Certifikatet er en del af HTTPS-forbindelsen
Et SSL-certifikat er den almindelige betegnelse for et certifikat, der bruges, når en hjemmeside kommunikerer over HTTPS. I moderne forbindelser er det TLS, Transport Layer Security, der bruges. SSL er navnet på den ældre teknologi, men betegnelsen lever videre i hostingprodukter og daglig tale.
TLS beskytter data under transport mellem browseren og det sted, hvor forbindelsen afsluttes, eksempelvis webserveren eller en CDN-tjeneste. Certifikatet indgår i kontrollen af, at forbindelsen gælder det ønskede domæne. Krypteringen gør indholdet vanskeligere for uvedkommende at læse eller ændre undervejs. Se MDN's forklaring af TLS.
Det er relevant på både en webshop og en almindelig virksomhedsside. Kontaktformularer, login og andre oplysninger bør ikke sendes over en ukrypteret HTTP-forbindelse.
Hvad beviser HTTPS ikke?
Et gyldigt certifikat er ikke en kvalitetskontrol af virksomheden eller indholdet. En svindelside kan også have HTTPS. Certifikatet beviser heller ikke, at hjemmesidens plugins er opdaterede, at adgangskoder opbevares korrekt, eller at databasen og backups er beskyttede.
Se derfor HTTPS som en nødvendig del af driften sammen med opdateringer, adgangsstyring og backup. Hvis en CDN eller proxy står foran serveren, skal forbindelsen mellem de to også være konfigureret sikkert. En krypteret forbindelse fra browseren alene fortæller ikke hele historien.
HTTPS er heller ikke det samme som domain authority, som er et analyseværktøjs mål, eller en godkendelse af SEO-metoder som cloaking. Sikker transport, troværdigt indhold og søgemaskineoptimering er forskellige forhold, der skal vurderes hver for sig.
Hvilken type certifikat skal du vælge?
Certifikater kan beskrives efter, hvad udstederen kontrollerer, og hvilke domænenavne de dækker. Det er to forskellige valg.
| Validering | Hvad undersøges? |
|---|---|
| DV | Kontrol over domænet. |
| OV | Domænekontrol og oplysninger om organisationen. |
| EV | En mere omfattende validering af organisationens identitet. |
Valideringsniveauet er ikke i sig selv en skala for stærkere kryptering. Cloudflares oversigt over certifikattyper skelner også mellem enkelt domæne, flere domæner og wildcard-dækning. Kontrollér de konkrete navne, du skal bruge, herunder både hoveddomæne og eventuelle underdomæner.
For mange almindelige hjemmesider er et automatisk administreret DV-certifikat et praktisk udgangspunkt. Undersøg først, hvad platformen eller hostingudbyderen allerede inkluderer. Du behøver ikke nødvendigvis købe et certifikat separat. Let's Encrypt tilbyder gratis certifikater og beskriver både hosting med indbygget understøttelse og opsætning via en ACME-klient.
Planlæg opsætningen som en driftsopgave
Før du skifter hosting eller kobler et nyt domæne til, skal det være klart, hvem der sørger for certifikat og fornyelse. Spørg udbyderen, hvilke domæner der dækkes, hvordan fornyelsen sker, og hvem der modtager en fejlmeddelelse.
Når HTTPS er tilgængeligt, bør gennemgangen omfatte:
- At de relevante domænenavne åbner uden certifikatfejl.
- At HTTP-adresser fører til den tilsvarende HTTPS-side.
- At formularer, billeder, skrifter og scripts bruger fungerende HTTPS-adresser.
- At interne links, canonical og sitemap peger på den ønskede version.
- At automatisk fornyelse er aktiveret og kan gennemføres.
Det er ikke nok at teste forsiden. Åbn også en underside, en formular og eventuelle særskilte underdomæner. Test den opsætning, de besøgende faktisk rammer, inklusive proxy og CDN, hvis de bruges.
Mixed content, fornyelse og HSTS
Mixed content opstår, når en HTTPS-side forsøger at hente ressourcer over HTTP. Browseren kan opgradere eller blokere indhold afhængigt af typen. Resultatet kan være manglende funktioner eller billeder, selv om selve siden åbner over HTTPS. Ret de bagvedliggende adresser og kontrollér, at ressourcerne findes på HTTPS.
Ved et udløbet certifikat skal den ansvarlige undersøge fornyelsen og installere eller aktivere et gyldigt certifikat. Se også efter årsagen: ændret DNS, utilgængelig validering eller forkert domæneopsætning. En manuel fornyelse løser ikke nødvendigvis den fejl, der vil opstå igen næste gang.
HSTS kan instruere browseren i at bruge HTTPS ved fremtidige besøg. Vurder det først, når HTTPS fungerer på de berørte domæner. Lang varighed, underdomæner og preload kræver en bevidst driftsbeslutning, fordi en fejl kan gøre siden utilgængelig for besøgende.
HTTPS og SEO skal hænge sammen
Hvis både HTTP og HTTPS viser samme side uden en klar foretrukken version, bør du undersøge omdirigeringer og duplicate content. Et certifikat alene samler ikke automatisk alle adressevarianter.
Ved en flytning fra HTTP til HTTPS skal du kontrollere gamle links og den nye sides tilgængelighed. Betragt det som en del af den samlede SEO-gennemgang, frem for at forvente et bestemt løft i placeringer fra certifikatet alene.
FAQ
Hvad er forskellen på SSL og TLS?
SSL er den ældre teknologi. Moderne HTTPS-forbindelser bruger TLS, men udtrykket SSL-certifikat bruges stadig ofte om certifikatet i den forbindelse.
Skal jeg betale for et SSL-certifikat?
Ikke nødvendigvis. Det kan være inkluderet i hosting eller platform, og der findes gratis certifikater. Support, opsætning og drift kan stadig koste penge. Undersøg den samlede løsning og domænedækningen.
Gør et dyrere certifikat hjemmesiden mere sikker?
Prisen og valideringstypen fortæller ikke alene, hvor sikker hjemmesiden er. Kryptering, serveropsætning, software, adgangsstyring og drift skal også fungere. Vælg efter det faktiske behov for identitetsvalidering, dækning og support.
Hvad gør jeg, hvis browseren viser en certifikatfejl?
Få den ansvarlige for hosting til at undersøge fejlen og rette certifikat eller konfiguration. Besøgende bør ikke være afhængige af at tilsidesætte browserens advarsel for at bruge hjemmesiden.
Få HTTPS med i gennemgangen
Hvis du skal flytte hjemmeside eller har problemer med certifikat og ressourcer, kan du kontakte mig om den konkrete adresse. Opgaven bør omfatte både forbindelsen, de berørte funktioner og den efterfølgende fornyelse.