Vad är ett SSL-certifikat?

Ett SSL-certifikat är i grunden ett löfte till besökaren: det som skickas mellan webbläsaren och servern går krypterat och kan inte läsas på vägen. Utan certifikat skickas allt i klartext, och varje nod mellan besökaren och er server kan i teorin läsa innehållet. Med certifikat är innehållet obegripligt för alla utom avsändaren och servern.

En detalj för ordningens skull: protokollet heter i dag TLS. SSL var föregångaren, och namnet har hängt kvar av vana. Det ni köper eller hämtar kallas ett SSL-certifikat, men det som faktiskt krypterar trafiken är TLS. I praktiken märker ni det bara som att adressen börjar med https i stället för http.

Varför det påverkar er synlighet

Certifikatet är en säkerhetsfråga först och en SEO-fråga strax därefter. Fyra saker påverkas direkt av det:

• HTTPS är en rankningssignal. Google har bekräftat det sedan 2014. Signalen är svag i sig, men den är också ett grundkrav som ingen konkurrent längre saknar, vilket gör den till en ren nackdel för den som står utanför.
• Webbläsarna varnar besökaren. Chrome, Safari och Firefox flaggar sidor utan certifikat som "Inte säker" i adressfältet. På en sida med ett formulär räcker det för att sänka konverteringen märkbart, och effekten på varumärket är svårare att mäta men inte mindre verklig.
• Hastigheten är kopplad till samma beslut. HTTP/2 och HTTP/3 kräver i praktiken HTTPS i alla webbläsare. Utan certifikat är ni kvar på HTTP/1.1 och tappar de vinster i laddningstid som mäts i Core Web Vitals.
• Er data blir sämre. Skickar en HTTPS-sida trafik till en HTTP-sida försvinner referrern, och i analysen hamnar besöket under direkttrafik. Ni får alltså svårare att se var kunderna faktiskt kommer ifrån.

När det spelar allra störst roll

Har ni en sida där besökaren skickar in någonting, formulär, inloggning, bokning eller betalning, är certifikatet ett absolut krav. Där finns en reell risk att uppgifter fångas upp på vägen, och det är också den situation webbläsarna varnar hårdast för.

Har ni en ren informationssida eller blogg utan interaktion är risken för besökaren betydligt mindre, men certifikatet hör ändå hemma även där. Dels skickas data passivt till servern hela tiden utan att någon gör något aktivt, dels är webbläsarnas varningar och Googles signal desamma oavsett vad sidan används till.

Vilken typ av certifikat behöver ni?

Det finns tre valideringsnivåer, och skillnaden spelar mindre roll i praktiken än den gjorde förr:

• DV (Domain Validation) bekräftar att ni kontrollerar domänen. Det räcker för de flesta.
• OV (Organization Validation) bekräftar dessutom att organisationen finns.
• EV (Extended Validation) var länge det dyra alternativet som gav företagsnamnet i grönt i adressfältet. Webbläsarna slutade visa det namnet, och därmed försvann större delen av poängen. Det finns fortfarande skäl att välja OV eller EV i vissa reglerade branscher, men för synligheten spelar nivån ingen roll.

Krypteringen är identisk i alla tre. Ska ni täcka flera subdomäner behöver ni ett wildcard-certifikat, och ska ni täcka flera domäner ett SAN-certifikat.

Så får ni ett på plats

Certifikatet är en kombination av er hosting och hur webbplatsen är byggd, och båda ska vara överens om att sidan körs på HTTPS. Hos de flesta moderna leverantörer är det gjort på några minuter: Let's Encrypt utfärdar certifikat gratis, och plattformar som Cloudflare, Vercel och de flesta hostingpaket förnyar dem automatiskt var nittionde dag. Automatisk förnyelse är den viktigaste delen av valet, inte priset.

Är ni osäkra på om er sida är korrekt uppsatt är ett snabbt test att öppna http-versionen av startsidan i webbläsaren och se om ni landar på https med en enda omdirigering.

De fem fel som brukar följa efter installationen

Att installera certifikatet är den enkla halvan. Det som kostar synlighet är vad som händer efteråt, och nästan alltid är det något av dessa:

1. Utgånget certifikat. Den vanligaste incidenten av alla, och den mest kostsamma, eftersom besökaren möts av en helsidesvarning i stället för er webbplats. Lösningen är automatisk förnyelse plus en bevakning som larmar innan certifikatet går ut.
2. Mixed content. Sidan laddas över https, men enstaka bilder, script eller stilmallar hämtas fortfarande över http. Webbläsaren blockerar dem eller flaggar sidan, och ofta går något visuellt sönder utan att någon märker det.
3. HTTP som lever vidare. Utan en 301-omdirigering från http till https finns er webbplats i två versioner, och båda kan indexeras. Det splittrar signalerna och skapar dubbletter. Hur ni sätter upp den kedjan rätt ligger i site health och redirects.
4. Gamla adresser kvar i koden. Canonical-taggar, hreflang, strukturerad data, sitemap och interna länkar som pekar på http-versionen. Det är den vanligaste orsaken till att en migrering till HTTPS ser lyckad ut men ändå tappar trafik, och det är också det som är lättast att missa vid en snabb kontroll av crawling och indexering.
5. Certifikat som inte täcker alla varianter. Ett certifikat utfärdat för domänen utan www, eller utan en subdomän ni faktiskt använder, ger varning på just de adresserna.

Inget av detta är avancerat, och allt går att kontrollera på en förmiddag. Det ingår som fast punkt i våra tekniska audits, och de fem felen ovan är också bland de första vi letar efter i en gratis SEO-analys.