør WEMASY for SSL/TLS-kryptering
Hver WEMASY-hjemmeside og hver formular bygget med WEMASY bruger HTTPS som standard. Dine formularer kører automatisk på sikre forbindelser. WEMASY administrerer SSL-certifikater for dig, herunder automatisk fornyelse. Du behøver aldrig at købe, installere eller administrere certifikater. Krypteringen er indbygget og altid aktiv.
Læs mere om din sikkerhedsopsætning i dine kontoindstillinger eller på prissiden.