Hva er SSH? Sikker tilgang til serveren forklart

SSH (Secure Shell) er en kryptert protokoll som gir deg tilgang til serveren bak nettsiden din via kommandolinjen. Du bruker den til å flytte filer, oppdatere WordPress, ta sikkerhetskopier og feilsøke. Bruk nøkkelinnlogging med Ed25519 framfor passord, og fjern tilganger når en utvikler eller et byrå slutter.

SSH står for Secure Shell. Det er måten utviklere og driftsfolk logger seg trygt inn på serveren der nettsiden ligger. Alt som sendes mellom maskinen din og serveren er kryptert, også passord, kommandoer og filer. For deg som eier en bedriftsside er SSH sjelden noe du bruker selv hver dag. Likevel bør du vite hva det er, hvem som har tilgang, og om leverandøren din tilbyr det.

Hva er SSH, og hva brukes det til?

SSH er en kryptert forbindelse som lar deg kjøre kommandoer direkte på en server, som om du satt foran den. Det brukes til å installere og oppdatere programvare, flytte nettsider, ta sikkerhetskopier, lese feillogger og endre filrettigheter.

SSH erstattet Telnet, som sendte alt i klartekst. Den mest brukte versjonen er OpenSSH. Den er innebygd i macOS og Linux, og Windows 10 og 11 har også en egen OpenSSH-klient. Du trenger altså ikke kjøpe noe program for å komme i gang.

Konkrete eksempler på hva SSH brukes til på en vanlig bedriftsside:

• Oppdatere WordPress, utvidelser og temaer med WP-CLI når kontrollpanelet henger eller en oppdatering har feilet.
• Laste ned eller pakke inn hele nettstedet før en større endring, som et ekstra lag i tillegg til vanlig sikkerhetskopiering.
• Lese feilloggen når nettsiden viser hvit skjerm eller en 500-feil.
• Kjøre søk-og-erstatt i databasen når domenet byttes.
• Rette filrettigheter som gjør at nettsiden plutselig gir «403 Forbidden».

Hvordan fungerer SSH-nøkler?

Med nøkkelinnlogging har du et nøkkelpar. Den private nøkkelen ligger bare på din maskin, og den offentlige nøkkelen legges på serveren. Serveren slipper deg inn bare hvis den private nøkkelen passer, så det finnes ikke noe passord å gjette eller stjele.

Microsoft skriver i sin dokumentasjon om nøkkelbasert autentisering i OpenSSH at vanlig passordinnlogging er sårbar for brute force-angrep, altså at noen prøver passord etter passord automatisk. Legger du på en passfrase når du lager nøkkelen, får du i praksis to faktorer: noe du har (nøkkelfilen) og noe du vet (passfrasen).

Ed25519 eller RSA?

Lag nye nøkler som Ed25519. De er korte, raske og trygge. Har du allerede en RSA-nøkkel på minst 3072 biter, kan du bruke den videre. DSA-nøkler (de som begynner med ssh-dss) virker ikke lenger med nyere OpenSSH. Mer om det lenger ned.

Hva er fingeravtrykket du blir spurt om?

Første gang du kobler til en server, viser SSH-programmet serverens fingeravtrykk og spør om du stoler på den. Det er her mange bare trykker «yes» uten å sjekke. Fingeravtrykket er beskyttelsen din mot at noen utgir seg for å være serveren. Seriøse leverandører publiserer det. Domeneshop forklarer for eksempel fingeravtrykket i hjelpesidene sine. Sammenlign før du godtar. Får du senere en advarsel om at fingeravtrykket er endret, skal du stoppe og spørre leverandøren før du går videre.

Hva er forskjellen på SSH, SFTP og FTP?

SFTP er filoverføring som går gjennom SSH. Den er like kryptert som SSH, men du kan bare flytte filer og ikke kjøre kommandoer. Vanlig FTP er ukryptert og bør ikke brukes. Vi har skrevet mer om forskjellen på FTP og SFTP i en egen artikkel.

Det vi ser oftest er at FTP-kontoer fra en tidligere leverandør fortsatt er aktive, gjerne med samme passord i mange år. Slå av FTP helt hvis webhotellet tillater det, og bruk SFTP eller SSH i stedet.

Har webhotellet ditt SSH-tilgang?

Det kommer an på pakken. Mange delte webhotell har SSH bare på de mellomste og største pakkene, og da med begrensede rettigheter. På en virtuell server har du full tilgang. Wix, Squarespace og Webflow har ikke SSH i det hele tatt.

Domeneshop er et godt norsk eksempel. Ifølge hjelpesiden deres om Unix shell har du SSH-tilgang fra Web Standard og oppover. Du logger inn mot login.domeneshop.no med det samme brukernavnet og passordet som til FTP. Tjenesten er delt, og du får ikke sudo- eller root-tilgang. I pakkeoversikten er Unix shell oppført som egen funksjon, og den største pakken, Web Max, koster 129 kr i måneden. Den minste pakken (Light) er ikke nok hvis du trenger SSH. Det er greit å vite før du velger webhotell.

Hva koster det?

Selve SSH er gratis. Det du betaler for er hostingpakken som har SSH, og tiden til den som bruker det. Med en virtuell privat server får du full kontroll, men da har du også ansvaret for oppdateringer, brannmur og sikring av SSH. Det koster i timer, ikke i lisenser. For de fleste SMB-er er et delt webhotell med SSH, eller en leverandør som tar seg av driften, det rimeligste.

SSH ved flytting av nettsider

SSH er spesielt nyttig når en nettside skal flyttes. Med SSH kan utvikleren pakke hele nettstedet i én fil, eksportere databasen og kjøre søk-og-erstatt på domenenavnet. Det går mye raskere og er tryggere enn å laste opp tusenvis av filer én etter én. Teknikken er likevel bare halve jobben. Omdirigeringene avgjør om du beholder synligheten i søk.

Ved plattformbytter med korrekt 301-plan beholder Box sine kunder normalt 90–98 % av organisk trafikk gjennom migreringen.

Slik lager du SSH-nøkkel og logger inn

Du lager et nøkkelpar på din egen maskin, legger den offentlige nøkkelen på serveren og logger inn med nøkkelen. Med fingeravtrykkssjekk tar det rundt ti minutter første gang.

• 1. Åpne Terminal (Mac/Linux) eller PowerShell (Windows).
• 2. Lag nøkkel: `ssh-keygen -t ed25519 -C "navn@firma.no"`. Godta standard filplassering og velg en passfrase du kan huske.
• 3. Du får to filer: `id_ed25519` (privat, skal aldri deles) og `id_ed25519.pub` (offentlig).
• 4. Legg den offentlige nøkkelen på serveren. På Mac/Linux: `ssh-copy-id bruker@server`. På Windows: åpne .pub-filen, kopier innholdet og lim det inn som en ny linje i `~/.ssh/authorized_keys` på serveren, eller lim det inn i kontrollpanelet hvis leverandøren har et felt for SSH-nøkler.
• 5. Logg inn: `ssh bruker@server`. Bruker serveren en annen port enn 22, legger du til `-p portnummer`.
• 6. Sammenlign fingeravtrykket med det leverandøren har publisert før du skriver «yes».
• 7. Lagre en kopi av den private nøkkelen i passordhåndtereren din, så du ikke blir låst ute hvis maskinen dør.

Bruker du Microsoft-kontoer, bør du vite at Microsoft skriver at nøkkelbasert innlogging i OpenSSH for Windows fungerer med lokale kontoer og Active Directory, men ikke med Microsoft Entra ID-kontoer. Det har betydning hvis dere selv drifter Windows-servere.

Hva er endret i SSH i 2025 og 2026?

Det har kommet to endringer med praktiske følger. OpenSSH 10.0 fjernet DSA-nøkler helt og byttet til kvantesikker nøkkelutveksling som standard. I april 2026 kom OpenSSH 10.3 med sikkerhetsrettinger som gjør det lurt å oppdatere.

OpenSSH 10.0: DSA ute, kvantesikkert inn

I utgivelsesnotatene for OpenSSH 10.0 fra 9. april 2025 står det at støtten for DSA-signaturer er fjernet. Det avslutter en utfasing som startet i 2015. Har du en gammel nøkkel som begynner med ssh-dss, vil den slutte å virke mot oppdaterte servere. Sjekk nøkkeltypen med `ssh-keygen -l -f ~/.ssh/id_dsa.pub`, og lag i så fall en ny Ed25519-nøkkel. Samtidig ble mlkem768x25519-sha256 standard for nøkkelutveksling. Den kombinerer klassisk kryptografi med en algoritme som skal tåle angrep fra framtidige kvantedatamaskiner. Det skjer automatisk og krever ikke noe av deg, så lenge programvaren er oppdatert.

OpenSSH 10.3: sikkerhetsrettinger

Det kanadiske cybersikkerhetssenteret varslet 2. april 2026 om sårbarheter i OpenSSH før versjon 10.3. Siden har det kommet flere versjoner, som du finner i OpenSSHs utgivelsesnotater. På delt webhotell er det leverandøren som oppdaterer. Har du egen VPS, er det ditt ansvar. Spør leverandøren eller driftspartneren din hvilken versjon som kjører, og hvor raskt sikkerhetsoppdateringer blir installert.

Hvordan sikrer du SSH-tilgangen?

Bruk bare nøkkelinnlogging, steng direkte innlogging som root, begrens hvem som slipper til, og fjern tilganger så snart de ikke trengs lenger. Disse fire tiltakene stopper nesten alle automatiserte angrep mot SSH.

• Slå av passordinnlogging: sett `PasswordAuthentication no` i `/etc/ssh/sshd_config`. Gjelder egen server eller VPS.
• Steng root-innlogging: `PermitRootLogin no`. Logg inn som vanlig bruker og bruk sudo.
• Test før du lukker: last inn konfigurasjonen på nytt (`sudo systemctl reload ssh`, eller `sshd` på noen distribusjoner). Åpne deretter en ny terminal og logg inn der. Behold den første økten åpen til du vet at den nye virker. Hopper du over dette, kan du stenge deg selv ute.
• Begrens tilgangen i brannmuren, helst til kjente IP-adresser eller via VPN. Fail2ban eller tilsvarende stenger IP-er som prøver gang på gang.
• Å bytte port fra 22 gir mindre støy i loggene, men det er ikke en sikring i seg selv. Ikke la det erstatte nøkkelinnlogging.
• Gi én nøkkel per person, aldri en felles nøkkel. Da kan du fjerne én person uten å påvirke de andre.

Tilgangsstyring har også en juridisk side. Ligger det kundedata, skjemainnsendinger eller ordrer på serveren, krever personvernforordningen at du har sikkerhetstiltak som passer til risikoen (artikkel 32, gjort gjeldende i Norge gjennom personopplysningsloven). Gamle SSH-nøkler fra tidligere utviklere er akkurat den typen tilgang som er vanskelig å forsvare hvis noe skjer.

Når SSH ikke er riktig for deg

Har du en enkel bedriftsside og ingen som kan kommandolinjen, trenger du ikke SSH. Et godt kontrollpanel, SFTP og automatisk sikkerhetskopiering dekker behovet, og ubrukt SSH er bare enda en dør å holde låst.

• Du bruker Wix, Squarespace eller en annen ferdigplattform. Der finnes ikke SSH, og du trenger det heller ikke.
• Ingen i bedriften kan kommandolinjen. En feil kommando kan slette hele nettstedet på et øyeblikk, uten «angre».
• Du vil bare bytte bilder eller tekst. Det gjør du i publiseringsløsningen.
• Du har ikke tid til å holde en VPS oppdatert. Da fraråder vi egen server og anbefaler administrert hosting eller en driftsavtale.

Vi ville heller ikke gitt SSH-tilgang til alle som jobber på nettsiden. En tekstforfatter eller en markedsfører trenger innlogging til publiseringsløsningen, ikke til serveren. Gi tilgang etter rolle, og hold SSH for dem som faktisk drifter løsningen. Se også hva god drift av nettside innebærer.

Hva bør du gjøre først?

Finn ut om du har SSH, hvem som har tilgang, og om passordinnlogging fortsatt er slått på. Disse tre svarene forteller deg om du har en sikkerhetsrisiko i dag.

• 1. Logg inn i kontrollpanelet hos webhotellet og se om SSH er aktivert, og hvilke nøkler som ligger der.
• 2. Fjern nøkler og FTP-kontoer du ikke kjenner igjen.
• 3. Spør leverandøren om passordinnlogging kan slås av og erstattes med nøkler.
• 4. Kontroller at sikkerhetskopiene faktisk kan gjenopprettes før noen gjør endringer via SSH.
• 5. Når du bytter leverandør: skriv inn i avtalen at tilganger skal overføres og gamle nøkler fjernes. Se også hva du bør kreve av en nettsideleverandør.

Vårt råd er å behandle SSH-tilgang som husnøkler. Du skal vite hvem som har dem, og du skifter lås når noen flytter ut. Vil du heller at noen andre tar seg av dette, kan vi hjelpe deg med nettside og drift.