Hva er HTTPS og SSL-sertifikat?

Kort svar: HTTPS er den sikre versjonen av HTTP, og betyr at all trafikk mellom nettsiden og den besøkende er kryptert. SSL-sertifikatet, som i dag egentlig heter TLS-sertifikat, er en digital ID som beviser at siden faktisk tilhører domenet. For en vanlig bedriftsside skal det koste null kroner, fordi gratis sertifikater fra Let's Encrypt er like sikre som de betalte.

Hva er HTTPS?

HTTPS står for Hypertext Transfer Protocol Secure, og er måten nettleseren og nettsiden snakker sammen på når samtalen er kryptert. Du ser det på at adressen starter med https://, og at nettleseren ikke viser noen advarsel.

Uten HTTPS sendes alt i klartekst. Det betyr at noen på samme wifi-nett, en kompromittert ruter eller en ondsinnet nettverksleverandør kan lese og endre det som sendes: passord, kontaktskjemaer, betalingsinformasjon, og til og med selve innholdet på siden. Med HTTPS er trafikken kryptert, og den kan ikke endres underveis uten at nettleseren merker det.

Hva er forskjellen på SSL og TLS?

SSL er det gamle navnet på teknologien, og TLS er den moderne versjonen som faktisk brukes i dag. Når folk sier SSL-sertifikat, mener de nesten alltid et TLS-sertifikat.

Alle versjoner av SSL og de eldste versjonene av TLS regnes som usikre og er slått av i moderne nettlesere. I dag skal en nettside bruke TLS 1.2 eller TLS 1.3. Navnet SSL har likevel hengt igjen i markedsføring og kontrollpaneler, så du vil se begge begrepene om det samme.

Hva er et SSL-sertifikat?

Et SSL-sertifikat er en digital fil som beviser at nettsiden faktisk tilhører domenet den viser, og som inneholder nøkkelen som brukes til å sette opp den krypterte forbindelsen.

Sertifikatet utstedes av en sertifikatutsteder som nettleserne stoler på. Før utstederen gir deg et sertifikat, må du bevise at du kontrollerer domenet, for eksempel ved å legge inn en bestemt fil på serveren eller en oppføring i DNS. Moderne hostingtjenester gjør dette automatisk.

Krypteringen er like sterk i alle tre. Forskjellen ligger bare i hvor mye utstederen har sjekket om eieren. Tidligere viste nettlesere firmanavnet i grønt for EV-sertifikater, men det er fjernet, og vanlige besøkende ser ingen forskjell i dag.

Hva koster et SSL-sertifikat?

For en vanlig bedriftsside eller nettbutikk koster SSL-sertifikat ingenting. Let's Encrypt er en ideell sertifikatutsteder som har delt ut gratis sertifikater siden 2015, og det er dette Vercel, Netlify, Cloudflare, GitHub Pages og de fleste webhotell bruker i bakgrunnen.

Likevel ser vi fortsatt norske småbedrifter som betaler flere hundre eller tusen kroner i året for et sertifikat fra webhotellet. Det er sjelden nødvendig. Spør om webhotellet ditt tilbyr gratis sertifikat med automatisk fornyelse, og bytt hvis svaret er nei. Les mer om alternativene i guiden om hvor du bør hoste nettsiden.

Hvorfor er sertifikatene blitt kortere?

Fra 15. mars 2026 kan offentlig klarerte sertifikater ikke lenger gjelde i mer enn 200 dager, og grensen faller videre til 100 dager i 2027 og 47 dager i 2029.

Dette er bestemt av CA/Browser Forum, bransjeorganet der nettleserne og sertifikatutstederne lager reglene. Begrunnelsen er sikkerhet: blir en nøkkel stjålet eller et sertifikat utstedt feil, er skaden begrenset i tid. Let's Encrypt har lenge utstedt sertifikater med 90 dagers varighet, og korter selv ned til 64 dager i februar 2027 og 45 dager i februar 2028.

For deg betyr det én ting: manuell fornyelse er i ferd med å bli umulig i praksis. Sertifikatet må fornyes automatisk. Har du et webhotell der du selv må kjøpe og laste opp et nytt sertifikat hvert år, er det på tide å bytte løsning før du blir en av dem som plutselig har en side med rød advarsel.

Hva skjer hvis nettsiden ikke har HTTPS?

Nettlesere merker siden som "Ikke sikker", besøkende mister tilliten, og Google har brukt HTTPS som et signal i rangeringen siden 2014.

Nå blir det strengere. Google varslet i oktober 2025 at Chrome 154, som kommer høsten 2026, slår på innstillingen Always Use Secure Connections som standard for offentlige nettsider. Da viser Chrome en advarsel og spør brukeren om lov før den åpner en side uten HTTPS, i hvert fall første gang eller hvis brukeren ikke har vært der på en stund. Brukere med utvidet Safe Browsing har hatt dette siden Chrome 147 i april 2026. Interne adresser i bedriftsnettverk er unntatt. For en bedriftsside er en slik advarsel nok til at mange snur i døra.

Har siden et kontaktskjema, innlogging eller betaling, er HTTPS uansett ikke valgfritt. Personopplysninger skal beskyttes etter GDPR, og å sende dem ukryptert vil vanskelig kunne kalles en forsvarlig sikkerhet.

Slik sjekker og fikser du HTTPS på nettsiden

Du kan sjekke om nettsiden har riktig HTTPS på et minutt, og de fleste feil kan rettes på under en time.

1. Åpne siden med http:// foran adressen. Du skal bli sendt videre til https:// automatisk. Skjer ikke det, mangler det en omdirigering.
2. Trykk på symbolet til venstre for adressen i nettleseren og se på sertifikatet: hvem som har utstedt det, og når det utløper.
3. Sjekk både med og uten www. Begge variantene må ha gyldig sertifikat.
4. Se etter blandet innhold. Bilder eller skript som lastes over http:// på en https-side, gir advarsler eller blir blokkert. Åpne utviklerverktøyene (F12) og se i Console etter "Mixed Content".
5. Kjør en ekstern test. SSL Labs fra Qualys gir siden en karakter fra A+ til F og forteller hva som er galt.
6. Slå på HSTS når alt fungerer. Det forteller nettleseren at siden alltid skal åpnes med HTTPS, også hvis noen skriver http.

På Vercel, Netlify og Cloudflare er HTTPS og omdirigering slått på automatisk, inkludert på eget domene. Se guiden om å publisere nettside gratis for hvordan det settes opp.

Gjør HTTPS nettsiden trygg?

Nei. HTTPS beskytter bare trafikken på veien mellom nettleseren og serveren, ikke selve nettsiden.

Svindelsider har også HTTPS, og hengelåsen betyr ikke at siden er til å stole på. En side med HTTPS kan fortsatt bli hacket gjennom utdaterte utvidelser, svake passord eller lekkede nøkler. Les mer om hva som faktisk gjør en side trygg i guiden om vanlige sikkerhetsfeil, og om hva du gjør hvis nettsiden er hacket.

Vårt råd er enkelt: velg en hostingløsning der HTTPS er gratis, automatisk og alltid på, så har du løst dette for godt. Alle nettsidene vi lager for kundene våre, leveres slik, uten ekstra kostnad. Se tjenestene våre.

Hvorfor får nettsiden sertifikatfeil?

De vanligste årsakene til sertifikatfeil er at sertifikatet har utløpt, at det ikke dekker riktig domenenavn, eller at klokka på brukerens enhet er feil.

• Utløpt sertifikat. Den klassiske feilen når fornyelsen er manuell. Løsningen er automatisk fornyelse.
• Feil domenenavn. Sertifikatet gjelder for dittdomene.no, men ikke for www.dittdomene.no, eller omvendt.
• DNS peker feil sted. Etter flytting til ny hosting kan gamle DNS-oppføringer gjøre at sertifikatet ikke kan utstedes. Fjern gamle A-poster.
• Mangler mellomsertifikat. Typisk ved manuell installasjon på egen server. Siden virker i én nettleser, men ikke i en annen.

Ser du en sertifikatfeil på din egen side, sjekk først utløpsdatoen ved å trykke på symbolet ved adressefeltet. Er sertifikatet gyldig, men feilen bare dukker opp hos enkelte kunder, ligger problemet ofte hos dem, for eksempel feil dato på maskinen eller et gammelt operativsystem som ikke kjenner nyere rotsertifikater.