SSL-certifikater: hvilken type og hvorfor
Hvad er et SSL-certifikat, hvilket valideringsniveau passer til din virksomhed, og hvordan dræber browseradvarsler konverteringen? En afprøvet guide.
Udgivet af: Hızlı Yazılım
Hvad er et SSL-certifikat, og hvorfor betyder hængelåsen noget
Et SSL-certifikat krypterer trafikken mellem browseren og din server og fungerer som et digitalt id-kort. Når besøgende ser hængelåsikonet, stoler de på, at formulardata og loginoplysninger er beskyttet mod aflytning. Uden kryptering kan enhver ukrypteret HTTP-forespørgsel læses af andre på samme netværk. Selv en simpel præsentationsside har brug for HTTPS, fordi moderne browsere markerer almindelig HTTP som "ikke sikker". Alene den advarsel skræmmer forsigtige brugere væk, før de har læst en eneste produktbeskrivelse.
Certifikatet autentificerer også serveren. Et certifikat med domænevalidering beviser kun, at du har kontrol over domænet; det bekræfter ikke virksomhedens juridiske navn. Til en kontaktformular er det fint. Ved betalingsoplysninger forventer brugerne en stærkere verificering. Valget af det rette valideringsniveau er en forretningsbeslutning, ikke kun en teknisk.
DV-certifikater: Hurtig, men svag validering
Et DV-certifikat (Domain Validation) kontrollerer kun, at du har kontrol over domænenavnet. Certifikatudstederen verificerer en DNS-post, et link i en e-mail eller en fil på serveren. Processen tager minutter og er ofte gratis. DV verificerer dog ikke virksomhedens juridiske navn, fysiske adresse eller registreringsnummer. En phishingside kan få præcis det samme DV-certifikat til et domæne, der ligner dit. Brugerne tjekker sjældent certifikatets detaljer, men den manglende virksomhedsidentitet begrænser tilliden ved handlinger med høj risiko.
DV fungerer til personlige blogs, porteføljesider, landingssider og enkle kontaktformularer, hvor der ikke indsamles følsomme data. Driver du en lille webshop i de første måneder, kan DV sammen med en god betalingsløsning stadig fungere. Betalingsløsningen håndterer kortdata uden for din side, så dit eget certifikat kommer aldrig i berøring med kortnumre. Forstå, hvad certifikatet beskytter, og hvad det ikke beskytter.
OV og EV: Virksomhedsidentitet i certifikatets detaljer
Et OV-certifikat (Organization Validation) verificerer domænet og den juridiske enhed bag det. Udstederen kontrollerer virksomhedsregistrering, fysisk adresse og telefonnummer. Processen tager et par hverdage og kræver dokumentation. OV er den rette balance for virksomheder, der udsteder fakturaer, indgår kontrakter eller håndterer engrosordrer. Hængelåsen ser ud som ved DV i de fleste browsere, men certifikatets detaljer viser det verificerede firmanavn. For en KOBİ eller SMV betyder den ekstra tillid noget, når erhvervskunder laver et hurtigt tjek.
EV (Extended Validation) viste tidligere et grønt firmanavn i adresselinjen; det har browserne fjernet. Den synlige fordel ved EV er derfor blevet mindre. EV kræver mest papirarbejde, men giver kun lidt ekstra synlig sikkerhed for brugerne på typiske hjemmesider. Medmindre du arbejder inden for bank, store markedspladser eller stærkt regulerede brancher, er EV som regel en unødvendig udgift. Brug hellere budgettet på hastighed eller forbedringer af betalingsforløbet.
Når et gratis certifikat er nok
Gratis certifikater fra Let's Encrypt eller lignende udstedere giver samme krypteringsstyrke som betalte DV-certifikater. De fungerer til virksomhedspræsentationer, kataloger, porteføljer og bookingformularer. Automatisk fornyelse via Certbot eller hostingpanelet gør dem næsten vedligeholdelsesfri. Et gratis certifikat betyder ikke svag sikkerhed; krypteringsalgoritmerne er de samme. For en lille virksomhed, der kun indsamler navn, e-mail og besked, er et gratis DV-certifikat et fornuftigt standardvalg.
Gratis certifikater kommer til kort, når du modtager betalinger direkte, driver en kundeportal eller gemmer persondata. De verificerer ikke din virksomheds identitet, så en besøgende kan ikke skelne din side fra et klonet domæne. Desuden har gratis certifikater kort levetid, og manglende automatisering fører til udløb. Gratis er nok til de fleste informationssider, men ikke til transaktionssystemer, hvor tillid er lig med omsætning.
Blandet indhold: SSL er installeret, men browseren advarer stadig
Du har installeret et SSL-certifikat, men et billede, en CSS-fil eller et JavaScript indlæses stadig over HTTP. Browseren markerer så siden som "ikke sikker" eller viser en brudt hængelås. Det er en fejl med blandet indhold (mixed content). Selve siden leveres over HTTPS, men alle underressourcer skal også bruge HTTPS. En enkelt gammel logo-URL eller en indstilling i et plugin kan ødelægge det tillidssignal, du har arbejdet for at opbygge.
Blandet indhold opstår ofte efter en flytning af siden, eller når gamle indlæg indeholder hardkodede HTTP-links. WordPress-databaser, temafiler og plugin-indstillinger er de typiske syndere. Browserkonsollen viser præcis, hvilken ressource der er usikker. Det er ikke valgfrit at rette det: En besøgende kan ikke se forskel på en fejl med blandet indhold og et manglende certifikat. Begge ligner et sikkerhedsproblem, og begge koster konverteringer.
Hvad sker der, når du glemmer at forny
Alle SSL-certifikater har en udløbsdato. Når den er passeret, viser browserne en rød advarsel over hele siden, der blokerer adgangen, indtil den besøgende klikker sig igennem de "avancerede" indstillinger. De fleste brugere klikker ikke videre; de går tilbage til søgeresultaterne. For en webshop stopper et udløbet certifikat salget med det samme. Søgemaskiner kan også midlertidigt markere domænet som usikkert. Der kan gå flere timer, fra certifikatet udløber, til nogen opdager det, og hvert minut koster potentielle købere.
Stol aldrig på manuel fornyelse. Ved gratis certifikater skal du slå automatisk fornyelse til i Certbot eller i dit hostingpanel. Ved betalte certifikater skal du ikke regne med, at udbyderens påmindelsesmail når frem. Skriv udløbsdatoen i din kalender, og brug en overvågningstjeneste. Én glemt fornyelse på en travl salgsdag sender dine loyale kunder over til en konkurrent, og de kommer måske ikke tilbage.
Browseradvarsler og konvertering: Et realitetstjek fra praksis
En browseradvarsel om, at "din forbindelse er ikke privat", får de fleste besøgende til at lukke fanen. Det er ikke spekulation; det er adfærd, vi ser på hver eneste KOBİ-hjemmeside (SMV), vi gennemgår. Mangler hængelåsen på en betalingsside, kan antallet af gennemførte ordrer falde til næsten nul. Brugerne behøver ingen uddannelse i it-sikkerhed for at fornemme, at en advarsel betyder fare. SSL er ikke et teknisk flueben; det er en del af selve købsforløbet.
Men ikke alle advarsler vejer lige tungt. En enkeltstående certifikatfejl på en ren informationsside ødelægger ikke et brand for altid. Gentagne forsinkelser eller ignorerede fejl med blandet indhold vil derimod tære på de tilbagevendende besøg. Start med et gratis DV-certifikat, gå over til OV, når transaktionsmængden vokser, og betragt EV som en nicheløsning. Vælg certifikatniveau ud fra den reelle risiko, dine besøgende står over for, ikke ud fra markedsføringshype.