HTTPS förklarat: varför din webbplats behöver det och hur du byter

HTTPS är den säkra versionen av HTTP, protokollet som levererar webbsidor till dina besökare. Det krypterar allt som skickas mellan webbläsaren och din webbplats och bevisar att webbplatsen verkligen tillhör dig. Du känner igen det på hänglåset i webbläsaren och en adress som börjar med https://.

För tio år sedan var HTTPS något för banker. I dag är det minimum för alla webbplatser, även en enkel företagssida.

Så fungerar det, enkelt förklarat

1. Webbläsaren ber webbplatsen att identifiera sig.
2. Webbplatsen skickar sitt certifikat, ett digitalt ID utfärdat av en betrodd instans.
3. Webbläsaren kontrollerar certifikatet och båda sidor kommer överens om en hemlig nyckel.
4. Därefter är all data krypterad, så ingen på vägen (till exempel på ett öppet wifi) kan läsa eller ändra den.

Därför behöver du det

• Förtroende: webbläsare märker sajter utan HTTPS som "Inte säker". Många besökare lämnar helt enkelt, och ett kontaktformulär på en sådan sida ser riskabelt ut.
• Säkerhet: lösenord, formulär och kortbetalningar kan inte avlyssnas.
• Sökning: Google föredrar säkra webbplatser och visar dem med större självförtroende.
• Funktioner: många moderna webbläsarfunktioner, som att installera en sajt som app eller använda platsen, fungerar bara över HTTPS.
• Lag och rykte: om du samlar in personuppgifter förväntas du skydda dem. Att kryptera anslutningen är det grundläggande steget.

Vad skiljer HTTP från HTTPS?

• HTTP: data skickas som ren text. Vem som helst på vägen kan läsa eller ändra den.
• HTTPS: data är krypterad och webbplatsens identitet är kontrollerad.

Vilket certifikat ska du välja?

• DV (domänvalidering): bekräftar att du styr domänen. Snabbt och billigt eller gratis. Rätt för de flesta små företagssajter och webbutiker.
• OV (organisationsvalidering): kontrollerar även företaget. Ett bra val om du vill visa din identitet tydligt.
• EV (utökad validering): den strängaste kontrollen. Behövs sällan i dag eftersom webbläsare inte längre framhäver den särskilt.
• Wildcard: täcker alla underdomäner, till exempel butik.exempel.se och blogg.exempel.se.

Gratis certifikat från Let's Encrypt är betrodda av alla större webbläsare och förnyas automatiskt. För de flesta sajter är det allt som behövs. Många webbhotell installerar och förnyar dem åt dig med ett klick.

Så byter du från HTTP till HTTPS

1. Installera certifikatet hos ditt webbhotell eller på servern.
2. Omdirigera alla gamla http://-adresser till motsvarande https://-adress med en permanent (301) omdirigering. Använd en enda omdirigering, ingen kedja. Bestäm om sajten använder www eller inte och omdirigera den andra varianten också.
3. Åtgärda "blandat innehåll": se till att bilder, skript och stilar också laddas över HTTPS. En enda gammal http://-bild kan förstöra hänglåset.
4. Uppdatera interna länkar, canonical-taggar, sitemap och din Google Search Console-egenskap för den nya adressen.
5. Slå på HSTS när allt fungerar. Det talar om för webbläsare att alltid använda HTTPS för din sajt.
6. Testa sajten med en gratis kontroll som Qualys SSL Labs. Sikta på betyg A.

Vanliga problem

• Varning "Certifikatet har gått ut". Använd automatisk förnyelse och sätt en påminnelse.
• Omdirigeringsloopar. Beror oftast på att två system (till exempel ett CDN och servern) båda försöker omdirigera.
• Hänglås med varningstriangel. Det är blandat innehåll: hitta och åtgärda gamla http://-länkar.
• Tappad trafik efter flytten. Kontrollera att varje gammal adress omdirigeras rätt och att sitemap bara listar https-adresser.

Görs det ordentligt tar bytet en eftermiddag och dina sökplaceringar ligger kvar.