Hvad er SSL/TLS? Hængelåsen forklaret

Kort svar: SSL/TLS er krypteringen bag hængelåsen og https://. Den sikrer, at data mellem besøgende og dit site hverken kan aflæses eller ændres undervejs, og at besøgende taler med dit site og ikke en efterligning. Nutidens protokol hedder TLS; „SSL“ hænger ved som hverdagsnavn. Beviset er certifikatet, som kan udstedes gratis (typisk af Let’s Encrypt) og skal fornyes automatisk – det vigtige er derfor, at fornyelsen og omdirigeringen fra http til https kører fejlfrit.

Fagligt gennemgået: 2. oktober 2026

Hængelåsen i adresselinjen er blevet så almindelig, at de fleste først lægger mærke til den, når den mangler. Her får du forklaret, hvad krypteringen faktisk gør, hvordan certifikatet virker, og hvordan du selv kontrollerer, at alt er i orden.

Hvad krypteringen gør

TLS løser tre problemer på én gang:

• Fortrolighed: kodeord, betalingsdata og beskeder kan ikke læses af andre på netværket – caféens wi-fi inklusive.
• Integritet: indholdet kan ikke ændres undervejs, fx ved at nogen indsætter reklamer eller skadelig kode.
• Identitet: certifikatet beviser, at serveren faktisk repræsenterer dit domæne.

Uden https viser browsere „Ikke sikker“, formularer advarer, og både søgemaskiner og betalingsløsninger forventer kryptering. https er i praksis adgangsbilletten til at drive noget seriøst på nettet.

SSL eller TLS – og hvilke versioner gælder?

SSL var navnet på de første versioner af protokollen fra 1990’erne. Alle SSL-versioner er for længst udfaset som usikre, og efterfølgeren hedder TLS. Når hostingfirmaer og browsere skriver „SSL-certifikat“, mener de i dag et certifikat, der bruges med TLS.

Moderne servere bør tilbyde TLS 1.2 og TLS 1.3. TLS 1.0 og 1.1 er udfaset og afvises af de store browsere. TLS 1.3 er både sikrere og hurtigere, fordi forbindelsen sættes op med færre runder frem og tilbage mellem browser og server.

Certifikatet og fornyelsen

Certifikatet udstedes af en certifikatmyndighed, når du har bevist, at du kontrollerer domænet. Med Let’s Encrypt sker det automatisk og gratis.

Certifikaterne er med vilje kortlivede, så automatisk fornyelse er en forudsætning, ikke en luksus. Det er her, tingene går galt i praksis: fornyelsen fejler stille – typisk fordi DNS er flyttet, valideringsstien blokeres, eller domænet er udløbet – og nogle uger senere møder kunderne en rød advarselsside.

Kører sitet bag en proxy som Cloudflare, findes der desuden to certifikater: ét på kanten og ét på din server. Begge skal være i orden, og Cloudflares SSL-tilstand afgør, om forbindelsen til din server faktisk er krypteret – se SSL-tilstande i Cloudflare.

Hvad betyder det for dit site?

Tre tjek dækker hverdagen:

1. Certifikatet fornys automatisk. På WordPress hosting hos Hostious følger gratis SSL fra Let’s Encrypt med.
2. Al trafik omdirigeres fra http til https med én 301-omdirigering – ikke en kæde af flere.
3. WordPress kender selv sin https-adresse, så du undgår mixed content, hvor billeder hentes over http, og hængelåsen forsvinder.

Går det galt alligevel, viser guiden til udløbne certifikater vejen tilbage. Hele emnefeltet – fra DNS til certifikatfælder bag Cloudflare – er samlet i hubben om domæner, DNS og SSL.

Sådan skifter du WordPress fra http til https

Har du et ældre site, der stadig kører på http, er skiftet overskueligt, når du tager det i den rigtige rækkefølge:

1. Tag en backup af filer og database.
2. Sørg for, at certifikatet er udstedt og virker, ved at åbne https://dinside.dk direkte.
3. Ret „WordPress-adresse“ og „Webstedsadresse“ under Indstillinger → Generelt til https.
4. Erstat gamle http-adresser i databasen, fx med WP-CLI: wp search-replace 'http://dinside.dk' 'https://dinside.dk' --dry-run – og kør kommandoen uden --dry-run, når resultatet ser rigtigt ud.
5. Opsæt en permanent 301-omdirigering fra http til https på serveren eller i hostingens kontrolpanel.
6. Tøm alle cachelag, og test forsiden, en underside og checkout i et privat vindue.

Når alt kører stabilt, kan du overveje HSTS: en header, der fortæller browseren, at sitet kun må åbnes over https i en given periode. Det lukker det korte øjeblik, hvor en besøgende ellers rammer http først. Start med en kort levetid, for HSTS kan ikke fortrydes hos besøgende, der allerede har modtaget headeren. Se guiden til sikkerhedsheadere.

Sådan tjekker du certifikatet selv

Klik på ikonet til venstre for adressen i browseren, og åbn oplysningerne om forbindelsen og certifikatet. Der står, hvem certifikatet er udstedt til (skal være dit domæne, gerne med både dinside.dk og www.dinside.dk), hvem der har udstedt det, og hvornår det udløber.

Vil du se det samme uden browser – fx fra et script, der kan advare dig – så gør openssl det på én linje:

echo | openssl s_client -connect dinside.dk:443 -servername dinside.dk 2>/dev/null | openssl x509 -noout -dates -issuer

Kommandoen viser gyldighedsperioden for det certifikat, verden faktisk får fra din server. Med -text i stedet for -dates -issuer får du alle felter, inklusive de domænenavne, certifikatet dækker.

To ting, folk ofte overser: udstedt til skal matche adressen i adresselinjen præcist – et certifikat til dinside.dk dækker ikke automatisk shop.dinside.dk – og kæden skal være komplet. Mangler mellemcertifikatet, kan sitet virke i én browser, der selv henter det manglende led, men fejle i ældre enheder, apps og nogle mailprogrammer. Testen på SSL Labs viser kæden og giver en karakter; A eller A+ er målet, og alt under B bør undersøges.

DV, OV, EV og wildcard – hvad skal du vælge?

Krypteringen er den samme i alle typer. Forskellen er, hvor grundigt udstederen har tjekket, hvem du er:

Type	Hvad der kontrolleres	Typisk brug
DV (domain validated)	Kun kontrol over domænet, automatisk	Langt de fleste hjemmesider og webshops
OV (organization validated)	Domæne plus manuel kontrol af virksomheden	Organisationer med krav om det
EV (extended validation)	Udvidet manuel kontrol af virksomheden	Banker og myndigheder med krav om det
Wildcard	Dækker alle underdomæner (*.dinside.dk)	Sites med mange underdomæner

DV er det, Let’s Encrypt udsteder, og det er rigeligt til langt de fleste. OV og EV gav tidligere en grøn bjælke i browseren, men den er fjernet, og i dag ser besøgende ingen forskel. Wildcard kan også fås gratis, men kræver DNS-baseret validering, så hosten eller DNS-udbyderen skal kunne sætte TXT-poster automatisk.

Kortere levetid for certifikater

Certifikaternes levetid bliver kortere. Pr. oktober 2026 udsteder Let’s Encrypt som standard certifikater, der gælder 90 dage, og 45-dages certifikater kan vælges til. Let’s Encrypt har annonceret, at standarden går til 64 dage i februar 2027 og 45 dage i februar 2028. Samtidig har CA/Browser Forum, der fastsætter branchens regler, sænket den maksimale levetid for alle offentlige certifikater til 200 dage fra marts 2026 med yderligere nedsættelser de kommende år.

Det gør manuel fornyelse urealistisk – og betyder, at valget af host i praksis også er et valg af, hvem der passer fornyelsen. Din opgave er at holde DNS korrekt, så valideringen kan gennemføres, og at reagere, hvis du modtager en advarsel om et certifikat, der snart udløber. Se også overvågning af certifikater og domæner.

Læs også

• Ordbog: Hosting-ordbogen
• Hub: Domæner, DNS og SSL
• SSL-certifikatet er udløbet – hvorfor fornyelsen fejlede
• Mixed content efter SSL – når hængelåsen ikke bliver hel
• „Din forbindelse er ikke privat“ – hvad advarslen betyder
• WordPress hosting hos Hostious – gratis SSL fra Let’s Encrypt, LiteSpeed og dansk support døgnet rundt

Ofte stillede spørgsmål om SSL/TLS

Er et gratis Let’s Encrypt-certifikat lige så sikkert som et betalt?

Ja. Krypteringen er nøjagtig lige stærk. Betalte OV- og EV-certifikater tilføjer en manuel kontrol af virksomheden, men browsere viser ikke længere nogen forskel, så for de fleste hjemmesider og webshops er DV fra Let’s Encrypt det rigtige valg.

Gør https mit site langsommere?

Ikke mærkbart. Moderne TLS er hurtigt, og https er en forudsætning for HTTP/2 og HTTP/3 i browserne, som gør sitet hurtigere end gammel http. Hastighedsargumentet peger i dag den modsatte vej.

Hvorfor siger browseren „ikke sikker“, når jeg har et certifikat?

Oftest skyldes det mixed content: siden hentes over https, men enkelte billeder eller scripts hentes stadig over http. Ret webadresserne i indholdet fra http:// til https://, så vender hængelåsen tilbage.

Dækker certifikatet også mine underdomæner?

Kun de navne, der står i det. Et almindeligt certifikat udstedes typisk til dinside.dk og www.dinside.dk; shop.dinside.dk skal have sit eget – eller du bruger et wildcard-certifikat, der dækker alle underdomæner.

Hvor længe gælder et SSL-certifikat?

Pr. oktober 2026 gælder et Let’s Encrypt-certifikat som standard 90 dage, og levetiden bliver gradvist kortere i de kommende år. Derfor skal fornyelsen være automatisk, så du kun skal sørge for, at domænets DNS peger rigtigt.