SSL-sertifikater: hvilken type og hvorfor
Hva er et SSL-sertifikat, hvilket valideringsnivå passer bedriften din, og hvordan ødelegger nettleseradvarsler konverteringen? En utprøvd guide.
Publisert av: Hızlı Yazılım
Hva er et SSL-sertifikat, og hvorfor betyr hengelåsen noe
Et SSL-sertifikat krypterer trafikken mellom nettleseren og serveren din og fungerer som et digitalt ID-kort. Når besøkende ser hengelåsikonet, stoler de på at skjemadata og innloggingsopplysninger er beskyttet mot avlytting. Uten kryptering kan enhver ukryptert HTTP-forespørsel leses av noen på det samme nettverket. Selv et enkelt presentasjonsnettsted trenger HTTPS, fordi moderne nettlesere merker vanlig HTTP som «ikke sikker». Den advarselen alene skremmer bort forsiktige brukere før de har lest en eneste produktbeskrivelse.
Sertifikatet autentiserer også serveren. Et domenevalideringssertifikat beviser bare at du kontrollerer domenet; det bekrefter ikke bedriftens juridiske navn. For et kontaktskjema er det greit. For betalingsopplysninger forventer brukerne sterkere verifisering. Å velge riktig valideringsnivå er en forretningsbeslutning, ikke bare en teknisk en.
DV-sertifikater: raske, men svak validering
Et DV-sertifikat (domenevalidering) bekrefter bare at du kontrollerer domenenavnet. Sertifikatutstederen verifiserer en DNS-post, en e-postlenke eller en fil på serveren. Prosessen tar minutter og er ofte gratis. DV bekrefter imidlertid ikke bedriftens juridiske navn, fysiske adresse eller organisasjonsnummer. Et phishingnettsted kan få det samme DV-sertifikatet for et domene som ligner ditt. Brukere sjekker sjelden sertifikatdetaljene, men når bedriftsidentiteten mangler, begrenser det tilliten ved handlinger med høy risiko.
DV fungerer for personlige blogger, porteføljenettsteder, landingssider og enkle kontaktskjemaer der ingen sensitive data samles inn. Driver du en liten nettbutikk i de første månedene, kan DV kombinert med en god betalingsløsning fortsatt fungere. Betalingsløsningen håndterer kortdata utenfor nettstedet ditt, så ditt eget sertifikat kommer aldri i kontakt med kortnumre. Forstå hva sertifikatet beskytter, og hva det ikke beskytter.
OV og EV: bedriftsidentitet i sertifikatdetaljene
Et OV-sertifikat (organisasjonsvalidering) bekrefter domenet og den juridiske enheten bak det. Utstederen sjekker foretaksregistrering, fysisk adresse og telefonnummer. Prosessen tar noen virkedager og krever dokumentasjon. OV er den rette balansen for bedrifter som utsteder fakturaer, inngår kontrakter eller håndterer engrosbestillinger. Hengelåsen ser lik ut som for DV i de fleste nettlesere, men sertifikatdetaljene viser det verifiserte firmanavnet. For en KOBİ eller SMB betyr denne ekstra tilliten noe når bedriftskunder tar en rask sjekk.
EV-sertifikater (utvidet validering) viste tidligere et grønt firmanavn i adressefeltet; nettleserne har fjernet dette. Den synlige fordelen med EV har dermed blitt mindre. EV krever mest papirarbeid, men gir lite ekstra trygghet som brukeren faktisk ser på vanlige nettsteder. Med mindre du opererer innen bank, store markedsplasser eller sterkt regulerte bransjer, er EV som regel en unødvendig kostnad. Bruk heller budsjettet på hastigheten til nettstedet eller forbedringer i kassen.
Når et gratissertifikat er nok
Gratissertifikater fra Let's Encrypt eller lignende utstedere gir den samme krypteringsstyrken som betalte DV-sertifikater. De fungerer for bedriftspresentasjoner, kataloger, porteføljer og timebestillingsskjemaer. Automatisk fornyelse via Certbot eller kontrollpanelet hos webhotellet gjør dem nesten vedlikeholdsfrie. Et gratissertifikat betyr ikke svak sikkerhet; krypteringsalgoritmene er de samme. For en liten bedrift som bare samler inn navn, e-post og melding, er et gratis DV-sertifikat et fornuftig standardvalg.
Gratissertifikater kommer til kort når du tar imot betalinger direkte, driver en kundeportal eller lagrer personopplysninger. De bekrefter ikke bedriftsidentiteten din, så en besøkende kan ikke skille nettstedet ditt fra et klonet domene. I tillegg har gratissertifikater kort levetid, og mangler automatiseringen, utløper de. Gratis holder for de fleste informasjonsnettsteder, men ikke for transaksjonssystemer der tillit er lik inntekt.
Blandet innhold: SSL er installert, men nettleseren advarer fortsatt
Du har installert et SSL-sertifikat, men ett bilde, én CSS-fil eller ett JavaScript lastes fortsatt over HTTP. Da merker nettleseren siden som «ikke sikker» eller viser en brutt hengelås. Dette er en feil med blandet innhold. Selve siden leveres over HTTPS, men alle underressurser må også bruke HTTPS. En eneste gammel logo-URL eller en innstilling i en utvidelse kan ødelegge tillitssignalet du har jobbet for å bygge.
Blandet innhold dukker ofte opp etter en flytting av nettstedet, eller når gamle innlegg inneholder hardkodede HTTP-lenker. WordPress-databaser, temafiler og innstillinger i utvidelser er vanlige syndere. Nettleserkonsollen viser nøyaktig hvilken ressurs som er usikker. Å rette dette er ikke valgfritt: en besøkende kan ikke se forskjell på en feil med blandet innhold og et manglende sertifikat. Begge ser ut som et sikkerhetsproblem, og begge koster konverteringer.
Hva skjer når du glemmer å fornye
Alle SSL-sertifikater har en utløpsdato. Når den er passert, viser nettleserne en rød advarsel over hele siden som blokkerer tilgangen til den besøkende klikker seg videre via «avanserte» innstillinger. De fleste brukere klikker seg ikke videre; de går tilbake til søkeresultatene. For en nettbutikk stopper et utløpt sertifikat salget umiddelbart. Søkemotorer kan også midlertidig flagge domenet som usikkert. Tiden fra sertifikatet utløper til noen oppdager det, kan være flere timer, og hvert minutt koster potensielle kjøpere.
Stol aldri på manuell fornyelse. For gratissertifikater bør du slå på automatisk fornyelse i Certbot eller i kontrollpanelet hos webhotellet. For betalte sertifikater bør du ikke ta for gitt at påminnelsen fra leverandøren når frem. Legg utløpsdatoen inn i kalenderen og i en overvåkingstjeneste. Én glemt fornyelse på en travel salgsdag sender de lojale kundene dine til en konkurrent, og det er ikke sikkert de kommer tilbake.
Nettleseradvarsler og konvertering: en realitetssjekk fra felten
En nettleseradvarsel som sier «tilkoblingen din er ikke privat», får de fleste besøkende til å lukke fanen. Dette er ikke spekulasjon; det er atferd vi observerer på hvert eneste KOBİ-nettsted vi gjennomgår. Mangler hengelåsen på en betalingsside, kan antallet fullførte bestillinger falle nesten til null. Brukerne trenger ingen sikkerhetsutdannelse for å oppfatte en advarsel som fare. SSL er ikke en teknisk avkrysningsboks; det er en del av kjøpstrakten.
Likevel veier ikke alle advarsler like tungt. En enkeltstående sertifikatfeil på et rent informasjonsnettsted ødelegger ikke en merkevare for godt. Men gjentatte forsinkelser eller ignorerte feil med blandet innhold vil tære på gjenbesøkene. Start med et gratis DV-sertifikat, gå over til OV når transaksjonsvolumet vokser, og se på EV som et nisjealternativ. Velg sertifikatnivå ut fra den faktiske risikoen de besøkende står overfor, ikke ut fra markedsføringshype.