Sådan får du et gratis SSL-certifikat

Hvad et SSL-certifikat gør

Strengt taget bruger nutidens forbindelser TLS, efterfølgeren til SSL, men alle siger stadig "SSL-certifikat". Et certifikat gør to ting:

• Kryptering: adgangskoder, formularer og betalinger sendes krypteret, så ingen på netværket kan læse eller ændre dem.
• Identitet: en certifikatudsteder (CA) har kontrolleret, at den, der bad om certifikatet, har kontrol over domænet.

Gratis certifikater er domænevaliderede (DV): CA'en kontrollerer, at du har kontrol over domænet, og intet andet. Krypteringen er præcis lige så stærk som i et betalt certifikat. Betalte OV- og EV-certifikater tjekker også organisationen bag sitet, hvilket nogle virksomheder ønsker, men browserne viser den samme hængelås for dem alle.

De gratis muligheder sammenlignet

De krypterer alle lige godt. Forskellen ligger i, hvordan de udstedes og fornyes, og det betyder mere for hvert år.

Derfor er automatisk fornyelse vigtig

Certifikater får kortere levetid i hele branchen. Efter CA/Browser Forums regler må et offentligt certifikat højst gælde i 200 dage siden marts 2026, 100 dage fra marts 2027 og 47 dage fra marts 2029.

Let's Encrypt-certifikater gælder i dag i 90 dage. Deres standardcertifikater går ned på 64 dage i februar 2027 og 45 dage i februar 2028. Let's Encrypt holdt desuden op med at sende påmindelsesmails om udløb i 2025, så ingen advarer dig, før et certifikat udløber.

Den praktiske lære: forny aldrig certifikater manuelt. Brug noget, der fornyer dem af sig selv, som AutoSSL i cPanel eller Certbot på en VPS, og tjek en gang imellem, at det virker.

På delt hosting: AutoSSL i cPanel

På cPanel-hosting er der som regel intet, du skal gøre. AutoSSL anmoder om et Let's Encrypt-certifikat til hvert domæne på kontoen, der peger på serveren, installerer det og fornyer det, før det udløber.

1. Peg dit domæne på hostingen: indstil de navneservere eller den A-record, din udbyder har givet dig, og vent på, at DNS opdateres.
2. Åbn Security → SSL/TLS Status i cPanel. Ved hvert domæne kan du se, om det er dækket, ved at udløbe eller har et problem med AutoSSL.
3. Hvis et domæne ikke er dækket endnu, så klik på Run AutoSSL. Det virker først, når domænet peger på serveren.
4. Åbn dit site med https:// og tjek hængelåsen. Med WordPress skal du også sætte webstedsadressen til https://.

På HytHost webhosting er AutoSSL med Let's Encrypt slået til på alle pakker og dækker hvert domæne og subdomæne, du tilføjer, så snart det peger på serveren. Hvad cPanel ellers kan, finder du i hvad er cPanel.

På en VPS: Certbot med nginx

På din egen server henter og fornyer Certbot fra EFF dine Let's Encrypt-certifikater. Den officielle metode på Ubuntu bruger snap-pakken:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Sørg for, at dit domænes A-record peger på din VPS, at nginx har et server_name til det, og at port 80 og 443 er åbne i firewallen. Kør derefter:

sudo certbot --nginx -d example.com -d www.example.com

Certbot beviser, at du har kontrol over domænet, installerer certifikatet i din nginx-konfiguration og kan omdirigere HTTP til HTTPS. Den installerer også en timer, der fornyer certifikaterne automatisk. Test fornyelsen én gang:

sudo certbot renew --dry-run

Bag Cloudflare

Hvis dit domæne kører gennem Cloudflare med den orange sky slået til, forbinder de besøgende sig til Cloudflare, som viser dem sit gratis Universal SSL-certifikat. Det dækker kun halvdelen af vejen: Cloudflare skal stadig forbinde sig til din server.

• Sæt SSL/TLS-tilstanden til Full (strict). Så kræver Cloudflare et gyldigt certifikat på din server, og hele vejen bliver krypteret og kontrolleret.
• Giv din server et certifikat: Let's Encrypt via AutoSSL eller Certbot fungerer, ligesom et gratis Cloudflare Origin CA-certifikat. Et Origin CA-certifikat er det kun Cloudflare, der stoler på, så de besøgende ser fejl, hvis du nogensinde slår proxyen fra.
• Undgå Flexible-tilstanden. Den lader forbindelsen til din server være ukrypteret og giver ofte omdirigeringsløkker.

Typiske SSL-problemer og løsninger

• Certifikatet bliver ikke udstedt: domænet peger ikke på serveren endnu, eller DNS har stadig den gamle adresse i cachen. Tjek A-recorden, og vent.
• En CAA-record blokerer: hvis din DNS har CAA-records, skal de tillade den CA, du bruger, for eksempel 0 issue "letsencrypt.org".
• Valideringen fejler på en VPS: Let's Encrypt tjekker som standard via port 80, så hold port 80 åben, selv hvis sitet omdirigerer til HTTPS.
• "Ikke sikker" trods certifikat: siden indlæser billeder eller scripts via http:// (blandet indhold). Ret de links til https://.
• Et wildcard-certifikat: *.example.com kræver DNS-validering, så det virker kun med et DNS-plugin eller en udbyder, der kan oprette verifikationsrecorden.
• Certifikatet er udløbet: den automatiske fornyelse er holdt op med at virke. Tjek siden SSL/TLS Status i cPanel, eller kør certbot renew --dry-run på en VPS og læs fejlen.