Vad är HTTPS? Allt du behöver veta

Vad är HTTPS? Definition och förklaring

HTTPS används överallt på nätet – från betalningar och inloggningar till vanlig surfning. Protokollet skyddar känslig information som lösenord, kortuppgifter och personliga uppgifter från att hamna i orätta händer. När en webbplats använder HTTPS ser du ett litet hänglås i adressfältet och adressen börjar med "https://" i stället för "http://". Det är webbläsarens sätt att tala om för dig att anslutningen är säker och att data krypteras på vägen mellan dig och sidan du besöker.

HTTPS historia

HTTP – det protokoll som ligger till grund för webben – skapades i början av 1990-talet som ett enkelt sätt för webbläsare och servrar att utbyta information. Men i takt med att internet växte och allt fler började använda nätet för känsliga transaktioner som betalningar och inloggningar, så stod det snart klart att HTTP saknade ett avgörande element – säkerhet. Alla data skickades i klartext, vilket innebar att de i princip kunde läsas av vem som helst längs vägen.

Det var it-företaget Netscape (mest kända för sin webbläsare Netscape Navigator) som tog det första steget mot en lösning. 1994 introducerade de SSL (Secure Sockets Layer), ett krypteringsprotokoll som lade grunden för det vi i dag känner som HTTPS. Kombinationen av HTTP och SSL gjorde det möjligt att skicka data krypterat och HTTPS började användas i stor skala, framför allt för e-handel och banktjänster. Under 2000-talet ersattes SSL gradvis av det mer robusta TLS (Transport Layer Security), men principen är densamma.

Länge var HTTPS något som förknippades med sajter som hanterade kortuppgifter eller personlig information. Men 2014 förändrades spelplanen när Google meddelade att HTTPS skulle bli en rankingfaktor i deras sökmotor – med andra ord att säkra webbplatser skulle visas först i sökresultaten. Det fick fler webbplatsägare än någonsin att göra bytet, och i dag är HTTPS den vedertagna standarden för i princip hela webben.

Hur fungerar HTTPS?

HTTPS skyddar dina data med hjälp av TLS och SSL – krypteringsprotokoll som ser till att de data som skickas mellan din webbläsare och en webbplats inte kan läsas eller manipuleras av utomstående. TLS, den förbättrade efterföljaren till SSL, bygger på ett system med två distinkta nycklar som arbetar tillsammans.

• Publik nyckel – en öppen nyckel som vem som helst kan använda för att kryptera information som skickas till webbplatsen.
• Privat nyckel – en hemlig nyckel som bara webbplatsen har tillgång till och som används för att dekryptera den information som skickats.

Tänk dig ett kassaskåp med ett brevinkast. Vem som helst kan stoppa in ett brev genom inkastet (den publika nyckeln), men bara den som har rätt nyckel till kassaskåpet kan öppna det och läsa innehållet (den privata nyckeln).

När du ansluter till en HTTPS-webbplats sker ett automatiskt informationsutbyte i bakgrunden – ett så kallat "handshake" – innan någon data alls börjar skickas. Så här går det till:

1. 1.Webbläsaren begär anslutning – din webbläsare kontaktar webbplatsen och begär en säker anslutning.
2. 2.Servern presenterar sitt certifikat – webbplatsens server skickar sitt SSL/TLS-certifikat som bevis på sin identitet.
3. 3.Webbläsaren verifierar certifikatet – din webbläsare kontrollerar att certifikatet är giltigt och utfärdat av en betrodd part.
4. 4.Nycklar utbyts – webbläsaren och servern kommer överens om krypteringsmetod och utbyter krypteringsnycklar.
5. 5.Säker anslutning upprättad – all data som nu skickas fram och tillbaka är skyddad av kryptering.

Hela den här processen sker på bråkdelen av en sekund – utan att du behöver göra något.

HTTPS vs HTTP – vad är skillnaden?

HTTP och HTTPS är i grunden två versioner av samma protokoll – båda används för att skicka data mellan din webbläsare och en webbplats. Den avgörande skillnaden är det lilla S:et på slutet, som står för Secure. Det är inte bara en bokstav – det är skillnaden mellan en öppen och en skyddad anslutning.

Övergången från HTTP till HTTPS har haft stor inverkan på nätet.

• Kryptering – HTTP skickar alla data i klartext, vilket innebär att vem som helst som kan avlyssna trafiken – din internetleverantör, en hackare på samma wifi-nätverk, eller en server längs vägen – kan läsa exakt vad som skickas. HTTPS krypterar all kommunikation så att den är oläslig för utomstående. Om du anger ditt lösenord på en HTTP-sida är det som att skicka ett vykort – vem som helst som hanterar det kan läsa det. HTTPS är som ett förseglat, inlåst kuvert.
• Webbläsarvarningar – moderna webbläsare flaggar aktivt HTTP-sidor som "Inte säker" i adressfältet. Det är inget subtilt – det syns tydligt och kan få besökare att tveka eller lämna sidan direkt, vilket kan kosta sajter både trovärdighet och trafik.
• SEO-påverkan – sedan Google 2014 meddelade att HTTPS är en rankingfaktor i sökmotorn gynnas säkra webbplatser i sökresultaten. Att använda HTTP i stället för HTTPS kan alltså påverka en webbplats synlighet negativt.
• Autentisering – HTTPS verifierar också att du verkligen är ansluten till rätt webbplats och inte en falsk kopia. HTTP erbjuder ingen sådan kontroll, vilket gör det lättare för angripare att skapa bedrägliga sajter som ser äkta ut.

Om du undrar om du ska välja HTTP eller HTTPS är svaret enkelt – välj alltid HTTPS. Det gäller i synnerhet för sajter som hanterar inloggningar, betalningar eller personuppgifter.

Varför är HTTPS viktigt?

HTTPS är inte bara en teknisk detalj – det är en grundläggande förutsättning för ett säkert och pålitligt internet. Här är de viktigaste anledningarna till att det spelar roll.

• Skydd mot avlyssning – på ett okrypterat HTTP-nätverk kan dina data enkelt "sniffas" av utomstående, särskilt på publika wifi-nätverk. En hacker som befinner sig på samma nätverk som du kan i princip läsa av exakt vad du skickar. HTTPS krypterar all kommunikation och gör den oläslig för den som försöker avlyssna. Skillnaden är tydlig – utan kryptering kan ditt användarnamn och lösenord vara synliga för vem som helst som övervakar nätverket. Med kryptering ser samma information ut ungefär så här: Kj7Hb2VnLp9TyiExfGt3lWvErQnBfFklYgkD9p5zxZbKaPzL.
• Skydd mot manipulering – utan HTTPS kan okrypterad trafik utnyttjas på olika sätt. Din internetleverantör (ISP) kan injicera oönskade annonser i de sidor du besöker, medan en angripare som utför en man-in-the-middle-attack kan gå längre och injicera skadlig kod – utan att du märker något. HTTPS säkerställer att du ser exakt vad webbplatsen avsåg att visa, oförändrat och opåverkat.
• Förtroende hos besökare – moderna webbläsare visar aktivt varningar om "Inte säker" på HTTP-sidor, vilket snabbt kan skrämma bort besökare. En hänglåsikon i adressfältet signalerar trygghet och ökar förtroendet för sajten – något som är särskilt viktigt för e-handel och tjänster som hanterar personuppgifter.
• Bättre synlighet i sökmotorer – Google har sedan 2014 använt HTTPS som en rankingfaktor, vilket innebär att säkra webbplatser hamnar längre upp i sökresultaten. Dessutom kräver vissa webbläsarfunktioner – som geolokalisering och åtkomst till kamera – att sidan använder HTTPS för att överhuvudtaget fungera.

HTTPS-certifikat

Ett HTTPS-certifikat – ofta kallat SSL-certifikat, vilket är det äldre namnet på det som i dag är TLS – är ett digitalt certifikat som bevisar att en webbplats är den som den utger sig för att vara. Det är certifikatet som möjliggör den krypterade anslutningen och som ligger bakom hänglåsikonen i adressfältet.

Det finns tre typer av certifikat, med olika nivåer av verifiering:

• DV (Domain Validation) – den enklaste och vanligaste typen. Certifikatet bekräftar att den som ansökt om certifikatet är den som kontrollerar domänen, men säger ingenting om organisationen bakom. Används ofta av mindre webbplatser och bloggar.
• OV (Organization Validation) – ett steg upp. Här verifieras även att organisationen bakom webbplatsen är legitim, vilket ger besökaren mer att luta sig mot.
• EV (Extended Validation) – den högsta nivån av verifiering, tilldelad av en betrodd tredje part efter en noggrann granskning. Används framför allt av banker och större e-handelsplatser där förtroende är avgörande.

Även om ett HTTPS-certifikat är ett starkt tecken på att en webbplats är säker är det inte en garanti mot alla risker. Kommunikationen är krypterad, men det skyddar inte mot att servrar eller data manipuleras vid ett eventuellt intrång. Det är därför viktigt att alltid kontrollera att du är på rätt webbplats – inte bara att den har ett hänglås.

Hur skaffar jag SSL/HTTPS?

Att lägga till HTTPS på din webbplats är enklare än du kanske tror. De flesta webbhotell erbjuder enkel installation och många inkluderar SSL-certifikat utan extra kostnad.

1. 1.Välj en certifikatleverantör – bestäm vilken typ av certifikat du behöver (DV, OV eller EV) och hitta en leverantör som passar din sajt.
2. 2.Skaffa ett certifikat – många webbhotell inkluderar gratis SSL-certifikat i sina paket. Om inte kan du köpa ett separat eller använda en gratis tjänst som Let's Encrypt.
3. 3.Installera certifikatet – installationen sker vanligtvis via ditt webbhotells kontrollpanel, eller så hjälper supportteamet dig med det.
4. 4.Konfigurera webbplatsen – uppdatera inställningarna så att sajten använder HTTPS i stället för HTTP.
5. 5.Omdirigera HTTP till HTTPS – se till att alla besökare automatiskt skickas till den säkra versionen, oavsett vilken adress de skriver in.
6. 6.Testa – kontrollera att HTTPS fungerar korrekt på hela sajten och att hänglåsikonen visas i adressfältet.

Vilken port använder HTTPS?

Om du undrar vilken port HTTPS använder är svaret enkelt: HTTPS använder port 443 som standardport, medan HTTP använder port 80.

Portar fungerar som virtuella dörrar för olika typer av internettrafik. Precis som ett fysiskt hus kan ha flera ingångar för olika ändamål – en för post, en för leveranser – har servrar tusentals portar där varje port är reserverad för en specifik typ av kommunikation.

Port 443 är dedikerad till säker HTTPS-trafik, och det finns ett par saker värda att känna till om den:

• Automatisk anslutning – när du besöker en HTTPS-webbplats ansluter din webbläsare automatiskt till port 443 i bakgrunden. Du behöver aldrig skriva in portnumret själv.
• Kryptering från start – all trafik som går genom port 443 är krypterad via TLS, vilket innebär att dina data är skyddade från det ögonblick anslutningen upprättas.
• Universell standard – port 443 är den globalt vedertagna standarden för HTTPS-trafik, vilket gör den kompatibel med i princip alla webbläsare och servrar.

Om port 443 är blockerad – av en brandvägg eller nätverksbegränsning – kan du inte nå HTTPS-webbplatser på vanligt sätt. I stället får du felmeddelanden som "anslutningen nekades" eller "sidan kan inte visas". Det händer ibland på företagsnätverk eller i länder med restriktiv internetcensur.

HTTPS vs VPN – vad är skillnaden?

Vad är ett VPN i förhållande till HTTPS? De är båda verktyg för säkerhet och integritet på nätet – men de arbetar på helt olika nivåer och är inte alternativ till varandra. De kompletterar varandra, och tillsammans ger de ett betydligt starkare skydd än vart och ett för sig.

Så här skiljer de sig åt i praktiken:

HTTPS skyddar:

• kommunikationen mellan din webbläsare och en specifik webbplats
• data som skickas i en enskild anslutning via kryptering
• din identitet gentemot en webbplats, genom att verifiera att du är ansluten till rätt server

Ett VPN skyddar:

• all internettrafik från din enhet – inte bara webbläsartrafik
• din IP-adress och din faktiska plats, som döljs för webbplatser och tredje parter
• dina data även på okrypterade nätverk, som publikt wifi
• din surfhistorik från din internetleverantör

När ska du använda vad?

• Använd HTTPS för – all hantering av lösenord, betalningar och personuppgifter på webben. Kontrollera alltid att hänglåsikonen visas innan du fyller i känslig information.
• Använd ett VPN för – surfning på publikt wifi, när du vill dölja din IP-adress, undvika spårning från din internetleverantör eller komma åt innehåll som är begränsat i ditt land.
• Använd båda för – maximal integritet och säkerhet online. HTTPS skyddar den enskilda anslutningen, medan VPN:et skyddar hela din enhet och döljer din närvaro på nätet.