SSL-sertifikat: Hva er det, og trenger nettsiden din det?

SSL, som i dag egentlig heter TLS, krypterer trafikken mellom nettleseren og nettsiden. Det er dette som gir https og hengelås i adressefeltet. Alle bedriftsnettsider trenger det. Chrome advarer mot sider uten HTTPS fra oktober 2026, og skjemaer med personopplysninger bør krypteres etter GDPR. For de fleste holder et gratis DV-sertifikat som fornyes automatisk.

Hva er SSL, og hva gjør et SSL-sertifikat?

SSL er teknologien som krypterer trafikken mellom den besøkende og nettsiden din. SSL-sertifikatet er en digital ID som beviser at domenet faktisk er ditt. Til sammen gir det adressen https:// og hengelåsen i nettleseren. Uten sertifikatet går skjemadata, passord og innlogginger over nettet i klartekst.

Begrepet er egentlig utdatert. Selve SSL-protokollen ble faset ut for lenge siden, og det som brukes i dag heter TLS. Bransjen og webhotellene sier likevel fortsatt «SSL-sertifikat», og de mener det samme. Står det «SSL/TLS» i kontrollpanelet, er det samme produkt.

Sertifikatet gjør tre ting:

• Kryptering: Ingen på samme Wi-Fi eller i nettverket mellom kan lese eller endre det som sendes.
• Autentisering: En sertifikatutsteder (CA) har bekreftet at den som har sertifikatet, kontrollerer domenet.
• Integritet: Nettleseren merker det hvis innholdet blir tuklet med på veien, for eksempel hvis noen setter inn reklame eller skadelig kode.

Sertifikatet hører til domenet, ikke nettsiden. Bytter du domene eller legger til et nytt, trenger du sertifikat for det også. Les mer om dette i guiden om norske domener.

Trenger nettsiden din SSL i 2026?

Ja, uten unntak. Det gjelder også enkle sider uten skjema. Grunnen er at nettleserne nå stopper besøkende før de kommer inn på sider uten HTTPS, og at personvernreglene i praksis krever kryptering når du samler inn opplysninger om folk.

Chrome advarer før folk kommer inn

Google har bestemt at Chrome 154, som kommer i oktober 2026, slår på innstillingen «Always Use Secure Connections» for alle. Chrome prøver da å åpne alle nettsider over HTTPS, og brukeren må bekrefte før nettleseren åpner en offentlig side som ikke støtter det. Før var «Ikke sikker» bare en liten merknad i adressefeltet. Nå er det en sperre før siden vises. For en håndverker eller regnskapsfører som får henvendelser via nettsiden, betyr det at en del potensielle kunder snur før de ser forsiden.

Personvernreglene krever kryptering

Personvernforordningen (GDPR) artikkel 32 nevner kryptering som et av sikkerhetstiltakene virksomheter skal vurdere. Datatilsynet skriver at overføringen normalt skal krypteres hvis personopplysningene krever beskyttet konfidensialitet. Det gjelder også for et vanlig kontaktskjema der folk legger igjen navn, telefonnummer og en beskrivelse av saken sin. Tilsynet påpeker også at samtykke fra kunden ikke senker kravene til sikkerhet. Har du en personvernerklæring som lover sikker behandling, men skjemaet sendes over http, sier erklæringen noe annet enn det som faktisk skjer.

Hvilken type SSL-sertifikat bør du velge?

For nesten alle små og mellomstore bedrifter er et domenevalidert (DV) sertifikat riktig valg. Det gir nøyaktig samme kryptering som de dyreste sertifikatene. Forskjellen ligger bare i hvor grundig utstederen sjekker hvem du er. Krypteringsstyrken er den samme.

Mange betaler fortsatt ekstra for EV fordi det tidligere viste firmanavnet i grønt i adressefeltet. Den visningen fjernet de store nettleserne for flere år siden. Det vi ser oftest er bedrifter som betaler for et tillitssignal ingen besøkende ser. Vi fraråder EV med mindre en konkret avtale eller et anbud krever det.

Hva har endret seg med SSL-sertifikater i 2026?

Den største endringen er at sertifikatene varer kortere. Fra 15. mars 2026 ble maksimal gyldighet kuttet fra 398 til 200 dager etter et vedtak i CA/Browser Forum, bransjeorganet der sertifikatutstederne og nettleserne setter reglene. Neste trinn er 100 dager fra 15. mars 2027 og 47 dager fra 15. mars 2029.

Dette har to konsekvenser du kan handle på allerede nå:

• Sertifikater for flere år er nå abonnementer. Kjøper du et «SSL-sertifikat for 3 år», betaler du for en avtale der sertifikatet må utstedes og installeres på nytt flere ganger i perioden. Hvis det skjer for hånd, glemmer noen det til slutt.
• Domenevalideringen må også gjøres oftere. Hvor lenge en utsteder kan stole på en tidligere sjekk av at du eier domenet, krymper i samme takt. Ifølge Sectigo går den ned til 10 dager i 2029. Validering via e-post til «admin@» blir da tungvint. Validering via DNS eller filer som automatiseres, er det som fungerer på sikt.

Let's Encrypt forkorter enda raskere

Let's Encrypt er den gratis utstederen de fleste norske webhotell bruker. Ifølge Let's Encrypts egen tidsplan går standardprofilen fra 90 til 64 dager 10. februar 2027, og videre til 45 dager 16. februar 2028. Let's Encrypt anbefaler at fornyelsen skjer når omtrent to tredjedeler av gyldighetstiden er brukt, i stedet for etter et fast antall dager. Et oppsett som er satt til å fornye hver 60. dag, gir et utløpt sertifikat når sertifikatet bare varer i 45 dager. Har du en egen server (VPS) med certbot eller lignende, bør du sjekke innstillingene før februar 2027. På vanlig delt webhotell er det leverandøren som har ansvaret for dette.

Hvordan får du en sikker nettside med HTTPS?

Det er ikke nok å installere sertifikatet. Nettsiden er først sikker når all trafikk tvinges over til https og det ikke er igjen noe innhold som lastes over http. Følg denne rekkefølgen, så unngår du å miste trafikk underveis:

• 1. Aktiver sertifikatet i kontrollpanelet. På de fleste webhotell er det én knapp eller en bryter. Sørg for at sertifikatet dekker både domene.no og www.domene.no.
• 2. Test at https://-adressen fungerer før du sender trafikk dit. Åpne begge variantene i et privat nettleservindu.
• 3. Sett opp 301-videresending fra alle http-adresser til https, og velg én fast variant (med eller uten www). Bruk 301 (permanent), ikke 302.
• 4. Rydd opp i blandet innhold. Bilder, skript og fonter som fortsatt lastes fra http://, gjør at hengelåsen forsvinner eller at innholdet blokkeres. I WordPress må adressene i databasen byttes, ikke bare innstillingen for nettstedsadresse.
• 5. Oppdater canonical-tagger, sitemap og interne lenker slik at de peker til https.
• 6. Legg til https-versjonen i Google Search Console og send inn sitemap på nytt.
• 7. Slå på HSTS når alt fungerer. HSTS gjør at nettleseren alltid går rett til https. Begynn med kort varighet, fordi en feil i HSTS er vanskelig å rulle tilbake.
• 8. Sett opp varsling om utløp og sjekk sertifikatet etter hvert DNS- eller leverandørbytte.

Overgangen fra http til https er i praksis en adresseflytting. Alle adressene endrer seg, så Google trenger tydelige videresendinger for å flytte rangeringene over. De samme prinsippene gjelder når du redesigner nettsiden.

Ved plattformbytter med korrekt 301-plan beholder Box sine kunder normalt 90–98 % av organisk trafikk gjennom migreringen.

Hva koster et SSL-sertifikat?

For de fleste koster det ingenting. Let's Encrypt utsteder gratis sertifikater, og de fleste norske webhotell og nettsidebyggere har det inkludert. Det gjelder også plattformer som Wix. Betalte sertifikater fra kommersielle utstedere varierer mye i pris etter type (DV, OV, EV, wildcard) og forhandler. Sjekk prisen hos ditt eget webhotell før du kjøper noe.

Den reelle kostnaden ligger sjelden i selve sertifikatet. Den ligger i tre andre ting:

• Overgangsarbeidet: Videresendinger, opprydding i blandet innhold og testing. På en vanlig WordPress-side er dette normalt en liten jobb, men på eldre sider med mye hardkodet innhold tar det lengre tid.
• Nedetid hvis sertifikatet utløper: Besøkende møter en advarsel i full skjerm, og skjemaer og nettbutikk stopper til det er rettet.
• Eget oppsett: Har du egen server, må noen eie fornyelsesrutinen. Det bør stå i avtalen om drift av nettsiden, ikke bli tatt for gitt.

Lager du budsjett for en ny side, bør SSL være en fast del av driftsavtalen og ikke en egen post. Se hva som ellers inngår i guiden om hva en nettside koster.

Hvilke SSL-feil er vanligst?

De fleste SSL-problemer skyldes ikke selve sertifikatet. De skyldes oppsettet rundt det. Dette er feilene vi oftest retter opp:

• Sertifikatet dekker bare én variant. domene.no fungerer, men www.domene.no gir en advarsel, eller omvendt. Folk som skriver adressen med www, kommer da ikke inn.
• Utløpt sertifikat etter at DNS er flyttet. Domenet flyttes til ny leverandør, og den automatiske fornyelsen hos den gamle feiler i det stille. Problemet dukker opp uker senere.
• Blandet innhold etter at sertifikatet er installert. Hengelåsen mangler fordi én logo eller et sporingsskript fortsatt lastes over http.
• 302 i stedet for 301. Midlertidig videresending gjør at Google bruker lengre tid på å flytte rangeringene til https-adressene.
• Varsler til e-post ingen leser. Let's Encrypt har sluttet å sende e-post om utløp, så den som stoler på slike varsler, får ikke lenger noen. Sett opp egen overvåking.
• Gammel TLS-versjon på serveren. Eldre servere som fortsatt tilbyr TLS 1.0 eller 1.1, gir advarsler eller dårlig karakter i sikkerhetstester. Be leverandøren skru dem av.

En utløpt eller ødelagt HTTPS-tilkobling kan også være et tegn på at noen har tuklet med nettsiden. Ser du uventede videresendinger eller ukjent kode, bør du lese guiden om hva du gjør når WordPress er hacket. Rutinemessige sjekker av sertifikat og tillegg hører hjemme i WordPress vedlikeholdet.

Når et betalt SSL-sertifikat ikke er riktig valg

Et betalt sertifikat er unødvendig hvis du har en vanlig bedriftsnettside, blogg eller nettbutikk på et webhotell eller en plattform som allerede har automatisk SSL. Du får ikke sterkere kryptering, bedre rangering eller mer tillit fra kundene av å betale, og du får én ting til som må fornyes.

Betalt sertifikat kan være riktig når:

• en kunde, en bank eller et offentlig anbud uttrykkelig krever OV eller EV
• systemet ditt ikke støtter automatisk fornyelse (ACME) og du trenger support fra utstederen
• du trenger garantiordninger eller avtaler som følger med kommersielle sertifikater

Vi mener også at det ikke er verdt å kjøpe sertifikater for flere år i 2026. Siden ingen sertifikater kan vare lenger enn 200 dager, sparer du bare på faktureringen. Arbeidet med å utstede og installere på nytt blir det samme. Det samme gjelder om du vurderer å bytte utsteder for å få lengre gyldighet: reglene gjelder alle offentlige utstedere.

Hva betyr SSL for SEO og AI-svar i søk?

HTTPS er et lite rangeringssignal i Google. På egen hånd løfter det deg ikke, men en side uten HTTPS taper i dag mer på brukeropplevelsen enn på algoritmen. Når Chrome viser en advarsel før siden åpnes, faller klikkraten fra søk. Et utløpt sertifikat kan også hindre søkemotorer i å hente siden.

Det samme gjelder Googles AI-oversikter (AI Overviews) og andre AI-svar. De bygger på sider søkemotorene kan hente og stole på. Et brutt sertifikat, blandet innhold eller videresendinger i flere ledd mellom http og https gjør det vanskeligere å bli hentet inn som kilde. Tenk på HTTPS som grunnmuren. Teknisk SEO, innhold og struktur er det som bygges oppå. Se den praktiske gjennomgangen i WordPress søkemotoroptimalisering, og bruk gjennomgang for å sjekke nettsider for å finne blandet innhold og feil i videresendingene.

Vårt råd er å starte enkelt. Åpne både http://domene.no og http://www.domene.no i et privat vindu i dag. Begge skal havne på samme https-adresse uten advarsel. Gjør de ikke det, er det den første jobben. Trenger du hjelp med oppsett, overgang eller drift, kan du lese mer om hvordan vi jobber med nettsider for bedrifter.