Du öppnar sajten en morgon, eller så ringer en kund och säger: "Jag försökte gå in på er hemsida, men det kom en röd varning och den sa att sidan inte är säker." Det hugger till, för sajten är ditt skyltfönster. Oftast är orsaken förvånansvärt enkel: ditt SSL-certifikat har gått ut. I den här artikeln går jag igenom vad som händer när ett SSL-certifikat går ut, hur du ställer diagnosen på ett par minuter, vad du kan åtgärda själv och vilken rutin du behöver för att slippa uppleva det igen. Jag heter Ümit Kırkoç och är webbdesigner och SEO/GEO-konsult. Jag arbetar ensam från Istanbul, och både när jag bygger hemsidor från grunden och när jag lagar befintliga sajter ser jag den här varningen ofta. Lösningen är nästan alltid enklare än man tror.
Först en kort förklaring. Ett SSL-certifikat är ett digitalt ID-kort som krypterar förbindelsen mellan din sajt och besökarens webbläsare och som talar om att "den här sajten är verkligen den som den utger sig för att vara". Det lilla hänglåset i adressfältet och "https" i början av adressen visar att ID-kortet fungerar. Kortet har ett giltighetsdatum, precis som ett pass eller ett körkort. När datumet passerar anser webbläsaren att kortet är ogiltigt och visar en helskärmsvarning innan besökaren överhuvudtaget kommer in på sidan.
Hur ser besökaren ett certifikat som har gått ut?
När en besökare försöker öppna din sajt får hen inte se din sida. I stället dyker en röd eller grå varningsruta upp. Formuleringen skiljer sig mellan webbläsarna, men betydelsen är densamma: "Anslutningen är inte privat", "Den här webbplatsen är inte säker" eller "Certifikatet har gått ut". De flesta letar inte efter knappen "Avancerat" för att ta sig förbi, och även de som hittar den litar inte på sajten längre. De trycker på bakåtpilen och väljer en konkurrent.
Bilden nedan visar en förenklad version av den skärm som en besökare ser när certifikatet har gått ut, med en påhittad sajt som exempel.
Det viktiga att lägga märke till är att varningen kommer före din sajt. Besökaren ser alltså varken dina produkter, ditt telefonnummer eller ditt kontaktformulär. Sajten kan fungera helt perfekt i bakgrunden, men ingen kommer in genom dörren på grund av varningen. Därför är det här problemet mycket mer akut än ett designfel eller ett stavfel.
Vad kostar varningen ditt företag?
Jag kan inte ge dig en siffra, eftersom varje sajt har olika många besökare och olika säljupplägg. Men logiken är enkel. Om du förväntar dig samtal, formulär eller beställningar via sajten står allt det still så länge varningen finns kvar. Om du kör Google-annonser kan du betala för varje klick och skicka folk rakt in i en varningsruta. Gamla kunder som ville titta in på sajten igen kan tänka "här har någon slarvat". När förtroendet väl har skakats tar det mycket längre tid att bygga upp det igen än att förnya certifikatet.
Sökmotorerna kan också påverkas. När Googles robotar möter en sajt med ett utgånget certifikat kan de ha svårt att läsa sidorna ordentligt. Ett kort avbrott ger vanligtvis ingen bestående skada, men om varningen står kvar i flera dagar kan din synlighet sjunka. Hur mycket kan jag inte lova eller förutsäga. Jag kan bara säga att risken blir mindre ju snabbare du löser problemet.
Varför går ett SSL-certifikat ut?
Certifikat utfärdas med flit för en begränsad tid. Poängen är att ett stulet certifikat, eller en sajt som byter ägare, inte ska ha ett gammalt ID-kort som gäller för evigt. Därför måste certifikatet förnyas innan det går ut. Förnyelsen sker på ett av två sätt, beroende på vem som sköter den: automatiskt eller för hand.
Många moderna webbhotell förnyar certifikatet åt dig automatiskt. Organisationer som erbjuder gratis certifikat (Let's Encrypt är det mest kända) ger ut certifikat med kort giltighetstid och sköter förnyelsen med en schemalagd uppgift. Betalda certifikat gäller ofta längre, till exempel ett år, och då kan det vara upp till dig att komma ihåg förnyelsen. Där börjar problemen: ingen kommer ihåg, och påminnelsemejlen går till en gammal adress.
Håll flödet i bilden i huvudet: certifikatet utfärdas, installeras på servern och förnyas innan det går ut. Brister en länk i kedjan visas varningen. Att certifikatet "har gått ut" betyder egentligen "ingen hade ansvaret för kedjan". Oftast är det inte certifikatet som är boven, utan att det var oklart vems uppgift det var.
Fyra vanliga orsaker
Bakom ett utgånget certifikat finns oftast något av följande. Den första är att automatisk förnyelse aldrig sattes upp: certifikatet installerades en gång för hand och glömdes bort. Den andra är att man bytte webbhotell men inte flyttade certifikatet till den nya servern. Den tredje är att påminnelsemejlen går till personen som en gång byggde sajten, till exempel en gammal byrå eller en adress som ingen längre läser. Den fjärde är att den automatiska förnyelsen körs, men att verifieringen misslyckas eftersom någon har ändrat inställningarna för domänen (DNS).
Diagnos först: är det verkligen certifikatets giltighetstid?
Varningen "inte säker" beror inte alltid på att certifikatet har gått ut. Att försöka laga fel sak är bortkastad tid, så ta först reda på vad du faktiskt har framför dig. På varningsskärmen står ofta en liten felkod. Om där står "expired" eller något som liknar "har gått ut" är saken klar. Står där något annat, följ flödet nedan.
Schemat sammanfattar vad du kan göra de första två minuterna. Kontrollera först att datorns klocka visar rätt tid. Det kan låta konstigt, men en dator med fel datum kan visa ett fullt giltigt certifikat som "utgånget". Öppna sedan sajten på en annan enhet, till exempel din mobil med mobildata. Visas varningen även där ligger problemet verkligen hos sajten.
Samma varning, olika orsaker
Varningstexterna i webbläsaren liknar varandra, så de blandas ofta ihop. Tabellen nedan sammanfattar de vanligaste fallen och vad de betyder.
Slutsatsen av tabellen är att ett utgånget certifikat är det lättaste att förstå och det lättaste att lösa. Att namnet inte stämmer är också vanligt: certifikatet har utfärdats för en annan adress, till exempel för adressen utan "www" medan besökaren skriver in den med "www". Blandat innehåll innebär att certifikatet är giltigt men att det på sidan ligger kvar en gammal, okrypterad bild eller fil, och då visas en varningsikon i stället för hänglåset. Varje fall har sin egen lösning.
Exempelscenario 1: En liten webbutik
Det här är ett hypotetiskt exempel och inget verkligt företag. Tänk dig en kvinna som säljer handgjorda smycken i en liten webbutik. Sajten byggdes för tre år sedan av en bekant som köpte ett betalt certifikat och sedan gick vidare till andra uppdrag. Påminnelsemejlen går till den personens adress. En lördagsmorgon, mitt i en period med många beställningar, skriver en kund till henne på Instagram: "Jag kommer inte in på er sajt, det står att den inte är säker."
Butiksägaren öppnar sajten på sin egen dator och ser samma varning. I webbhotellets panel tittar hon i SSL-delen och upptäcker att certifikatet gick ut förra veckan. Hon behöver aktivera webbhotellets gratis certifikat och slå på automatisk förnyelse. I panelen görs det med en enda knapp, och en halvtimme senare fungerar sajten igen. Men de beställningar som gick förlorade på lördagsmorgonen kommer inte tillbaka. Den verkliga lärdomen är att certifikatet hängde på en påminnelse. Hade automatisk förnyelse varit på från början hade ingenting hänt.
Exempelscenario 2: Ett tjänsteföretag som byter webbhotell
Också detta är ett hypotetiskt exempel. En redovisningsbyrå har en sajt som fungerar utan problem hos sitt gamla webbhotell. När det börjar bli dags för förnyelse bestämmer sig byrån för att flytta till ett billigare webbhotell och pekar om domänen till den nya servern. Sajten öppnas och allt ser normalt ut. Men certifikatet låg hos det gamla webbhotellet och flyttades aldrig med. Tre dagar senare ringer en kund och berättar att hen fick en varning.
Här är det inte frågan om att certifikatet "gick ut", utan att det aldrig fanns på den nya platsen. Lösningen är att aktivera ett certifikat hos det nya webbhotellet, och de flesta erbjuder ett gratis alternativ. Om byrån hade köpt certifikatet separat måste det installeras på den nya servern eller köpas på nytt. Lärdomen från scenariot är att certifikatet alltid ska stå på listan över saker att göra när man byter webbhotell.
Steg för steg: så åtgärdar du ett certifikat som har gått ut
Stegen nedan gäller för de flesta småföretags sajter. Även med begränsade tekniska kunskaper kan du göra de tre första stegen själv.
Ordningen i bilden är den som fungerar bäst när du har bråttom. Jag går igenom varje steg.
1. Ta reda på var certifikatet kommer ifrån och vem som har det
Börja med att ta reda på vem som har utfärdat certifikatet. På varningsskärmen, eller när du klickar på hänglåset i adressfältet, kan du se certifikatets uppgifter. Där står en utfärdare. I webbhotellets panel finns samma uppgift under "SSL/TLS" eller "Säkerhet". Om certifikatet kommer från ditt webbhotell, från ett separat företag eller från en skyddstjänst (som Cloudflare) avgör vilken väg du ska ta.
2. Förnya i webbhotellets panel
Hos de flesta webbhotell finns i panelen en knapp som heter något i stil med "Gratis SSL" eller "Förnya SSL". Du väljer din domän, trycker på knappen, och inom några minuter är certifikatet installerat. Hittar du inte den delen kan du skriva till webbhotellets support och be om hjälp: "SSL-certifikatet för min domän har gått ut, kan ni förnya eller installera om det?" Den enda meningen räcker oftast.
3. Om du använder ett betalt certifikat
Har ett certifikat som du köpt gått ut öppnar du en förnyelse hos företaget du köpte det av. Företaget vill verifiera dig, vilket vanligtvis sker med ett mejl till domänens ägare eller en liten post som ska läggas in i DNS. När verifieringen är klar får du en ny certifikatfil som du laddar upp till webbhotellet. Kör du fast här är det klokare att fråga en specialist än att prova i flera timmar.
4. Kontrollera installationen och resultatet
När certifikatet är installerat öppnar du sajten både med och utan "www". Prova också i ett privat fönster och på mobilen. Dyker hänglåset upp är allt väl. Ser du fortfarande en varning kan det vara webbläsarens cache som visar det gamla läget, och ett privat fönster hoppar över den.
5. Slå på automatisk förnyelse och sätt en påminnelse
Hoppa inte över det här steget om du vill slippa uppleva det igen. Finns inställningen "förnya automatiskt" i webbhotellets panel, slå på den. Har du ett betalt certifikat, lägg en påminnelse i kalendern minst en månad före utgångsdatum. Jag tar upp ämnet lite mer nedan.
Om du använder ett skyddslager som Cloudflare
Vissa sajter använder en mellanhand som Cloudflare framför webbhotellet. Då kan det finnas två separata certifikat: ett mellan besökaren och mellanhanden, och ett mellan mellanhanden och din server. Det som har gått ut är oftast certifikatet på servern, och om mellanhandens inställning står på "full" eller "full (strikt)" visas en varning. Då räcker det att förnya certifikatet på servern. Att i stället mjuka upp inställningen till "flexibel" är en tillfällig nödlösning som försämrar säkerheten. Om du inte är säker på vad du gör, rör inte den inställningen.
Certifikatet är förnyat men varningen finns kvar
Det här händer också ofta. Kontrollera tre saker. Den första är webbläsarens cache: prova i ett privat fönster. Den andra är att det gamla certifikatet fortfarande används någon annanstans, till exempel för e-postservern eller en underdomän (som blogg.dinsajt.se) som har ett eget certifikat som också måste förnyas. Den tredje är blandat innehåll: ligger det kvar en gammal bild eller fil på sidan som börjar med "http" visas inte hänglåset fullt ut. Använder du WordPress finns tillägg som rättar sådana adresser i bulk, men rör inte databasen utan att ha tagit en säkerhetskopia.
Automatisk eller manuell förnyelse?
Skillnaden mellan de två vägarna är egentligen om du litar på ditt minne eller på en fungerande rutin. Vid manuell förnyelse måste någon komma ihåg uppgiften varje år eller varje period, logga in på rätt ställe och ladda upp rätt fil. Vid automatisk förnyelse sköter systemet jobbet, och du behöver bara då och då kontrollera att det fungerar.
Slutsatsen av jämförelsen är tydlig: för små företag är automatisk förnyelse oftast säkrare. Men "automatisk" betyder inte "okontrollerad". Även automatisk förnyelse kan gå sönder, till exempel när domänens inställningar ändras eller när webbhotellet flyttas, och då slutar den tyst att fungera. Därför behöver du både en automatisk lösning och ett tillfälle då och då att se att den verkligen fungerar.
En kalender att följa innan certifikatet går ut
Tänk inte på certifikathantering som ett projekt, utan som en liten rutin. Det första du gör efter installationen är att slå på automatisk förnyelse och anteckna vilket datum certifikatet går ut. När slutdatumet närmar sig kontrollerar du om certifikatet har förnyats. Har det det uppdaterar du anteckningen, och har det inte det har du fortfarande tid.
Det fina med en kalender är att du upptäcker problemet innan varningen visas, inte efter. Ett fel som du hittar en månad före utgången är en timmes jobb. Ett fel som du upptäcker efter utgången betyder förlorade kunder.
Checklista så att det inte händer igen
Allt nedan kan ett litet företag sköta med några minuter i månaden. Inget av det kräver särskild kunskap.
Jag går igenom listan punkt för punkt. Ta reda på vem som har certifikatet: ligger det hos webbhotellet, hos ett separat företag eller hos en skyddstjänst? Se till att påminnelsemejlen går till en adress som du själv, eller någon du litar på, läser regelbundet. Adresser som tillhör en gammal byrå eller en anställd som har slutat är den vanligaste källan till problem. Se i panelen att automatisk förnyelse verkligen är på. Lägg certifikatet på listan när du byter webbhotell eller domän. Öppna sajten en gång i månaden, både med och utan "www" och både på dator och mobil, och kontrollera hänglåset. Slutligen kan du använda en gratis övervakningstjänst som skickar ett mejl innan certifikatet går ut.
Vad ser AI-assistenter och sökmotorer?
Idag hittar en del av dina kunder dig via Google och en del genom att fråga en AI-assistent som ChatGPT. När de verktygen försöker nå din sajt och stöter på ett ogiltigt certifikat kan de få svårt att läsa ditt innehåll. Det kan minska chansen att din sajt rekommenderas. Hur mycket kan ingen säga säkert, men det är rimligt att anta att en sajt som ser pålitlig ut oftare blir källa i ett svar.
Det här är en hypotetisk chatt, och assistenternas riktiga svar kan variera. Men det den visar är viktigt: folk ställer numera frågan till en assistent först, och svaret blir oftast "förnya certifikatet". Det visar också varför det är billigare och lugnare att ordna certifikatet i förväg.
Vanliga misstag
Samma fel dyker upp om och om igen. Det första är att råda besökare att trycka sig förbi varningen via "Avancerat > fortsätt ändå", eller att själv vänja sig vid det. Det löser inte problemet, det döljer det bara. Det andra är att glömma bort vem som förnyar certifikatet. Det tredje är att inte räkna med certifikatet när man flyttar webbhotell. Det fjärde är att lämna sajten på "http" för att slippa varningen. Det gör att webbläsarens stämpel "inte säker" blir permanent, och på sidor där man fyller i formulär är det en allvarlig förtroendeförlust. Det femte är att ändra inställningar eller installera tillägg utan att först ta en säkerhetskopia.
Det som förenar felen i bilden är att de alla beror på brådska och att ingen äger frågan. Den goda nyheten är att alla går att undvika. Att utse en ansvarig person, lägga en anteckning i kalendern och slå på automatisk förnyelse tar bort de flesta av dem.
Vad kan du göra själv, och när behövs en specialist?
Att hitta knappen "Förnya SSL" i webbhotellets panel och trycka på den klarar de flesta själva. Det gäller också att läsa varningen i webbläsaren, testa sajten på mobilen och lägga en påminnelse i kalendern. Löser det problemet behöver du ingen specialist.
I följande lägen är det rimligt att be om hjälp. Om certifikatet har förnyats men varningen ändå inte försvinner. Om du har flera underdomäner, en separat e-postserver eller ett skyddslager. Om du inte har tillgång till webbhotellets panel och inte kan nå personen som byggde sajten. Om du tar emot betalningar på sajten, eftersom ett misstag där blir dyrare. Om du planerar att byta adress eller webbhotell. I sådana fall hittar en specialist inte bara felet, utan ser också till att nästa förnyelse inte blir en överraskning. Om du undrar om du har några juridiska skyldigheter kring dataskydd eller liknande, fråga en jurist. Jag kan hjälpa till på den tekniska sidan.
Vad styr kostnaden?
Kostnaden för att lösa ett SSL-problem är inte en enda siffra, eftersom situationen skiljer sig mycket mellan sajter. Jag listar vad som styr den. Om certifikatet kommer gratis från webbhotellet eller är köpt separat. För hur många domäner och underdomäner certifikat behövs. Om problemet bara är att certifikatet gått ut, eller om det även finns blandat innehåll eller felaktiga inställningar. Om du själv har tillgång till webbhotellet. Om sajten tar emot betalningar eller har inloggade medlemmar. Och omfattningen på uppdraget, om du vill ha en engångsreparation eller regelbunden kontroll.
I ett enkelt fall där certifikatet bara har gått ut går jobbet vanligtvis fort. En komplicerad flytt eller flera domäner tar längre tid. Jag börjar aldrig arbeta utan att först ge dig ett tydligt omfång och ett pris, och jag säger öppet vad som får det att variera.
Så arbetar jag med dig
Jag arbetar själv, det vill säga den du pratar med är också den som gör jobbet. Processen ser oftast ut så här. Först frågar jag kort om din sajt och varningen du fått. Jag kontrollerar om problemet verkligen beror på certifikatet. Jag skriver i klartext vad som behöver göras, hur lång tid det tar och vad som påverkar kostnaden. Efter ditt godkännande åtgärdar jag felet, testar sajten på olika enheter och ser till att den automatiska förnyelsen fungerar. Om du vill lämnar jag en skriftlig notering om vem som har certifikatet, när det går ut och vem som ansvarar. Då får ingen en överraskning vid nästa förnyelse.
Behöver sajten också en ny design eller en ny struktur lägger jag naturligt in certifikatet i det arbetet. Men om du bara behöver en reparation säger jag det ärligt och lägger inte till onödigt arbete.
Vanliga frågor
Stängs sajten helt när SSL-certifikatet har gått ut?
Din sajt fortsätter att fungera på servern, så dina data försvinner inte. Men besökarna ser en helskärmsvarning i webbläsaren och de flesta kommer inte in. I praktiken beter sig sajten som om den vore stängd. När certifikatet har förnyats blir allt som vanligt igen.
Hur lång tid tar det att förnya ett certifikat som har gått ut?
Att aktivera ett gratis certifikat i webbhotellets panel tar oftast från några minuter till en timme. Behövs verifiering för ett betalt certifikat kan det ta längre tid. Jag vill inte lova en exakt tid, eftersom det beror på verifieringsmetoden och webbhotellet.
Jag har förnyat certifikatet men det står fortfarande inte säker, varför?
Troligen något av tre skäl: webbläsarens cache, att det gamla certifikatet används någon annanstans, eller att en bild eller fil på sidan ligger kvar med "http". Börja med att öppna sajten i ett privat fönster och på mobilen. Finns problemet kvar behöver sidorna genomsökas efter blandat innehåll.
Räcker ett gratis certifikat, eller bör jag köpa ett betalt?
För de flesta företagssajter räcker ett gratis certifikat när det gäller krypteringen. Betalda certifikat erbjuder oftare extra funktioner som företagsverifiering, garantier eller support. Vilket som passar dig beror på typen av sajt och om du tar emot betalningar.
Tappar jag min placering i Google medan varningen visas?
Ett kort avbrott ger vanligtvis ingen bestående skada, men om varningen står kvar länge kan sökmotorn få svårt att läsa dina sidor och din synlighet kan sjunka. Hur mycket går inte att säga i förväg. Det bästa skyddet är att lösa problemet snabbt.
Hur får jag veta när certifikatet går ut?
Klicka på hänglåset i adressfältet och titta på certifikatets uppgifter, där står slutdatumet. Du hittar samma uppgift i SSL-delen i webbhotellets panel. Anteckna datumet i din kalender.
Vad händer med SSL när jag byter webbhotell?
Certifikatet är oftast knutet till den gamla servern och flyttas inte automatiskt till den nya. Vid flytten behöver du aktivera eller installera certifikatet på nytt hos det nya webbhotellet. Det säkraste är att lägga det på flyttlistan redan från början.
Ska jag göra det här själv eller lämna över till dig?
Om problemet bara är att certifikatet har gått ut och du har tillgång till webbhotellets panel kan du lösa det själv. Har du en sajt som tar emot betalningar, flera domäner eller en varning som inte försvinner är det tryggare att rådfråga en specialist. Är du osäker kan du skriva till mig, så tittar vi på situationen tillsammans.
Kämpar du med en SSL-varning, eller vill du slippa få den igen, kan du läsa om min tjänst för att bygga och reparera hemsidor och kontakta mig. Jag lyssnar på din situation och förklarar i klartext vad som behöver göras.