Så skaffar du ett gratis SSL-certifikat

Vad ett SSL-certifikat gör

Strängt taget använder dagens anslutningar TLS, efterföljaren till SSL, men alla säger fortfarande "SSL-certifikat". Ett certifikat gör två saker:

• Kryptering: lösenord, formulär och betalningar skickas krypterade, så att ingen i nätverket kan läsa eller ändra dem.
• Identitet: en certifikatutfärdare (CA) har kontrollerat att den som begärde certifikatet har kontroll över domänen.

Gratis certifikat är domänvaliderade (DV): CA:n kontrollerar att du har kontroll över domänen, inget mer. Krypteringen är exakt lika stark som i ett betalt certifikat. Betalda OV- och EV-certifikat granskar dessutom organisationen bakom webbplatsen, vilket vissa företag vill ha, men webbläsarna visar samma hänglås för alla.

De gratis alternativen jämförda

Alla krypterar lika bra. Skillnaden ligger i hur de utfärdas och förnyas, och det spelar större roll för varje år.

Därför är automatisk förnyelse viktig

Certifikaten får kortare livslängd i hela branschen. Enligt CA/Browser Forums regler får ett publikt certifikat gälla i högst 200 dagar sedan mars 2026, 100 dagar från mars 2027 och 47 dagar från mars 2029.

Let's Encrypts certifikat gäller i dag i 90 dagar. Deras standardcertifikat går ner till 64 dagar i februari 2027 och 45 dagar i februari 2028. Let's Encrypt slutade dessutom skicka påminnelsemejl om utgångsdatum 2025, så ingen varnar dig innan ett certifikat går ut.

Den praktiska lärdomen: förnya aldrig certifikat för hand. Använd något som förnyar dem av sig självt, som AutoSSL i cPanel eller Certbot på en VPS, och kontrollera då och då att det fungerar.

På delat webbhotell: AutoSSL i cPanel

På ett webbhotell med cPanel behöver du oftast inte göra något alls. AutoSSL begär ett Let's Encrypt-certifikat för varje domän på kontot som pekar mot servern, installerar det och förnyar det innan det går ut.

1. Peka din domän mot webbhotellet: ställ in de namnservrar eller den A-post som ditt webbhotell gav dig, och vänta tills DNS har uppdaterats.
2. Öppna Security → SSL/TLS Status i cPanel. För varje domän ser du om den är täckt, håller på att gå ut eller har ett problem med AutoSSL.
3. Om en domän inte är täckt än klickar du på Run AutoSSL. Det fungerar först när domänen pekar mot servern.
4. Öppna din webbplats med https:// och kontrollera hänglåset. Med WordPress ställer du också in webbplatsadressen på https://.

På HytHosts webbhotell är AutoSSL med Let's Encrypt aktiverat i alla paket och täcker varje domän och subdomän du lägger till så snart den pekar mot servern. Vad cPanel kan göra mer läser du i vad är cPanel.

På en VPS: Certbot med nginx

På din egen server hämtar och förnyar Certbot från EFF dina Let's Encrypt-certifikat. Den officiella metoden på Ubuntu använder snap-paketet:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Se till att domänens A-post pekar mot din VPS, att nginx har ett server_name för den och att port 80 och 443 är öppna i brandväggen. Kör sedan:

sudo certbot --nginx -d example.com -d www.example.com

Certbot bevisar att du har kontroll över domänen, installerar certifikatet i din nginx-konfiguration och kan omdirigera HTTP till HTTPS. Det installerar också en timer som förnyar certifikaten automatiskt. Testa förnyelsen en gång:

sudo certbot renew --dry-run

Bakom Cloudflare

Om din domän går via Cloudflare med det orange molnet påslaget ansluter besökarna till Cloudflare, som visar dem sitt gratis Universal SSL-certifikat. Det täcker bara halva vägen: Cloudflare ansluter fortfarande till din server.

• Ställ in SSL/TLS-läget på Full (strict). Då kräver Cloudflare ett giltigt certifikat på din server, så att hela vägen är krypterad och kontrollerad.
• Ge din server ett certifikat: Let's Encrypt via AutoSSL eller Certbot fungerar, liksom ett gratis Cloudflare Origin CA-certifikat. Ett Origin CA-certifikat litar bara Cloudflare på, så besökarna får fel om du någon gång stänger av proxyn.
• Undvik läget Flexible. Det lämnar anslutningen till din server okrypterad och orsakar ofta omdirigeringsloopar.

Vanliga SSL-problem och lösningar

• Certifikatet utfärdas inte: domänen pekar inte mot servern än, eller så har DNS fortfarande den gamla adressen i cachen. Kontrollera A-posten och vänta.
• En CAA-post blockerar: om din DNS har CAA-poster måste de tillåta den CA du använder, till exempel 0 issue "letsencrypt.org".
• Valideringen misslyckas på en VPS: Let's Encrypt kontrollerar som standard via port 80, så håll port 80 öppen även om webbplatsen omdirigerar till HTTPS.
• "Inte säker" trots certifikat: sidan laddar bilder eller skript via http:// (blandat innehåll). Ändra de länkarna till https://.
• Ett wildcard-certifikat: *.example.com kräver DNS-validering, så det fungerar bara med ett DNS-plugin eller en leverantör som kan skapa verifieringsposten.
• Certifikatet har gått ut: den automatiska förnyelsen har slutat fungera. Kontrollera sidan SSL/TLS Status i cPanel, eller kör certbot renew --dry-run på en VPS och läs felet.