Guide: SSL certifikat til virksomhedssider

Kort svar: Et SSL-certifikat (i dag reelt et TLS-certifikat) krypterer forbindelsen mellem browser og server og bekræfter, at besøgende taler med det rigtige domæne. Til langt de fleste virksomhedssider er et gratis domænevalideret certifikat fra Let’s Encrypt nok – det krypterer lige så stærkt som et betalt. Det afgørende er, at hele sitet kører på HTTPS uden mixed content, og at fornyelsen kører automatisk og bliver overvåget.

Fagligt gennemgået: 2. oktober 2026

Et SSL-certifikat er ikke længere en teknisk detalje, man kan udskyde til senere. For virksomhedssider er det en grundlæggende del af sikkerhed, troværdighed og daglig drift. Når en besøgende åbner en hjemmeside, forventer vedkommende, at forbindelsen er krypteret, at browseren ikke viser advarsler, og at data bliver behandlet forsvarligt.

Det gælder især for virksomheder med kontaktformularer, login, webshop, kundeportal eller andre funktioner, hvor personoplysninger sendes mellem bruger og server. Selv en enkel præsentationsside har brug for HTTPS, fordi browsere og søgemaskiner betragter sikker forbindelse som standard.

Hvad et SSL-certifikat er, og hvordan HTTPS fungerer

Et SSL-certifikat er i praksis et TLS-certifikat, der installeres på webserveren for at etablere en krypteret forbindelse mellem browser og server. Begrebet “SSL” hænger ved, selv om den gamle SSL-protokol for længst er afløst af TLS. Når nogen besøger et website via HTTPS, kontrollerer browseren certifikatet og opretter en sikker session, så data ikke kan læses eller ændres undervejs.

Det handler om to ting på én gang: kryptering og identitet. Krypteringen beskytter oplysninger i transit, mens certifikatet bekræfter, at browseren taler med det rigtige domæne. Det er det, brugeren ser som hængelåsen i browseren.

For virksomheder betyder det, at loginoplysninger, kontaktdata, formularindhold og betalingsinformation ikke sendes ukrypteret over nettet. Det er godt for sikkerheden, og det viser samtidig, at virksomheden tager ansvar for sine digitale kontaktpunkter. Vil du have det helt grundlæggende forklaret, kan du læse Hvad er SSL/TLS?

Hvorfor SSL-certifikat er vigtigt for virksomheders hjemmesider

Den mest oplagte grund er datasikkerhed. Uden HTTPS kan oplysninger opsnappes på åbne netværk eller under et såkaldt man-in-the-middle-angreb. Det gælder ikke kun webshops. Kontaktformularer, kundeområder og interne logins er lige så relevante.

Der er også et tillidsspørgsmål. Besøgende reagerer hurtigt på visuelle tegn i browseren. Står siden som “Ikke sikker”, påvirker det oplevelsen med det samme, og mange forlader siden, før de når frem til et køb, en formular eller en booking.

Juridisk er SSL heller ikke til at komme udenom. Datatilsynet anbefaler kryptering under overførsel af personoplysninger, og TLS 1.2 eller nyere anses som passende niveau. Det passer direkte ind i GDPR’s krav om fortrolighed og integritet.

Sikker forbindelse er ikke et ekstra plus. Det er adgangsbilletten til at fremstå professionel. De vigtigste gevinster er:

• Kryptering af data i transit
• Færre browseradvarsler og en mere troværdig oplevelse
• Bedre grundlag for konverteringer
• Efterlevelse af GDPR’s krav om sikker overførsel
• Et positivt signal til søgemaskiner

SSL-certifikat, SEO og kundetillid hænger sammen

Google har i mange år bekræftet, at HTTPS er et rankingsignal. Det er ikke den eneste faktor, og det flytter sjældent alene en side til toppen. Men det er en grundforudsætning, og Chrome markerer HTTP-sider som “Ikke sikker”.

Langt vigtigere i praksis er brugeradfærden. Føles en side usikker, falder lysten til at udfylde formularer, oprette profil eller gennemføre et køb. Det gælder særligt på mobil, hvor brugere træffer hurtige beslutninger og reagerer straks på advarsler.

For webshops er sammenhængen endnu tydeligere. Betalingssider, checkout og kundekonti kræver tillid. Er første indtryk usikkert, bliver resten af kunderejsen sværere.

Hvilken type SSL-certifikat skal en virksomhed vælge?

Der findes flere typer certifikater, og valget afhænger af risikoprofil, budget og behov for identitetsvalidering. Mange virksomhedssider klarer sig fint med et domænevalideret certifikat, mens andre har krav om dokumenteret organisationsvalidering.

Type	Hvad valideres	Typisk brug	Fordel
DV	Domæneejerskab	Firmasider, blogs, webshops, kampagnesider	Hurtigt, automatiserbart og ofte gratis
OV	Domæne + virksomhed	Kundeportaler, sider med kontraktkrav	Virksomhedens identitet står i certifikatet
EV	Udvidet virksomhedskontrol	Finans og tjenester med særlige krav	Mest omfattende identitetskontrol
Wildcard	Et domæne og alle subdomæner på ét niveau	Mange subdomæner	Enkel administration
SAN/multidomæne	Flere domæner i ét certifikat	Koncerner, bureauer, flere brands	Færre certifikater at styre

Et DV-certifikat giver fuld kryptering og er tilstrækkeligt for rigtig mange websites. Det er også den type, mange hostingmiljøer tilbyder automatisk via Let’s Encrypt. Styrken er enkelhed, hurtig aktivering og automatisk fornyelse.

OV og EV er relevante, når virksomhedens identitet skal indgå i certifikatets validering, fx fordi en kunde eller partner kræver det. Vær dog opmærksom på, at de store browsere ikke længere viser virksomhedsnavnet i adresselinjen for EV-certifikater. Den besøgende ser altså den samme hængelås, uanset om certifikatet er DV, OV eller EV.

Sådan implementeres SSL-certifikatet korrekt

Selve installationen er kun én del af arbejdet. Den gode løsning kræver også, at hele sitet flyttes rent over på HTTPS, uden blandet indhold, døde redirects eller certifikater, der udløber ubemærket. Når det lykkes, mærker brugeren intet – og det er netop målet.

En solid proces ser typisk sådan ud:

1. Vælg certifikattype: DV til de fleste sider, OV eller EV ved konkrete krav om identitetsvalidering.
2. Verificér domænet: via HTTP-01 eller DNS (DNS-01), afhængigt af opsætningen.
3. Installér certifikatet: i servermiljøet eller via hostingens kontrolpanel.
4. Tving HTTPS: opsæt 301-redirect fra HTTP til HTTPS på alle relevante adresser, også www/uden www.
5. Ret mixed content: sørg for at billeder, scripts, CSS og skrifttyper også indlæses via HTTPS.
6. Test løsningen: kontroller certifikatkæde, browseradvarsler og TLS-konfiguration (TLS 1.2 og 1.3, ingen forældede protokoller).

Sørg også for, at interne links, canonical-tags, sitemap og CMS-indstillinger peger på HTTPS-versionen. I WordPress skal både “WordPress-adresse” og “Webstedsadresse” stå med https, og gamle HTTP-referencer i indhold og database skal erstattes med en søg-og-erstat, der håndterer serialiserede data korrekt, fx WP-CLI’s wp search-replace. Læs mere i www eller uden www.

Typiske fejl med SSL-certifikat og HTTPS-migrering

De fleste problemer opstår ikke, fordi certifikatet er dårligt, men fordi opsætningen omkring det er ufuldstændig.

Mixed content er blandt de mest almindelige. Siden vises via HTTPS, men enkelte elementer hentes stadig via HTTP. Browseren blokerer så indholdet eller markerer forbindelsen som delvist usikker. Det ses især efter migrering af ældre websites.

En anden klassiker er manglende automatisk fornyelse. Gratis certifikater har kort levetid, og uden overvågning kan en ellers velfungerende side pludselig stå med alvorlige browseradvarsler.

• Udløbet certifikat: websitet fremstår straks usikkert, og mange browsere lader ikke brugeren fortsætte uden at klikke sig forbi en advarsel.
• Forkert redirect: brugere og søgemaskiner møder både HTTP- og HTTPS-versioner, eller der opstår en redirect-sløjfe.
• Mixed content: enkelte filer bryder den sikre forbindelse.
• Gammel TLS-konfiguration: serveren understøtter stadig TLS 1.0 eller 1.1, som browserne har udfaset.
• Manglende certifikatkæde: mellemcertifikatet mangler, så visse browsere eller enheder ikke kan validere siden.

Sådan fejlsøger du de almindelige SSL-advarsler

Når browseren viser en advarsel, står årsagen næsten altid i fejlkoden. Klik på advarslen eller hængelåsen, og se efter disse mønstre:

• Certifikatet er udløbet (fx NET::ERR_CERT_DATE_INVALID): fornyelsen er fejlet. Tjek, om domænet stadig peger på serveren, og om valideringsstien er blokeret. Se SSL-certifikatet er udløbet.
• Navnet passer ikke (fx NET::ERR_CERT_COMMON_NAME_INVALID): certifikatet dækker ikke det værtsnavn, der bliver besøgt – typisk www eller et subdomæne.
• Ukendt udsteder eller ufuldstændig kæde: mellemcertifikatet er ikke installeret, eller der bruges et selvsigneret certifikat.
• Hængelåsen er ikke hel: næsten altid mixed content. Åbn udviklerværktøjernes konsol, og find de filer, der hentes via http. Se Mixed content efter SSL.

Generelt hjælper det at teste fra et privat browservindue og fra en anden netværksforbindelse, så du udelukker lokal cache og gamle DNS-svar. Står sitet bag Cloudflare eller et andet CDN, skal du også tjekke SSL-tilstanden der – “Flexible” er en hyppig årsag til både sløjfer og forvirring.

Drift og vedligeholdelse af SSL kræver faste rutiner

Når certifikatet er installeret, begynder den del, mange overser: den løbende drift. En sikker løsning er ikke kun et certifikat, men et system omkring det – fornyelse, overvågning, serverkonfiguration og kontrol af ændringer på hjemmesiden.

Automatisk fornyelse er næsten altid den rigtige vej. Det mindsker risikoen for menneskelige fejl og sikrer, at webstedet ikke pludselig går fra troværdigt til problemfyldt på grund af en overset udløbsdato. Samtidig bør der være alarmer, så certifikatfejl opdages tidligt.

Det bliver vigtigere de kommende år. Browserne og certifikatudstederne har i CA/Browser Forum vedtaget, at den maksimale levetid for offentlige TLS-certifikater nedtrappes: 200 dage fra marts 2026, 100 dage fra marts 2027 og 47 dage fra marts 2029. Let’s Encrypt, der i dag udsteder certifikater med 90 dages levetid, har meldt ud, at de går ned til 45 dage frem mod 2028. Samtidig er Let’s Encrypt holdt op med at sende udløbsmails, så du kan ikke regne med en påmindelse. Manuel fornyelse er dermed reelt ikke en mulighed længere.

For virksomheder med WordPress eller WooCommerce er det klogt at tænke SSL sammen med sikkerhed og hastighed i bredere forstand. HTTPS skal spille sammen med cache, CDN, firewall, backups og løbende opdateringer.

SSL på WordPress og WooCommerce kræver ekstra opmærksomhed

På WordPress er HTTPS som regel let at aktivere, men platformen kan gemme gamle URL’er i temaer, mediefiler, plugins og databaseindhold. En teknisk korrekt installation kan derfor stadig give browseradvarsler, hvis indholdet ikke bliver ryddet op.

WooCommerce stiller endnu højere krav. Her møder brugerne login, kurv, checkout, ordrebekræftelser og integrationer til betaling, fragt og marketingværktøjer. Hver del skal fungere sikkert og konsekvent via HTTPS – også callback-URL’er fra betalingsgatewayen.

Det er her, administreret hosting ofte gør en reel forskel. Når certifikat, redirects, cache og platformindstillinger spiller sammen fra starten, bliver risikoen for fejl mindre.

Gratis SSL: 7 krav du bør stille, før du siger ja

De fleste virksomhedssider ender med et gratis DV-certifikat, typisk fra Let’s Encrypt. Det er et fornuftigt valg, men ordet “gratis” siger intet om, hvor godt certifikatet er sat op til drift. Værdien ligger i, at udstedelse, validering og fornyelse kører automatisk, uden at nogen skal huske det.

Brug listen som tjekliste, både når du vurderer en hostingudbyder, og når du gennemgår din egen opsætning:

1. Automatisk fornyelse: Certifikatet skal fornyes via en ACME-klient uden manuel upload, og processen skal kunne dokumenteres.
2. Bred browser-tillid: Udstederen skal være anerkendt i root-programmerne hos Apple, Google, Microsoft og Mozilla.
3. Dækning af flere værtsnavne: Både firma.dk og www.firma.dk skal stå i certifikatets subjectAltName-felt (SAN). En klassisk fejl er, at hoveddomænet virker, mens www-versionen fejler.
4. Tydelig valideringsmetode: Udbyderen skal kunne forklare, om domænet verificeres med HTTP-01 eller DNS-01.
5. Wildcard ved behov: Har du mange subdomæner, skal wildcard være muligt, og det kræver DNS-01.
6. Sikker implementering: Redirect til HTTPS, korrekt certifikatkæde og fravær af mixed content skal være en del af leverancen.
7. Driftsstøtte og fejlhåndtering: Der skal være logning, overvågning og hjælp, når du flytter hjemmesiden eller ændrer DNS.

Mangler bare ét af kravene, er gratis SSL ofte mindre værd, end det ser ud til.

Sådan tjekker du, om certifikatet faktisk fornyes automatisk

Let’s Encrypts certifikater gælder i dag typisk 90 dage og fornyes normalt omkring 30 dage før udløb. Du kan kontrollere opsætningen i tre trin:

1. Se på udløbsdatoen i browseren eller via serverværktøjer. En levetid på omkring 90 dage tyder på en ACME-baseret løsning, og så skal du kunne finde automatikken bag.
2. Find bevis for automatik i kontrolpanel, cron-job eller serverlogs. Der bør stå noget konkret om fornyelse, ikke bare “SSL aktiv”.
3. Test, at løsningen tåler ændringer. Flytter du DNS, sætter Cloudflare foran sitet eller ændrer webroot, skal verifikationen stadig virke. Let’s Encrypt anbefaler, at ACME-klienten tjekker fornyelsesinformation (ARI) mindst to gange dagligt.

Husk, at hængelåsen i browseren kun betyder, at opsætningen virker lige nu.

HTTP-01 eller DNS-01: sådan foregår domæneverifikationen

Før et certifikat udstedes, skal du bevise, at du kontrollerer domænet. Med ACME sker det gennem en såkaldt challenge, og de to metoder, du møder i praksis, er HTTP-01 og DNS-01.

Ved HTTP-01 lægger ACME-klienten en fil på stien /.well-known/acme-challenge/, og udstederen kontrollerer, at filen kan hentes via HTTP. Ved DNS-01 oprettes i stedet en TXT-record i domænets DNS-zone. Det gør metoden velegnet til wildcard og til servere uden offentlig webadgang, men den er kun stabil, hvis din DNS-udbyder har et API, så recorden kan sættes automatisk.

	HTTP-01	DNS-01
Sådan verificeres	Fil i webroot hentes via HTTP	TXT-record i DNS-zonen
Kræver	Adgang til webroot på en offentlig webserver	DNS-kontrol, helst med API-adgang
Wildcard	Nej	Ja
Passer til	Almindelige firmasider og webshops med få værtsnavne	Mange subdomæner, flere miljøer, servere bag proxy
Typisk risiko	Redirects eller proxy blokerer challenge-stien	Manuel DNS-opdatering, der glemmes ved fornyelse

Vælg ikke wildcard, bare fordi det lyder mere avanceret. Bruger du kun firma.dk og www.firma.dk, er et almindeligt SAN-certifikat med HTTP-01 som regel både enklere og mere stabilt.

Lav en inventarliste, før du ændrer noget

Mange certifikatfejl opstår i overgangen mellem gammel og ny opsætning, ikke i selve certifikatet. Kortlæg derfor alle værtsnavne, der reelt bruges: roddomæne, www, shop, login, kampagnesider, staging og eventuelle API-subdomæner. Først derefter vælger du mellem SAN og wildcard, og først derefter ændrer du DNS eller server.

To detaljer er værd at have med. Et WordPress-plugin kan hjælpe med redirects og rettelse af URL’er, men det installerer ikke et certifikat – SSL-laget skal være på plads på serveren først. Og vil du aktivere HSTS, så vent, til alle relevante subdomæner beviseligt virker på HTTPS. Aktiveres HSTS for tidligt, låser browseren sig fast til HTTPS, og små fejl bliver pludselig meget synlige. Læs mere om HSTS i sikkerhedsheadere til WordPress.

Gratis eller betalt certifikat, og hvad du skal spørge din host om

Til almindelig HTTPS-beskyttelse er et gratis DV-certifikat rigeligt. Browseren viser ikke en “bedre” hængelås, fordi certifikatet er dyrere, og krypteringen bliver ikke stærkere af prisen. Sikkerhedsniveauet afgøres oftere af TLS-konfiguration, nøglehåndtering, redirects, opdateringer og overvågning.

Betalte certifikater giver mening i nogle bestemte situationer:

• Kontraktkrav: en kunde eller partner stiller krav om organisatorisk validering (OV eller EV).
• Central certifikatstyring: mange domæner og miljøer, der skal administreres samlet.
• Intern PKI: virksomheden har egen certifikatinfrastruktur, som offentlige certifikater skal passe ind i.

Sælger nogen dig et betalt certifikat med argumentet “mere sikker HTTPS”, så spørg præcist, hvad der bliver bedre. Nævner svaret ikke konkrete forskelle i validering eller livscyklusstyring, er gevinsten som regel begrænset. Bemærk også, at levetidsnedtrapningen gælder alle offentlige certifikater – også de betalte – så automatisk fornyelse er nødvendig uanset pris.

Fem spørgsmål, der afslører, om gratis SSL er en driftstjeneste

Spørg ikke kun “har I gratis SSL?”, men stil fem konkrete spørgsmål:

1. Hvordan udstedes certifikatet, og hvilken valideringsmetode bruges?
2. Hvordan fornyes det, og hvordan opdager I fejl før udløb?
3. Hvilke domæner og subdomæner dækkes, herunder www?
4. Hvad sker der ved migrering, CDN eller proxy foran sitet?
5. Hvordan får jeg hjælp, hvis verifikationen fejler uden for normal arbejdstid?

Er svarene uklare, ender ansvaret hos dig selv, uanset hvad der står på prislisten. Gratis SSL skal være en driftstjeneste, ikke bare en gratis fil. Når den del er på plads, er det ofte den mest fornuftige standard for både WordPress-sider og WooCommerce-shops.

Sådan hjælper Hostious med SSL-certifikat og sikker hosting

For mange virksomheder er den enkleste løsning at vælge hosting, hvor SSL ikke er et separat projekt, men en integreret del af platformen. Hos Hostious er gratis SSL fra Let’s Encrypt med automatisk fornyelse inkluderet i alle WordPress hosting– og WooCommerce hosting-pakker.

Det er især værdifuldt for virksomheder på WordPress eller WooCommerce. Her betyder det meget, at certifikatet fornyes automatisk, og at der er dansk support døgnet rundt, hvis et plugin, et redirect eller mixed content skaber problemer.

Hostingen kører på LiteSpeed og NVMe på servere i Europa med daglig og manuel backup og selvbetjent gendannelse. Staging er med fra WP StartUp og Woo StartUp, så du kan teste en HTTPS-omlægning, før den går live. Flytter du fra en anden udbyder, er migreringen gratis, og SSL, redirects og DNS kan håndteres samlet.

Det giver især værdi i disse situationer:

• Ved flytning af hjemmeside: SSL, redirects og migrering håndteres i én proces.
• Ved WordPress og WooCommerce: færre fejl i checkout, login og medieindhold.
• Ved behov for dansk support: hurtigere afklaring af certifikat- og browserproblemer.
• Ved fokus på stabil drift: automatisk fornyelse og daglige backups reducerer risikoen.

For virksomheder, bureauer og webshops er det sjældent certifikatet alene, der er den svære del. Udfordringen er at få hele miljøet til at fungere stabilt omkring det. Når SSL, hosting, support og vedligeholdelse er tænkt sammen, bliver sikkerhed en fast og velfungerende del af hjemmesiden.

Læs også

• Hub: Domæner, DNS og SSL – alle guides om emnet samlet ét sted
• Mixed content efter SSL – når hængelåsen ikke bliver hel
• SSL-certifikatet er udløbet – hvorfor fornyelsen fejlede
• “Din forbindelse er ikke privat” – hvad advarslen betyder
• SSL-tilstande i Cloudflare: Flexible, Full og Full (strict)
• WordPress hosting hos Hostious – gratis SSL med automatisk fornyelse

Ofte stillede spørgsmål om SSL-certifikater

Er et gratis SSL-certifikat godt nok til en virksomhedsside?

Ja, i de fleste tilfælde. Et gratis Let’s Encrypt-certifikat krypterer lige så stærkt som et betalt. Betalte certifikater handler mest om organisationsvalidering og certifikatstyring – ikke om stærkere kryptering.

Hvorfor viser min side stadig “ikke sikker”, efter SSL er installeret?

Typisk på grund af mixed content: billeder eller scripts, der stadig hentes over http. Opdatér interne URL’er til https, og tjek, at al trafik omdirigeres til den sikre version.

Hvad sker der, hvis certifikatet udløber?

Browseren viser en advarsel, og de fleste besøgende forlader siden med det samme. Brug hosting med automatisk fornyelse, og overvåg udløbsdatoen, så fornyelsen aldrig afhænger af en kalenderpåmindelse.

Hvor længe gælder et SSL-certifikat?

Let’s Encrypt udsteder i dag certifikater med 90 dages levetid og går ned til 45 dage frem mod 2028. For alle offentlige certifikater gælder en maksimal levetid på 200 dage fra marts 2026, som trappes ned til 47 dage i 2029. Derfor bør fornyelsen altid være automatisk.