Vad är HTTPS och SSL? – Abions guide

HTTPS (Hypertext Transfer Protocol Secure) och SSL (Secure Socket Layer) används för att skydda data som överförs över internet. De tillhandahåller kryptering och autentisering, vilket innebär att all information som överförs mellan en webbserver och webbläsare skyddas från att stjälas av en tredje part.

Vikten av att använda sig av SSL-certifikat

Att inte använda ett SSL-certifikat är som att lägga ett brev i ett genomskinligt kuvert och sedan posta det – alla kan se vad det innehåller. Med HTTPS och SSL ser du till att informationen som skickas mellan sändaren och mottagaren online inte kan snappas upp, vilket är en viktig del i att skydda sig själv och företaget mot diverse bedrägerier och intrång.

Googles syn på HTTPS

Användningen av HTTPS är idag en av Googles rankingfaktorer och har sedan 2014 haft målsättningen att alla webbsidor ska använda HTTPS. Syftet är att tillhandahålla ett mer trovärdigt innehåll för sina användare. Som en del av satsningen “HTTPS everywhere” lanserade de en ändring i Chrome som numera markerar HTTP-sajter som “ej säkra”.

När det kommer till sökmotoroptimering är Google öppna med att om två webbsajter är likvärdiga vad gäller övriga rankingsignaler, men den ena har SSL så kommer den med SSL att rankas högre i sökresultatet. Men det kanske mest intressanta är att enligt en undersökning genomförd av HubSpot Research kommer upp till 85% av respondenterna inte gå vidare på en sajt som inte är säker (har SSL).

Som ett resultat har antalet registrerade SSL-certifikat skjutit i höjden.

Olika typer av SSL-certifikat

Vanligtvis pratar man om tre nivåer av SSL-certifikat – DV, OV och EV. Valideringsprocessen skiljer sig för varje nivå. Desto högre nivå, ju mer rigorös valideringsprocess har föregått utfärdandet. Samtidigt innebär en högre nivå på certifikat en högre nivå av upplevt förtroende för varumärket från besökaren på sajten.

Domain Validation (DV)

Detta är den lägsta av alla valideringar, vilket samtidigt innebär att det är den enklaste att få utfärdad. Valideringsprocessen består av att utfärdaren verifierar att en kontakt på domänen i fråga godkänner beställningen. Vanligtvis sker detta via mail men kan även ske via alternativa metoder.

Den enda fördelen med denna typ av certifikat är den snabba valideringen och den relativt låga kostnaden. Nackdelarna är en högre risk för phishing och ”man in the middle”-attacker. Vissa utfärdare har gått så långt att de slutat utfärda DV-certifikat på grund av inställningen att nackdelarna med att använda ett DV-certifikat långt överskrider dess fördelar.

Organization Validation (OV)

OV-certifikat är nivån över DV-certifikat. Som namnet antyder är valideringsprocessen för ett OV-certifikat mer rigorös än ett DV-certifikat och inkluderar en verifiering av organisationen bakom beställningen. 

Detta utförs vanligtvis genom att utföra stegen i en validering för ett DV-certifikat, men med tillägget att utfärdaren kontaktar bolaget med andra kontaktuppgifter än de från själva domännamnet. Denna information publiceras sedan på certifikatet, vilket gör certifikatet mer transparent och hemsidan mer trovärdig.

Extended Validation (EV)

Valideringsprocessen för ett EV-certifikat är den mest rigorösa av de tre. De tar lite längre tid att få utfärdare, men för organisationer som vill uppnå den högsta nivån av förtroende för sitt varumärke är EV-certifikat ett måste.

De flesta EV-certifikat kommer även med funktioner som skanning efter skadlig kod och ”brickor” att lägga på sin sajt. Dessa extra funktioner kan vara väldigt värdefulla när man lanserar ett nytt varumärke, sajt eller expanderar till en ny marknad. Detta då de adderar trovärdighet från en redan etablerade och trovärdiga aktörer i den digitala världen. Klickar besökaren på hänglåset i adressfältet så visas organisationens validerade namn och land. Detta visar att ett EV-certifikat är i bruk och vilken organisation som certifikatet är validerat till.

Säker hantering av SSL-certifikat minimerar risken för affärskritiska konsekvenser

SSL-certifikat är ofta registrerade hos olika utfärdare, vid olika tillfällen och av olika personer inom organisationen. Detta kan ske på varierande löptider och gör hanteringen av certifikat väldigt svår, även inom små organisationer. För att inte nämna hur komplext det blir när det kommer till stora organisationer.

På Abion har vi erfarenheten och expertisen att guida dig i ditt val av certifikat, såväl som till den mest säkra certifikathanteringen.

De största riskerna när man hanterar SSL-certifikat

• Felaktig implementation
• Otillräcklig certifikatshantering
• Vad som händer om/när ett certifikat löper ut
• Andra användningsområden för SSL-certifikat
• Abion ”Best procedure” för hantering av SSL-certifikat

Felaktig implementation

Felaktig implementation kan faktiskt vara värre än att inte ha ett SSL-certifikat alls.

Otillräcklig certifikatshantering

Otillräcklig hantering av SSL-certifikat kan ha affärskritiska konsekvenser. Allt från externa effekter såsom onåbara hemsidor och skadat renommé, till interna effekter som arbetsoförmögna medarbetare och/eller läckage av känslig information.

Vad som händer om/när ett certifikat löper ut

SSL-certifikat gäller under en förutbestämd tid, upp till ett år. En vanlig missuppfattning gällande SSL-certifikat är att de “förnyas”. I praktiken behöver ett SSL-certifikat bytas ut med ett nytt. Men det finns även situationer då ett certifikat måste bytas ut före dess utlöpsdatum.

Effekten av att icke-fungerande SSL-certifikat för en hemsida är smärtsamt uppenbar när det inträffar. Hemsidan inte längre krypterad och därmed inte säker att använda. Dessutom kan hemsidan bli onårbar när en länkstruktur baserad på HTTPS helt plötsligt ändras till HTTP på grund av att protokollet inte längre stöds. Glöm därför inte att se till att du alltid har ett giltigt och fungerande SSL-certifikat.

Andra användningsområden för SSL-certifikat

Många glömmer att SSL-certifikat inte bara används för att kryptera trafik mellan en hemsida och en besökare. SSL-certifikat används faktiskt i en mängd olika sammanhang, för olika syften. Exempelvis för VPN-anslutningar, applikationer, molnlösningar, server till serverkommunikation med mera. Att misslyckas med att hantera sina SSL-certifikat kan alltså påverka hela bolagets infrastruktur.

Abions ”Best procedure” för hantering av SSL-certifikat

Vårt mål är att säkerställa samma säkra hantering av SSL-certifikat som vi gör med domännamn och varumärken. För maximalt skydd mot att certifikat fallerar på grund av bristfällig hantering, är vår rekommendation alltid att konsolidera era certifikat.

SSL-Analysen - Steg för steg

Låt vårt expertteam hjälpa er med en plan för en säkrare certifikatshantering.

1. Nulägesanalys

I samråd med er analyserar vi nuläget för era certifikat. Vilka certifikat finns det? Från vilka utfärdare? Analysen sammanfattas i ett dokument tillsammans med en rekommenderad handlingsplan för optimering av den rådande certifikatshanteringen.

2. Skapa kontroll

Baserat på handlingsplanen möjliggör vi för kunden att få alla certifikat under kontroll, med slutmålet att alla certifikat ska hanteras av Abion för total kontroll och säkerhet.

3. Smidig certifikathantering

Abion är en Platinum Partner till Digicert. Vi har därför möjligheten att tillhandahålla en smidig och säker certifikatshantering med en dedikerad kontaktperson och säker förvaltning.