SSL-certifikat

Ett SSL-certifikat är en datafil som låter din webbserver kryptera trafiken till och från besökaren, så att ingen mitt emellan kan läsa eller ändra det som skickas. Det är tekniken som gör att adressen börjar på https i stället för http, och som visar det lilla hänglåset i webbläsaren. När ett lösenord fylls i, ett kontaktformulär skickas eller en betalning genomförs, är det certifikatet som ser till att informationen reser krypterat över Internet, ungefär lika osynligt för besökaren som att en sida hamnar i Googles register vid indexering.

Begreppet kommer från Secure Socket Layer, en äldre teknik som i dag har ersatts av TLS, men namnet SSL-certifikat lever ändå kvar i vardagligt tal. I praktiken syftar det på det certifikat som gör att din sajt kan köra HTTPS, alltså Hypertext Transfer Protocol Secure, och som signeras av en betrodd utfärdare för att webbläsare som Chrome och Mozilla ska lita på anslutningen, något som väger in i den helhetsbedömning av trovärdighet som beskrivs under E-E-A-T.

Vad ett SSL-certifikat egentligen är

Tänk dig att du skickar ett vykort. Vem som helst som hanterar det på vägen kan läsa baksidan, och ungefär så fungerar gammal http-trafik. Ett SSL-certifikat förvandlar vykortet till ett förseglat brev där bara avsändaren och mottagaren kan läsa innehållet, oavsett hur många servrar och nätverk informationen passerar mellan Sverige och resten av Internet, en trygghet som lika gärna gäller en liten verksamhet med SEO i Kalmar.

Rent tekniskt är certifikatet en fil på din server som kopplar din domän till en kryptografisk nyckel och som är signerad av en betrodd utfärdare. När en besökares webbläsare ansluter sker en kort handskakning där parterna kommer överens om en krypterad kanal, och hela förloppet tar bara millisekunder utan att synas för användaren. Det är en osynlig grund som hör hemma i samma teknikvård som lokala satsningar på SEO i Stockholm.

Certifikatet fyller flera roller på en och samma gång:

• Trafiken krypteras så att lösenord och formulär inte kan avlyssnas.
• Det bekräftas att besökaren faktiskt pratar med rätt domän och inte en bluffsajt.
• Https aktiveras tillsammans med hänglåset i adressfältet.
• Sidan skyddas mot att någon manipulerar den på vägen.
• Anslutningen blir betrodd i Chrome, Mozilla och övriga moderna webbläsare.

Ett certifikat måste utfärdas av en betrodd certifikatutfärdare, och det är några återkommande aktörer som dyker upp:

• ISRG, organisationen i USA bakom gratistjänsten Let’s Encrypt, vars certifikat passar utmärkt för lokala sajter.
• Comodo, en av de äldre kommersiella utfärdarna, ofta vald av företag som lägger kraft på säkerhet.
• Återförsäljare och webbhotell, exempelvis Svenska Domäner, som säljer och installerar certifikat åt dig.

Hänglåset betyder att anslutningen är krypterad, inte att företaget bakom sajten är ärligt. Även en bluffsajt kan ha ett giltigt certifikat, så bedöm alltid avsändaren separat, precis som du väger källors trovärdighet via E-E-A-T.

Vilka typer av SSL-certifikat som finns

Alla certifikat krypterar på samma sätt, men de skiljer sig i hur mycket de validerar och hur många domäner de täcker, och det påverkar både pris och användning. Det finns i grunden två sätt att gruppera dem på.

Efter valideringsnivå brukar man tala om tre steg:

• DV, Domain Validation, kontrollerar bara att du äger domänen och är snabbt, gratis eller billigt, och räcker långt för en lokal sajt med SEO i Göteborg.
• OV, Organisation Validation, kontrollerar även att organisationen finns och passar företag som vill visa lite mer.
• EV är den mest grundliga kontrollen och förekommer oftast hos banker och stora aktörer, en nivå långt över vad de flesta behöver.

Efter antal domäner de täcker finns också tre vanliga varianter:

• Ett enkelt certifikat gäller för en domän, vilket räcker för de flesta som börjar med SEO för WordPress.
• Ett wildcard täcker alla subdomäner under en domän, till exempel butik och blogg.
• Ett SAN- eller UCC-certifikat samlar flera namn, vilket är vanligt när Microsoft 365 och Outlook ska samsas med en webbplats.

För en typisk svensk företagssajt räcker ett gratis DV-certifikat från Let’s Encrypt. Driver du e-handel med betalningar kan ett OV-certifikat kännas tryggare, men krypteringen är exakt lika stark i båda fallen, så valet handlar mest om hur mycket validering och garanti du vill betala för.

Snabbjämförelse av nivåerna

• DV passar bloggar, småföretag och de allra flesta sajter i Norden.
• OV passar företag som vill knyta organisationens namn till certifikatet, ofta i takt med att de bygger upp sin trovärdighet.
• EV passar verksamheter med högt ställda krav, ofta inom bank och finans.

Varför HTTPS spelar roll för SEO och förtroende

Google har länge sagt att HTTPS är en rankningssignal. Den är lätt, så ett certifikat lyfter dig inte över bättre innehåll, men det jämnar ut spelplanen mot konkurrenter som redan kör krypterat, något du snabbt ser i en konkurrentanalys. Den verkliga effekten ligger i hur besökare och webbläsare beter sig när de möter en osäker sida.

De praktiska konsekvenserna brukar visa sig på flera sätt:

• Chrome och Mozilla märker osäkra sidor med Inte säker, vilket skrämmer bort besökare innan de hunnit läsa.
• Många konverteringar tappas direkt på varningssidan, innan någon ens har läst ditt innehåll.
• HTTPS krävs för korrekt mätning och för flera moderna webbfunktioner, och utan det blir det svårt att synas i en Google AI Overview enligt GEO.
• Krypterad trafik stärker din trovärdighet och stödjer ett bra helhetsintryck av sajten.

Effekten hänger också ihop med dataskydd. GDPR kräver att personuppgifter skyddas med lämpliga åtgärder, och skickar din sajt namn, e-post eller andra uppgifter via formulär bör trafiken vara krypterad. Ett certifikat är inte hela lösningen, men det räknas som en självklar grund, ungefär som att en VPN-tunnel skyddar trafik på ett annat plan. Sedan Chrome och andra webbläsare började varna tydligt för osäkra sidor har andelen krypterade sajter dessutom stigit till klart över 90 procent av all webbtrafik, vilket gör att en sajt utan certifikat sticker ut negativt.

Snabba effekter på beteendet

• Färre avhopp på den varningssida som annars möter besökaren.
• Bättre förtroende när hänglåset visas på alla sidor.
• Korrekt spårning av trafik och konverteringar.
• En tydlig signal om att din sajt sköts ordentligt.

Så installerar du ett SSL-certifikat

I de flesta fall är det enklare än det låter, eftersom många webbhotell i Sverige slår på gratis certifikat automatiskt, ofta i samma kontrollpanel som du använder för SEO för WordPress. Behöver du göra det själv ser ordningen i regel ut så här:

1. Logga in hos ditt webbhotell och leta upp SSL eller HTTPS i kontrollpanelen.
2. Välj att installera ett gratiscertifikat via Let’s Encrypt, eller ladda upp ett köpt certifikat.
3. Vänta tills certifikatet har utfärdats och blivit aktivt för din domän.
4. Tvinga all trafik till https med en omdirigering från http.
5. Uppdatera interna länkar och resurser så att inget laddas via http.
6. Testa sajten i Chrome och kontrollera att hänglåset visas utan varning.

När certifikatet väl är på plats är det några saker som ofta ställer till det, och de flesta går snabbt att åtgärda:

• Blandat innehåll, där en bild eller ett skript fortfarande laddas via http, vilket också tynger din sidhastighet.
• Gamla absoluta länkar som pekar på http-versionen av en sida.
• Omdirigeringar som missar någon enstaka undersida.
• Glömd förnyelse, så att ett certifikat tyst hinner gå ut.

Bra kontra dåligt certifikatläge

Det är ofta lättare att känna igen ett rätt och ett fel läge än att förklara tekniken bakom, och därför kan en enkel jämförelse spara mycket felsökning. Ett certifikat som går ut är det vanligaste sättet att hamna i det dåliga läget, för då slutar webbläsaren lita på sajten och visar en stor varning i stället för ditt innehåll. Besökare backar nästan alltid, och därför är automatisk förnyelse, som med Let’s Encrypt, en stor trygghet.

Några frågor som ofta dyker upp när läget ska bedömas kan besvaras kort. Ett certifikat täcker hela domänen, så alla undersidor behöver inte ett eget, och vill du även skydda subdomäner väljer du ett wildcard- eller SAN-certifikat så att flera filer slipper hanteras. Gratiscertifikat är inte heller sämre i sig, eftersom själva krypteringen är lika stark, och skillnaden mot betalda alternativ ligger i validering, garanti och support.

Snabbsvar på det vanligaste

• Hela domänen täcks av ett certifikat, inte bara förstasidan.
• Subdomäner skyddas med ett wildcard- eller SAN-certifikat.
• Gratis och betalt ger samma krypteringsstyrka.
• Validering, garanti och support skiljer prisklasserna åt, ungefär som ambitionsnivån skiljer i din innehållsstrategi.

Vill du förstå hur trovärdighet vägs in när Google bedömer din sajt kan du läsa vidare om E-E-A-T.