HTTPS och ranking

HTTPS och ranking handlar om att kryptering är en svag men verklig rankingsignal hos Google, samtidigt som den är en hygienfaktor för säkerhet och förtroende som du i praktiken inte kan vara utan. Tänk dig att du jämför två nästan identiska butikssidor i sökresultatet. Den ena börjar med https och visar ett hänglås i Chrome, den andra flaggas som Ej säker. Vilken klickar du på? Google resonerar ungefär likadant, men signalen väger lätt: den avgör sällan en placering på egen hand, och fungerar snarare som en knuff i rätt riktning när allt annat är lika.

Många hör ordet rankingsignal och tror att HTTPS är ett knep som lyfter sajten flera steg. Så är det inte. Den verkliga vinsten ligger i att du slipper förlora besökare på en skrämmande säkerhetsvarning, något som direkt påverkar din click-through rate i sökresultatet, att data skyddas på vägen mellan besökaren och servern, och att ett baskrav uppfylls som alla seriösa sajter på World Wide Web förväntas klara i dag. Resten av den här texten reder ut vad signalen faktiskt väger, var den kommer ifrån, och vad som är värt att lägga tid på i praktiken.

Vad HTTPS faktiskt är

HTTPS står för Hypertext Transfer Protocol Secure och är den krypterade versionen av det vanliga webbprotokollet HTTP, Hypertext Transfer Protocol. När din webbläsare hämtar en sida över HTTP skickas allt i klartext: vilken sida du tittar på, vad du skriver i formulär, vilka cookies som följer med. Vem som helst som kan avlyssna trafiken, till exempel på ett öppet wifi på ett kafé i Stockholm eller en flygplats i Europa, kan i teorin läsa och i värsta fall ändra den.

HTTPS löser det genom att lägga ett krypterat lager mellan webbläsaren och servern. Det lagret heter TLS, Transport Layer Security, och är efterföljaren till det äldre SSL, Secure Sockets Layer (ibland skrivet Secure Socket Layer i äldre dokumentation). Många säger fortfarande SSL-certifikat av gammal vana, men tekniken som faktiskt skyddar din trafik heter numera TLS. Resultatet är att data inte kan läsas eller manipuleras på vägen mellan besökaren och din sajt, vilket är hela poängen med säkerheten, den Sicherheit som tyska sajter brukar kalla det och som bygger Vertrauen, alltså förtroende, hos kunden.

För besökaren märks skillnaden på två konkreta sätt:

• Adressen i fältet börjar med https i stället för http.
• Chrome slutar visa den otrevliga texten Ej säker bredvid adressen, och visar i stället ett neutralt eller låst läge.

Den lilla detaljen betyder mer än man tror för förtroendet, särskilt på sidor där någon ska lämna ifrån sig en e-postadress eller ett kortnummer. Det är skillnaden mellan en besökare som slutför ett köp och en som backar ur i sista stund, och därför hänger trygghet och konverteringsoptimering tätt ihop.

Certifikatet som gör det möjligt

För att köra HTTPS behöver din sajt ett certifikat. Det är en digital fil som bevisar att domänen är den den utger sig för att vara och som innehåller nycklarna för krypteringen. Förr var certifikat något du betalade för hos leverantörer som Symantec, ofta med extra fält som SAN för att täcka flera domännamn under samma certifikat. I dag erbjuder de flesta webbhotell gratis certifikat via Let’s Encrypt, och på en typisk WordPress-installation är det en knapptryckning eller redan påslaget från start, något vi går djupare in på i guiden om SEO för WordPress.

Ett certifikat kan validera sig självt på olika nivåer, och det är värt att känna till skillnaden:

• Domänvaliderat (DV): bekräftar bara att du kontrollerar domänen. Vanligast och gratis.
• Organisationsvaliderat (OV): bekräftar även företaget bakom domänen.
• Utökad validering (EV): striktast kontroll, mest relevant för stora aktörer och banker.

För de flesta små och medelstora företag räcker ett vanligt domänvaliderat certifikat. Det ger exakt samma kryptering och exakt samma rankingsignal som ett dyrt alternativ. Skillnaden ligger i kontrollnivån, inte i säkerheten för besökaren eller i hur Google värderar sidan.

Skillnaden mellan HTTP och HTTPS i klartext

Det enklaste sättet att förstå värdet av kryptering är att jämföra de två protokollen sida vid sida. Båda gör samma grundjobb, att flytta sidor och data mellan server och webbläsare, men det ena gör det öppet och det andra inlindat i ett skyddande lager.

HTTP föddes med själva webben och var aldrig byggt med säkerhet i åtanke. Det fungerar utmärkt så länge ingen lyssnar, men på dagens internet, med öppna nätverk och annonsnätverk som vill veta allt, räcker det inte. HTTPS är samma protokoll med TLS ovanpå, och övergången från HTTP till HTTPS har gått från en nördig finess till ett tyst baskrav på bara några år.

Kort sammanfattat skiljer de sig på följande punkter:

• HTTP skickar allt i klartext, HTTPS krypterar trafiken med TLS.
• HTTP saknar certifikat, HTTPS kräver ett giltigt certifikat som styrker domänens identitet.
• HTTP flaggas som Ej säker i moderna webbläsare, HTTPS visar ett neutralt eller låst läge.
• HTTP fungerar inte med moderna protokoll som HTTP/2 och HTTP/3, HTTPS gör det.
• HTTP är en svag nackdel för rankingen, HTTPS är den förväntade utgångspunkten.

Den sista punkten är värd att stanna vid. Det är inte så att HTTPS ger dig en bonus jämfört med en genomsnittlig sajt, utan snarare att HTTP drar ifrån jämfört med alla andra som redan krypterar. Signalen är symmetrisk på papperet men asymmetrisk i upplevd effekt.

Varför HTTPS och ranking hänger ihop

Google bekräftade 2014 att HTTPS är en rankingsignal. De var ovanligt tydliga med att det rörde sig om en lätt signal som påverkade under 1 procent av globala sökningar, och att de ville ge sajtägare tid att ställa om. Sedan dess har webben i stort gått över till kryptering, och i dag är HTTPS snarare ett tyst baskrav än en fördel man sticker ut med.

Det betyder att kryptering inte ska ses som ett verktyg för att klättra. Tänk i stället tvärtom: frånvaron av HTTPS är en nackdel. En HTTP-sida riskerar att flaggas som Ej säker, vilket skrämmer bort besökare och sänker konverteringen långt innan någon rankingeffekt ens blir mätbar. Den indirekta skadan på beteendesignaler, alltså hur folk faktiskt beter sig när de landar på sidan, kan vara större än den direkta rankingsignalen.

Det finns också ett tekniskt skäl. HTTPS är ett krav för moderna protokoll som HTTP/2 och HTTP/3, som ofta laddar sidor snabbare, vilket gör att kryptering och arbetet med sidhastighet går hand i hand. Sidhastighet är i sin tur en del av Googles upplevelsesignaler. Så även om HTTPS i sig väger lätt, öppnar det dörren till andra förbättringar som tillsammans gör mer nytta. Och i takt med att fler söksvar levereras via Google AI Overviews, där maskinen plockar ihop ett svar från flera källor, är det rimligt att anta att en säker och välskött sajt fortsätter att vara en grundförutsättning snarare än en konkurrensfördel.

En enskild rankingsignal avgör sällan något. HTTPS är en av många pusselbitar, och poängen är att inte ha en bit som saknas.

Hur signalen förhåller sig till andra

Det är lätt att överskatta en enskild faktor. Här är hur HTTPS placerar sig bland de signaler en ny sajtägare brukar fundera på:

Poängen med tabellen är inte att HTTPS är oviktigt, utan att din tid bör läggas där den ger mest. Har du redan kryptering på plats är nästa steg nästan alltid innehåll och relevans, vilket en genomtänkt innehållsstrategi hjälper dig att prioritera, inte mer certifikatpyssel. Det är en av de mest missförstådda sakerna inom SEO: nybörjare lägger ofta dagar på det som väger en låg signal och timmar på det som väger en hög.

Vanliga missförstånd om HTTPS och ranking

Få SEO-ämnen omges av så mycket halvsanningar som det här. Några myter är särskilt seglivade, och de dyker upp om och om igen i forum, i Slack-kanaler för marknadsförare och i samtal med kunder. Det är värt att avliva dem en och en, för var och en leder till bortkastad tid eller felprioriterat arbete.

Den första myten är att HTTPS ensamt lyfter dig i Google. Det gör det inte. Signalen är för svag för att flytta dig förbi en konkurrent med bättre innehåll, fler relevanta backlinks och en sida som faktiskt svarar på frågan. Om du bytte till HTTPS och ingenting hände i sökresultatet är det helt väntat, och det är inte ett tecken på att något gått fel. Det är precis så en svag signal beter sig: den syns i mängden, inte i det enskilda fallet.

Den andra myten är att ett dyrt certifikat ger bättre ranking än ett gratis. Google bryr sig om att anslutningen är krypterad, inte vad du betalade eller vilken utfärdare som signerat. Ett gratis Let’s Encrypt-certifikat och ett betalt SSL-certifikat ger identisk rankingsignal. Den enda skillnaden ligger i validering och eventuell support, inte i hur sökmotorn värderar sidan.

Den tredje myten är att HTTPS gör sajten långsam. Den initiala handskakningen tar en gnutta extra tid, men på moderna servrar är det försumbart, och de snabbare protokoll som HTTPS låser upp väger mer än väl upp det. En korrekt uppsatt HTTPS-sida är i regel lika snabb eller snabbare än sin okrypterade motsvarighet.

Här är de tre myterna och vad som faktiskt gäller:

• Myt: HTTPS lyfter rankingen flera steg. Verklighet: signalen väger under 1 procent och avgör sällan på egen hand.
• Myt: ett dyrt certifikat rankar bättre. Verklighet: gratis och betalt ger samma signal.
• Myt: kryptering bromsar sidan. Verklighet: effekten är försumbar och ofta positiv via HTTP/2.

Blandat innehåll: när hänglåset försvinner

En av de vanligaste fallgroparna är blandat innehåll, på engelska mixed content. Sidan laddas över HTTPS, men enskilda resurser, en bild, ett skript, en stilmall, hämtas fortfarande över HTTP. Då tappar Chrome förtroendet för hela sidan och visar Ej säker, trots att du gjort det mesta rätt. Det är ett av de mest frustrerande problemen just för att allt ser ut att fungera, ändå försvinner hänglåset.

Symtomen är lätta att känna igen:

• Hänglåset saknas eller visar en varningstriangel.
• Vissa bilder eller funktioner laddar inte alls.
• Konsolen i webbläsaren klagar på mixed content.
• Sidan ser halvtrasig ut på vissa enheter men inte andra.

Lösningen är att hitta varje resurs som laddas över http och byta den till https. På en liten sajt kan du göra det för hand genom att söka i koden. På en större hjälper ett verktyg som Screaming Frog dig att skanna alla URLs och peka ut exakt var de osäkra länkarna sitter. Vanliga ställen att leta på är:

• Hårdkodade bildadresser i inlägg och sidor.
• Inbäddade skript från externa tjänster.
• Stilmallar och teckensnitt som laddas över http.
• Gamla länkar i widgetar, sidfot och menyer.

När alla osäkra resurser är utbytta återvänder hänglåset och webbläsaren litar på sidan igen. Det är ett pillgöra på äldre sajter, men en engångsinsats.

Så gör du i praktiken: byt eller städa upp HTTPS

Ett byte till HTTPS, eller en städning av en sajt som redan har det, följer en ganska förutsägbar ordning. Här är stegen i den följd de bör tas:

1. Skaffa och installera ett giltigt certifikat, oftast gratis via webbhotellet eller Let’s Encrypt.
2. Tvinga all trafik till HTTPS och peka om varje HTTP-adress till sin https-motsvarighet med en 301-omdirigering.
3. Uppdatera interna länkar, kanoniska taggar och din sitemap så att de pekar på https-versionen.
4. Lägg till sajten som ny egendom i Search Console och bevaka indexeringen i veckorna efter bytet.

Runt de stegen finns en del återkommande detaljarbete. Använd checklistan nedan när du vill vara säker på att inget glömts.

Efter bytet är det klokt att hålla ett öga på sajten i några veckor. Indexeringen tar lite tid att hinna ikapp, och det är nu eventuella missade omdirigeringar dyker upp. Hur du verifierar den nya egendomen och läser av indexeringen går vi igenom i guiden om Google Search Console, och en återkommande genomsökning med Screaming Frog gör resten av jobbet utan att kosta något. Vill du dubbelkolla att själva certifikatet är korrekt konfigurerat finns gratisverktyg som SSL Labs, som testar din anslutning och pekar ut svaga inställningar.

Bra kontra dålig övergång

Det går att göra samma flytt på rätt och fel sätt. Skillnaden avgör om du behåller din ranking eller tappar den.

Verktyg som hjälper dig kontrollera

Du behöver inte gissa om HTTPS är rätt uppsatt. Det finns gratisverktyg, Free Tools som SEOs lutar sig mot dagligen, som gör jobbet åt dig och pekar ut exakt vad som behöver fixas. Några värda att känna till:

• Search Console: bevakar indexering och rapporterar fel efter ett byte.
• Screaming Frog: genomsöker hela sajten och hittar blandat innehåll och felaktiga omdirigeringar.
• SSL Labs: testar och betygsätter din TLS-konfiguration.
• Webbläsarens egen konsol i Chrome: visar mixed content direkt på sidan.

Poängen är inte att använda alla samtidigt, utan att veta att de finns. En sökning, en genomsökning och en blick i konsolen täcker det mesta av det som brukar gå fel.

Vad du faktiskt bör prioritera

Om du tar med dig en enda sak: HTTPS är ett baskrav du bockar av en gång, inte en hävstång du finslipar om och om igen. När certifikatet sitter, omdirigeringarna fungerar och inget blandat innehåll skvallrar i konsolen, är HTTPS-delen av din SEO klar. Då har du gjort allt en rankingsignal av den här typen kan ge dig, och det är dags att rikta blicken mot det som faktiskt flyttar placeringar.

Den tid du har över gör mer nytta på annat håll, och det är ingen slump att de tunga signalerna i tabellen längre upp handlar om innehåll och relevans. Det är där matchen avgörs:

• Skriv innehåll som faktiskt svarar på vad besökaren söker.
• Se till att sidan laddar snabbt och fungerar på mobil, eftersom de flesta av dina besökare kommer därifrån.
• Bygg en logisk struktur så att både människor och Google hittar rätt.
• Skaffa länkar och omnämnanden från sajter som dina kunder redan litar på.

Det är där placeringarna avgörs, medan HTTPS tyst gör sitt i bakgrunden. För dig som driver en lokal verksamhet och vill ringa in vilka fraser som lönar sig kan en konkurrentanalys visa var konkurrenterna redan är starka. En säker sajt rankar inte högre för att den är säker, men en osäker sajt får svårare att över huvud taget bli tagen på allvar, av både Google och besökare.

Är du osäker på var din sajt står i dag kan du börja brett. Tre snabba kontroller räcker långt:

• Kontrollera att adressen börjar med https på alla viktiga sidor.
• Se efter att hänglåset visas i Chrome utan varning.
• Gör en snabb genomsökning och bekräfta att inga gamla http-adresser ligger kvar.

Klarar du de tre sakerna har du redan den här pusselbiten på plats, och kan med gott samvete lägga fokus på innehållet i stället. HTTPS och ranking är, när allt kommer omkring, en fråga om hygien snarare än magi: gör det rätt en gång, glöm det sedan, och ägna energin åt det som verkligen rör nålen.