Slik får du et gratis SSL-sertifikat

Hva et SSL-sertifikat gjør

Strengt tatt bruker dagens forbindelser TLS, etterfølgeren til SSL, men alle sier fortsatt "SSL-sertifikat". Et sertifikat gjør to ting:

• Kryptering: passord, skjemaer og betalinger sendes kryptert, så ingen på nettverket kan lese eller endre dem.
• Identitet: en sertifikatutsteder (CA) har kontrollert at den som ba om sertifikatet, har kontroll over domenet.

Gratis sertifikater er domenevaliderte (DV): CA-en sjekker at du har kontroll over domenet, ikke noe mer. Krypteringen er nøyaktig like sterk som i et betalt sertifikat. Betalte OV- og EV-sertifikater sjekker i tillegg organisasjonen bak nettstedet, noe enkelte bedrifter ønsker, men nettleserne viser den samme hengelåsen for alle.

De gratis alternativene sammenlignet

Alle krypterer like godt. Forskjellen ligger i hvordan de utstedes og fornyes, og det betyr mer for hvert år som går.

Derfor er automatisk fornyelse viktig

Sertifikater får kortere levetid i hele bransjen. Etter reglene til CA/Browser Forum kan et offentlig sertifikat maksimalt gjelde i 200 dager siden mars 2026, 100 dager fra mars 2027 og 47 dager fra mars 2029.

Let's Encrypt-sertifikater gjelder i dag i 90 dager. Standardsertifikatene deres går ned til 64 dager i februar 2027 og 45 dager i februar 2028. Let's Encrypt sluttet dessuten å sende påminnelser om utløp på e-post i 2025, så ingen varsler deg før et sertifikat går ut.

Den praktiske lærdommen: forny aldri sertifikater for hånd. Bruk noe som fornyer dem av seg selv, som AutoSSL i cPanel eller Certbot på en VPS, og sjekk av og til at det fungerer.

På delt webhotell: AutoSSL i cPanel

På et webhotell med cPanel er det som regel ingenting du trenger å gjøre. AutoSSL ber om et Let's Encrypt-sertifikat for hvert domene på kontoen som peker til serveren, installerer det og fornyer det før det går ut.

1. Pek domenet ditt til webhotellet: legg inn navneserverne eller A-posten du fikk av leverandøren, og vent til DNS er oppdatert.
2. Åpne Security → SSL/TLS Status i cPanel. For hvert domene ser du om det er dekket, holder på å utløpe eller har et problem med AutoSSL.
3. Hvis et domene ikke er dekket ennå, klikker du på Run AutoSSL. Det fungerer først når domenet peker til serveren.
4. Åpne nettstedet med https:// og sjekk hengelåsen. Med WordPress setter du også nettstedsadressen til https://.

På HytHost webhotell er AutoSSL med Let's Encrypt slått på i alle pakker og dekker hvert domene og underdomene du legger til, så snart det peker til serveren. Hva cPanel ellers gjør, finner du i hva er cPanel.

På en VPS: Certbot med nginx

På din egen server henter og fornyer Certbot fra EFF Let's Encrypt-sertifikatene dine. Den offisielle metoden på Ubuntu bruker snap-pakken:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Sørg for at A-posten til domenet peker til VPS-en, at nginx har et server_name for det, og at port 80 og 443 er åpne i brannmuren. Kjør deretter:

sudo certbot --nginx -d example.com -d www.example.com

Certbot beviser at du har kontroll over domenet, installerer sertifikatet i nginx-konfigurasjonen din og kan omdirigere HTTP til HTTPS. Den installerer også en timer som fornyer sertifikatene automatisk. Test fornyelsen én gang:

sudo certbot renew --dry-run

Bak Cloudflare

Hvis domenet ditt går gjennom Cloudflare med den oransje skyen slått på, kobler de besøkende seg til Cloudflare, som viser dem sitt gratis Universal SSL-sertifikat. Det dekker bare halve veien: Cloudflare kobler seg fortsatt til serveren din.

• Sett SSL/TLS-modus til Full (strict). Da krever Cloudflare et gyldig sertifikat på serveren din, så hele veien er kryptert og kontrollert.
• Gi serveren din et sertifikat: Let's Encrypt via AutoSSL eller Certbot fungerer, det samme gjør et gratis Cloudflare Origin CA-sertifikat. Et Origin CA-sertifikat er det bare Cloudflare som stoler på, så de besøkende får feil hvis du noen gang slår av proxyen.
• Unngå Flexible-modus. Den lar forbindelsen til serveren din være ukryptert og gir ofte omdirigeringsløkker.

Vanlige SSL-problemer og løsninger

• Sertifikatet blir ikke utstedt: domenet peker ikke til serveren ennå, eller DNS har fortsatt den gamle adressen i hurtigbufferen. Sjekk A-posten og vent.
• En CAA-post blokkerer: hvis DNS-en din har CAA-poster, må de tillate CA-en du bruker, for eksempel 0 issue "letsencrypt.org".
• Valideringen feiler på en VPS: Let's Encrypt sjekker som standard via port 80, så hold port 80 åpen selv om nettstedet omdirigerer til HTTPS.
• "Ikke sikker" selv med sertifikat: siden laster bilder eller skript via http:// (blandet innhold). Endre de lenkene til https://.
• Et wildcard-sertifikat: *.example.com krever DNS-validering, så det fungerer bare med en DNS-plugin eller leverandør som kan opprette verifiseringsposten.
• Sertifikatet har gått ut: den automatiske fornyelsen har sluttet å virke. Sjekk siden SSL/TLS Status i cPanel, eller kjør certbot renew --dry-run på en VPS og les feilen.