Hva er et SSL-sertifikat, og hvorfor trenger bedriften det?

Hva et SSL-sertifikat gjør

Sertifikatet ligger på serveren sammen med nettstedet og gjør tre ting: det krypterer trafikken, det autentiserer at serveren hører til domenet, og det sørger for at innholdet ikke kan endres underveis uten at det oppdages. Selve navnet er utdatert. Protokollen heter i dag TLS, mens SSL henger igjen som bransjebetegnelse.

I praksis betyr det at passord, telefonnummer og kortopplysninger går kryptert fra kunden til deg. På et åpent nett kan en fremmed se hvilke sider som besøkes, men ikke lese det som sendes inn i skjemaet. Uten sertifikat går de samme opplysningene i klartekst og kan leses eller endres.

Det er samtidig viktig å vite hva sertifikatet ikke gjør. Det beskytter ikke nettstedet mot innbrudd, svake passord eller utdaterte plugins, og det sier ikke i seg selv at bedriften bak er seriøs. Det sikrer transportetappen, ikke hele virksomheten.

Hengelåsen og https: dette ser kunden

Med sertifikat på plass begynner adressen med https:// og nettleseren viser en hengelås. Mange kunder ser etter nettopp dette før de fyller ut et skjema. En landingsside som samler inn henvendelser, men mangler sertifikat, møter kunden med et advarselsikon i det øyeblikket du trenger tillit mest.

Forskjellen mellom http og https er enkel å forklare: med http sendes alt i klartekst, med https er innholdet kryptert og domenet bekreftet. Nettlesere varsler mot sider uten HTTPS, og Google bruker HTTPS som ett av flere rangeringssignaler. Det gjør sertifikatet til både et sikkerhets- og et synlighetsspørsmål.

DV, OV og EV: hvilken type passer bedriften?

Sertifikater skilles etter hvor grundig utsteder kontrollerer deg. Domenevalidert (DV) krever bare at du kan vise at du råder over domenet, og gir samme kryptering som de dyrere variantene. Det er nivået de fleste små nettsteder trenger.

Organisasjonsvalidert (OV) betyr at utsteder også kontrollerer at organisasjonen finnes og står bak domenet. Du får ingen bedre kryptering, men en identitet som er kontrollert og dokumentert. Utvidet validering (EV) går enda lenger i identitetskontrollen.

Dekningen betyr like mye som nivået. Et enkelt sertifikat gjelder for ett navn, et wildcard dekker underdomener under samme hoveddomene, og et sertifikat med flere navn dekker flere adresser. Har du nettbutikk på www, en kundeportal på et underdomene og egne kampanjesider, må du vite hva sertifikatet favner. Velg etter hva slags opplysninger du behandler og hvor mange domener du skal dekke, ikke etter pris alene.

Slik kommer sertifikatet på plass

De fleste trenger ikke kjøpe sertifikat separat. Hos de store webhotellene i Norge følger det med i hostingpakken, ofte basert på Let's Encrypt med automatisk fornyelse. Hva som er inkludert og hva som koster ekstra varierer, og prisene kan endres, så sjekk vilkårene på leverandørens egen nettside. Usikker på hva du har kjøpt? Gjennomgangen av webhotell forklarer forskjellen på domene, webhotell og sertifikat.

Selve jobben er kort: pek domenet til riktig server, aktiver sertifikatet i kontrollpanelet, vent på at utsteder bekrefter domenet, tving all trafikk til https, og oppdater bilder og lenker som fortsatt peker på http. Test til slutt flere sider enn forsiden, for eksempel kontaktskjema og innlogging.

Fornyelsen er det folk glemmer. Sertifikatet har utløpsdato, og automatisk fornyelse feiler av og til fordi domenet er flyttet eller DNS er endret. Sett en påminnelse om å sjekke at fornyelsen virker, særlig etter at du har byttet leverandør eller server.

Vanlige feil som koster tillit

Den vanligste feilen er blandet innhold. Siden kjører https, men et bilde eller skript hentes fortsatt over http, og nettleseren viser «ikke helt sikker» midt i bestillingsflyten. Løsningen er å oppdatere kilden til filene, ikke bare hovedsiden. Andre gjengangere er sertifikat som bare dekker hoveddomenet og ikke www, omdirigeringer som går i ring, og sertifikat som er utløpt fordi fornyelsen feilet i stillhet.

Det er også verdt å vite at sertifikatet på nettsiden ikke beskytter innboksen. E-post er en egen kanal, og der handler det mer om autentisering av avsender og riktig oppsett enn om hengelåsen i nettleseren.

Sertifikatet er ett av flere grunnlag

Et sertifikat er raskt å ordne og dyrt å mangle. Det bør behandles som fast drift sammen med domenet og e-postoppsettet, ikke som et engangsprosjekt.

Når nettsiden er sikret, er e-posten neste steg. DMARC hindrer at andre sender e-post i bedriftens navn, og europeisk e-post er relevant dersom kundene spør hvor dataene lagres. Trenger du hjelp til å få domene, sertifikat og e-post til å spille sammen, kan du se hva Nettsaga tilbyr for domener og book en demo for å gå gjennom oppsettet.

Vanlige spørsmål

Hva er forskjellen på SSL og TLS?

SSL er den gamle betegnelsen, TLS er protokollen som brukes i dag. I praksis mener folk det samme når de sier SSL-sertifikat, og nettleseren bruker TLS selv om sertifikatet fortsatt kalles et SSL-sertifikat.

Er et SSL-sertifikat gratis?

Ofte, men ikke alltid. Mange webhotell inkluderer sertifikat i hostingpakken, typisk basert på Let's Encrypt med automatisk fornyelse. Betalte sertifikater brukes når du trenger organisasjonsvalidering eller dekning av flere domener. Priser og vilkår kan endres, så sjekk leverandørens egen nettside.

Hva skjer hvis sertifikatet utløper?

Nettleseren viser en advarsel om at forbindelsen ikke er trygg, og mange besøkende snur i stedet for å gå videre. Sjekk utløpsdatoen med jevne mellomrom, og at automatisk fornyelse faktisk virker.

Trenger jeg sertifikat når jeg ikke selger på nettsiden?

Ja. Også et enkelt kontaktskjema sender personopplysninger, og nettlesere advarer mot sider uten HTTPS. Sertifikatet påvirker i tillegg hvordan siden vurderes i søk.

Hva er et wildcard-sertifikat?

Et sertifikat som dekker alle underdomener under ett hoveddomene. Det passer når du har flere tjenester på samme domene, for eksempel butikk, kundeportal og egne landingssider.