SSL-certifikat: vilken typ och varför
Vad är ett SSL-certifikat, vilken valideringsnivå passar ditt företag och hur dödar webbläsarvarningar konverteringen? En guide beprövad i praktiken.
Publicerad av: Hızlı Yazılım
Vad är ett SSL-certifikat och varför spelar hänglåset roll
Ett SSL-certifikat krypterar trafiken mellan webbläsaren och din server och fungerar som ett digitalt id-kort. När besökare ser hänglåsikonen litar de på att formulärdata och inloggningsuppgifter är skyddade mot avlyssning. Utan kryptering kan varje okrypterad HTTP-förfrågan läsas av någon i samma nätverk. Även en enkel presentationssajt behöver HTTPS, eftersom moderna webbläsare märker vanlig HTTP som 'inte säker'. Den varningen räcker för att skrämma bort försiktiga användare innan de har läst en enda produktbeskrivning.
Certifikatet autentiserar också servern. Ett certifikat med domänvalidering bevisar bara att du har kontroll över domänen; det bekräftar inte företagets juridiska namn. För ett kontaktformulär räcker det. För betalningsuppgifter förväntar sig användare starkare verifiering. Att välja rätt valideringsnivå är ett affärsbeslut, inte bara ett tekniskt.
DV-certifikat: snabb men svag validering
Ett DV-certifikat (Domain Validation) kontrollerar bara att du har kontroll över domännamnet. Certifikatutfärdaren verifierar en DNS-post, en länk i ett mejl eller en fil på servern. Processen tar några minuter och är ofta gratis. DV verifierar dock inte företagets juridiska namn, fysiska adress eller organisationsnummer. En nätfiskesajt kan få samma DV-certifikat för en domän som ser likadan ut. Användare granskar sällan certifikatdetaljer, men avsaknaden av företagsidentitet begränsar förtroendet vid riskfyllda handlingar.
DV fungerar för personliga bloggar, portfoliosajter, landningssidor och enkla kontaktformulär där inga känsliga uppgifter samlas in. Driver du en liten e-handel under de första månaderna kan DV tillsammans med en bra betallösning ändå fungera. Betallösningen hanterar kortuppgifterna utanför din webbplats, så ditt eget certifikat kommer aldrig i kontakt med kortnummer. Förstå vad certifikatet skyddar och vad det inte skyddar.
OV och EV: företagsidentitet i certifikatdetaljerna
Ett OV-certifikat (Organization Validation) verifierar domänen och den juridiska person som står bakom den. Utfärdaren kontrollerar företagsregistrering, fysisk adress och telefonnummer. Processen tar några arbetsdagar och kräver dokument. OV är rätt balans för företag som fakturerar, skriver avtal eller hanterar grossistorder. Hänglåset ser likadant ut som för DV i de flesta webbläsare, men certifikatdetaljerna visar det verifierade företagsnamnet. För ett KOBİ eller litet och medelstort företag spelar det extra förtroendet roll när företagskunder gör en snabb kontroll.
EV (Extended Validation) brukade visa företagsnamnet i grönt i adressfältet; webbläsarna har tagit bort det. Den synliga nyttan med EV har minskat. EV kräver mest pappersarbete men ger liten extra trygghet för användaren på vanliga webbplatser. Om du inte verkar inom bank, stora marknadsplatser eller hårt reglerade branscher är EV oftast en onödig kostnad. Lägg den budgeten på webbplatsens hastighet eller förbättringar i kassan i stället.
När ett gratiscertifikat räcker
Gratiscertifikat från Let's Encrypt eller liknande utfärdare ger samma krypteringsstyrka som betalda DV-certifikat. De fungerar för företagspresentationer, kataloger, portfolios och bokningsformulär. Automatisk förnyelse via Certbot eller hostingpanelen gör dem nästan underhållsfria. Ett gratiscertifikat betyder inte svag säkerhet; krypteringsalgoritmerna är identiska. För ett litet företag som bara samlar in namn, e-post och meddelande är ett gratis DV-certifikat ett förnuftigt standardval.
Gratiscertifikat räcker inte när du tar emot betalningar direkt, driver en kundportal eller lagrar personuppgifter. De verifierar inte din företagsidentitet, så en besökare kan inte skilja din webbplats från en klonad domän. Dessutom har gratiscertifikat kort giltighetstid, och utebliven automatisering leder till att de går ut. Gratis räcker för de flesta informationssajter, men inte för transaktionssystem där förtroende är lika med intäkter.
Blandat innehåll: SSL installerat men webbläsaren varnar ändå
Du har installerat ett SSL-certifikat, men en bild, en CSS-fil eller ett JavaScript laddas fortfarande via HTTP. Då markerar webbläsaren sidan som 'inte säker' eller visar ett trasigt hänglås. Det här är ett fel med blandat innehåll. Själva sidan levereras via HTTPS, men varje delresurs måste också använda HTTPS. En enda gammal logotyp-URL eller en plugininställning kan rasera den förtroendesignal du har arbetat för att bygga upp.
Blandat innehåll dyker ofta upp efter en flytt av webbplatsen eller när gamla inlägg innehåller hårdkodade HTTP-länkar. WordPress-databaser, temafiler och plugininställningar är vanliga bovar. Webbläsarens konsol visar exakt vilken resurs som är osäker. Att åtgärda detta är inte valfritt: en besökare kan inte skilja ett fel med blandat innehåll från ett saknat certifikat. Båda ser ut som ett säkerhetsproblem, och båda kostar konverteringar.
Vad som händer när du glömmer att förnya
Varje SSL-certifikat har ett utgångsdatum. När det har passerat visar webbläsare en röd helsidesvarning som blockerar åtkomst tills besökaren klickar sig vidare via 'avancerade' inställningar. De flesta användare klickar inte vidare; de går tillbaka till sökresultaten. För en e-handel stoppar ett utgånget certifikat försäljningen direkt. Sökmotorer kan också tillfälligt flagga domänen som osäker. Tiden mellan att certifikatet går ut och att felet upptäcks kan vara flera timmar, och varje minut kostar potentiella köpare.
Förlita dig aldrig på manuell förnyelse. För gratiscertifikat aktiverar du automatisk förnyelse i Certbot eller i din hostingpanel. För betalda certifikat ska du inte utgå från att leverantörens påminnelsemejl når fram. Lägg in utgångsdatumet i din kalender och i en övervakningstjänst. En enda missad förnyelse en hektisk försäljningsdag skickar dina trogna kunder till en konkurrent, och de kanske inte kommer tillbaka.
Webbläsarvarningar och konvertering: en verklighetskoll från fältet
En webbläsarvarning som säger 'din anslutning är inte privat' får de flesta besökare att stänga fliken. Det är inte spekulation; det är ett beteende vi ser på varje KOBİ-webbplats vi granskar. Saknas hänglåset på en kassasida kan antalet slutförda beställningar sjunka till nästan noll. Användare behöver ingen säkerhetsutbildning för att uppfatta en varning som en fara. SSL är ingen teknisk bock i en lista; det är en del av köptratten.
Alla varningar väger dock inte lika tungt. Ett enstaka certifikatfel på en rent informativ webbplats förstör inte ett varumärke för gott. Men återkommande dröjsmål eller ignorerade fel med blandat innehåll nöter ner antalet återbesök. Börja med ett gratis DV-certifikat, gå över till OV när transaktionsvolymen växer och se EV som ett nischalternativ. Välj certifikatnivå utifrån den faktiska risk dina besökare utsätts för, inte utifrån marknadsföringshype.