Ikke sikker hjemmeside: hvorfor browseren advarer, og sådan fjerner du mærkatet i WordPress

Kort svar: Står der “Ikke sikker” i adresselinjen, leverer din hjemmeside siden over http i stedet for https. Enten mangler domænet et certifikat, eller også findes certifikatet, men siden sendes stadig ukrypteret, fordi WordPress-adressen står på http, eller fordi der ikke omdirigeres. Mærkatet forsvinder, når certifikatet er udstedt, begge adresser i WordPress står på https, og alle http-adresser omdirigeres. Det tager typisk under en time.

Kontrolgrundlag: Serversvarene er hentet live fra hostious.io den 27. oktober 2026 (omdirigeringen fra http og HSTS-headeren på https). Priser og egenskaber er aflæst på /wordpress-hosting/, /woocommerce-hosting/, /wordpress-serviceaftale/ og /gratis-migrering/ samme dag.

En ikke sikker hjemmeside bliver markeret af browseren, før den besøgende når at læse en linje. I Chrome og Edge står der “Ikke sikker” til venstre for adressen, Safari skriver det samme, og Firefox viser en overstreget hængelås. Siden virker, men mærkatet får mange til at lukke fanen, og formularer med kodeord eller kortoplysninger bliver markeret med rødt.

Denne guide viser, hvad mærkatet betyder, hvordan det adskiller sig fra de advarsler, der spærrer hele siden, de fire årsager og rettelsen i WordPress trin for trin. Undervejs tester du med de samme kommandoer, som vi bruger, når vi kontrollerer et site efter en flytning.

Hvad “Ikke sikker” betyder – og hvad det ikke betyder

Mærkatet siger kun én ting: forbindelsen mellem browseren og serveren er ikke krypteret. Alt, der sendes, kan læses og ændres undervejs, fx på et offentligt wifi. Browseren siger ikke noget om, at siden er hacket, har virus eller snyder. En hjemmeside kan være helt ufarlig og alligevel “ikke sikker”, og den kan være farlig med en hel hængelås.

Der findes tre forskellige advarsler, og de har hver sin årsag. Blander man dem sammen, retter man det forkerte sted.

Hvad du ser	Hvad det betyder	Siden vises?	Guide
“Ikke sikker” ved adressen	Siden sendes over http uden kryptering	Ja	Denne guide
Hængelås med advarsel eller “ikke helt sikker”	Siden er på https, men henter billeder eller scripts over http	Ja	Mixed content i WordPress
Helsides advarsel “Din forbindelse er ikke privat”	Certifikatet er udløbet, dækker et andet navn eller er ikke betroet	Nej, der skal klikkes videre	Forbindelsen er ikke privat

De to sidste advarsler forudsætter altså, at der allerede er https på domænet. “Ikke sikker” uden andet er den mest grundlæggende: siden er slet ikke kommet over på https endnu, eller den er kommet halvt.

De fire årsager til en ikke sikker hjemmeside

I praksis dækker mærkatet over fire situationer. De tre første ligger hos dig eller din hosting, den fjerde hos den besøgende.

1. Domænet har intet certifikat. Serveren kan kun svare på http. Det ses ved, at https://ditdomæne.dk giver en fejl eller en helsides advarsel i stedet for siden. Løsningen er et certifikat, og det er gratis og automatisk hos de fleste udbydere i dag. Hvad certifikatet indeholder, og hvordan krypteringen virker, står i hvad er SSL.
2. Certifikatet findes, men siden sendes stadig på http. Den hyppigste årsag i WordPress. Certifikatet er installeret, https-versionen virker, men gamle links, Google og bogmærker peger på http, og ingen sender den besøgende videre. Ofte står WordPress-adressen og webstedsadressen også stadig på http, så selv menuens links fører tilbage til den usikre version.
3. Siden er på https, men indholdet er det ikke. Billeder, stylesheets eller scripts hentes over http, og hængelåsen bliver ikke hel. Det er mixed content og har sin egen guide, som er linket i tabellen ovenfor.
4. Den besøgende skrev selv http. Et link i en gammel mail eller et bogmærke åbner http-versionen. Omdirigerer serveren ikke, bliver den besøgende på den usikre side. Med omdirigering og HSTS (trin 5 nedenfor) sker det ikke igen.

Udløbne eller forkerte certifikater giver ikke mærkatet “Ikke sikker”, men den helsides advarsel. Fornyelsen og de fejl, der stopper den, står i guiden om et ssl certifikat udløbet.

Diagnosen på to minutter

Før du ændrer noget, skal du vide, hvilken af de fire situationer du står i. Det kræver kun en browser og en terminal.

1. Læs adresselinjen. Klik i feltet, så den fulde adresse vises. Står der http://, er siden ikke på https. Står der https:// sammen med en advarsel, er det mixed content eller certifikatet, ikke denne guide.
2. Skriv https:// foran domænet. Vises siden med en hel hængelås, findes certifikatet, og du mangler kun omdirigering og WordPress-adresserne (situation 2). Får du en helsides advarsel eller “kan ikke oprette forbindelse”, mangler certifikatet (situation 1).
3. Test omdirigeringen. Kommandoen curl -sI http://ditdomæne.dk/ viser, hvad serveren svarer, uden at hente siden. Svaret skal være en 301 med en Location, der peger på https-versionen. Får du 200, leverer serveren siden på http, og der omdirigeres ikke.
4. Tjek HSTS på https. Kør samme kommando mod https://ditdomæne.dk/. Headeren strict-transport-security betyder, at browseren selv vælger https fremover, også når den besøgende skriver http.

Sådan ser det ud, når begge dele er på plads. Svarene er hentet fra hostious.io i dag:

Svarer serveren 301 med Location på https, og giver https-versionen 200 med HSTS, er omdirigeringen i orden. Så er de eneste mulige rester mixed content og gamle http-adresser inde i WordPress.

Sådan fjerner du mærkatet i WordPress: fem trin

1. Få certifikatet udstedt

Hos Hostious er certifikatet med i alle planer og fornyes automatisk; det udstedes, så snart domænet peger på serveren. Hos andre udbydere ligger det typisk under domænet eller SSL i kontrolpanelet. Test med https:// i browseren, før du går videre. Virker https ikke, hjælper det ikke at ændre noget i WordPress, det låser tværtimod admin-adgangen.

2. Sæt begge adresser i WordPress til https

Gå til Indstillinger → Generelt. Her står WordPress-adresse (URL) og Webstedsadresse (URL). Skift http:// til https:// i begge felter, og gem. WordPress logger dig ud, fordi login-cookien skifter, og det er forventet. Fra nu af skriver WordPress https i alle links, det selv danner: menu, billeder, feeds og login.

Før du ændrer noget i Indstillinger → Generelt: tag en backup, og hav adgang til filerne via SFTP eller kontrolpanelet. Skriver du en adresse forkert, kan du ikke logge ind igen, og så rettes den i wp-config.php med linjerne define('WP_HOME', 'https://ditdomæne.dk'); og define('WP_SITEURL', 'https://ditdomæne.dk');.

3. Omdiriger alle http-adresser til https

Adresserne i WordPress ændrer ikke, hvad serveren gør, når nogen beder om http-versionen. Det styrer omdirigeringen. På en LiteSpeed- eller Apache-server lægges den i .htaccess, over blokken # BEGIN WordPress:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Mange kontrolpaneler har en knap til det samme under domænet eller SSL, og så skal reglen ikke stå i filen også. Brug altid 301, ikke 302; forskellen og testen står i guiden om 301 redirect. Ender siden i en løkke efter ændringen, er det næsten altid en proxy, der taler http til serveren; se afsnittet om Cloudflare nedenfor.

4. Ret http-adresserne inde i indholdet

Billeder og links, der er sat ind, mens siden var på http, ligger som http://ditdomæne.dk/… i databasen. Dem retter skiftet i trin 2 ikke. Det er her, den halve hængelås kommer fra, og fremgangsmåden med søg-og-erstat og de steder, adresserne gemmer sig, står i guiden om mixed content i WordPress. Spring ikke trinnet over: Google ser siden som sikker, men besøgende ser advarslen.

5. Slå HSTS til, og test

HSTS er én header, der beder browseren om altid at bruge https på domænet. Den fjerner den sidste rest af situation 4: den besøgende, der skriver http, bliver sendt til https, før forespørgslen forlader computeren. Headeren sættes i .htaccess eller i kontrolpanelet, og de sikre værdier og rækkefølgen af de andre headere står i guiden om sikkerhedsheadere i WordPress. Test bagefter i et privat vindue: skriv http://ditdomæne.dk, og se, at adresselinjen ender på https med hel hængelås.

Trin	Hvor	Hvad der ellers sker
Certifikat	Kontrolpanel eller udbyder	https virker ikke, alt andet er spildt
Adresser på https	Indstillinger → Generelt	Menuer og billeder peger tilbage på http
Omdirigering 301	.htaccess eller kontrolpanel	Gamle links og Google-resultater lander på http
Indhold rettet	Søg-og-erstat i databasen	Halv hængelås med advarsel
HSTS	.htaccess eller kontrolpanel	Besøgende, der skriver http, ser siden usikkert én gang

Bag Cloudflare eller en anden proxy

Kører domænet gennem Cloudflare, ligger der to forbindelser: besøgende til Cloudflare og Cloudflare til din server. Står SSL-tilstanden på Flexible, er den første krypteret og den anden ikke, og så ser serveren alle forespørgsler som http. Resultatet er enten en omdirigeringsløkke eller en side, der ser sikker ud udefra, men sendes ukrypteret det sidste stykke. Sæt tilstanden til Full (strict), og lad serveren have sit eget certifikat; forskellen på de tre tilstande står i guiden om Cloudflare SSL. Får du fejlen med for mange omdirigeringer lige efter skiftet, er der en opskrift i guiden om ERR_TOO_MANY_REDIRECTS i WordPress.

Hvad mærkatet koster: besøgende, Google og betaling

Mærkatet er ikke kosmetik. Det påvirker tre ting direkte.

• Besøgende. Formularer på en http-side markeres med rødt, så snart der skrives i et felt til kodeord eller kort. Kontaktformularer, nyhedsbreve og login mister henvendelser, uden at du kan se det i statistikken.
• Google. https har været et signal i Googles rangering siden 2014, og Chrome har markeret alle http-sider siden 2018. En side på http konkurrerer mod sider, der er sikre, og taber ved lige vilkår. Resten af grundlaget for synlighed står i guiden om SEO til WordPress.
• Betaling. Betalingsvinduer og kortindløsere kræver https på den side, der kalder dem. En webshop på http får enten afvist betalingen eller sendt kunden til en ekstern side med et andet domæne i adressen, og det koster ordrer. Hostings krav til en butik, der skal tage imod betaling, står på siden om WooCommerce hosting.

Efter en flytning eller et nyt domæne

Mærkatet dukker tit op lige efter, at et site er flyttet. Certifikatet følger ikke med serveren, men udstedes på ny, når domænet peger på den nye adresse. Peger DNS på den nye server, før certifikatet er udstedt, ligger siden på http i mellemtiden. Rækkefølgen er derfor: kopi på ny server, certifikat udstedt på en midlertidig adresse eller lige efter DNS-skiftet, derefter adresser, omdirigering og HSTS. Ved et domæneskifte kommer der oven i det omdirigeringer fra det gamle domæne, og dem står der en plan for i guiden om at flytte WordPress til nyt domæne.

Vil du slippe for at holde styr på certifikat, adresser og omdirigering selv? Hostious flytter dit site med gratis migrering: vi kopierer, du tester på en midlertidig adresse, og vi kontrollerer SSL og de vigtigste sider igen efter DNS-skiftet. Certifikatet fornyes automatisk i alle planer – WordPress hosting fra 39 kr./md. ekskl. moms, og fra WP StartUp til 89 kr./md. er WordPress serviceaftale med, så sitet også bliver opdateret og scannet hver dag.

Tjekliste: hold hængelåsen hel

• https://ditdomæne.dk viser siden med hel hængelås, både med og uden www; valget mellem de to står i guiden om www eller uden www.
• curl -sI mod http giver 301 med Location på https.
• WordPress-adresse og webstedsadresse står begge på https.
• Ingen http-adresser til eget domæne i databasen.
• HSTS-header på https-svaret.
• Certifikatets udløb overvåges, så fornyelsen ikke fejler ubemærket; se guiden om certifikater, domæner og kortudløb.
• Nye plugins og temaer indsætter ikke http-adresser; test i et privat vindue efter hver installation.

Læs også

• Hub: WordPress-fejlfinding
• “Din forbindelse er ikke privat” – hvad advarslen betyder, og hvordan du fjerner den
• Mixed content efter SSL – når hængelåsen ikke bliver hel
• SSL-certifikatet er udløbet – hvorfor fornyelsen fejlede
• Hvad er SSL/TLS? Hængelåsen forklaret
• Sikkerhedsheadere: HSTS, nosniff og vejen til CSP
• WordPress hosting hos Hostious – gratis SSL, der fornyes automatisk, daglig backup og dansk support døgnet rundt fra 39 kr./md. ekskl. moms

Ofte stillede spørgsmål om en ikke sikker hjemmeside

Er en “ikke sikker” hjemmeside farlig at besøge?

Ikke i sig selv. Mærkatet betyder, at forbindelsen er ukrypteret, ikke at siden er skadelig. Risikoen opstår, når du skriver noget: kodeord, kortnumre og formularer kan læses undervejs, især på offentligt wifi. Læs gerne, men indtast ikke oplysninger på en side uden hængelås.

Jeg har købt et SSL-certifikat, men siden siger stadig “Ikke sikker”. Hvorfor?

Fordi certifikatet kun gør https muligt; det tvinger ikke nogen derover. Så længe WordPress-adressen står på http, og serveren ikke omdirigerer, leveres siden stadig ukrypteret til alle, der kommer via gamle links. Følg trin 2, 3 og 4 ovenfor, så forsvinder mærkatet.

Hvorfor er siden sikker på min computer, men ikke på telefonen?

Typisk fordi telefonen åbner et gammelt bogmærke eller et link med http, og serveren ikke omdirigerer. Computeren har måske husket https fra et tidligere besøg. En 301-omdirigering og HSTS gør, at alle enheder ender samme sted.

Hvor lang tid tager det at fjerne mærkatet?

Findes certifikatet, tager de fire sidste trin under en time på et almindeligt site. Mangler certifikatet, kommer der ventetid på udstedelsen, som normalt er minutter, når domænet peger rigtigt. Google opdaterer sine resultater til https-adresserne over de følgende uger, men besøgende ser rettelsen med det samme.

Skal jeg slette http-versionen fra Google?

Nej. Omdirigeringen med 301 fortæller Google, at adressen er flyttet permanent, og resultaterne skifter selv til https. Tilføj https-versionen i Search Console som ny ejendom, så du kan følge med, og lad den gamle stå.

Hvem tilbyder hosting, hvor hjemmesiden ikke bliver markeret “Ikke sikker”?

Hostious. Certifikatet er med i alle planer og fornyes automatisk, serveren omdirigerer til https, og ved gratis flytning kontrollerer vi SSL og de vigtigste sider igen efter DNS-skiftet. WordPress hosting koster fra 39 kr./md. ekskl. moms, WooCommerce hosting fra 59 kr./md., og supporten svarer på dansk døgnet rundt.