Vad är SSL? SSL, TLS och HTTPS förklarat

SSL är det gamla namnet på tekniken som krypterar trafiken mellan din webbläsare och en webbplats. Själva SSL-protokollet är avvecklat sedan länge och har ersatts av efterföljaren TLS, men namnet lever kvar, till exempel i ”SSL-certifikat”. När en adress börjar med https:// är förbindelsen krypterad med TLS. Då kan ingen på vägen, till exempel på ett öppet wifi, läsa eller ändra det du skickar.

SSL, TLS och HTTPS: vad är skillnaden?

• SSL (Secure Sockets Layer) togs fram av Netscape i mitten av 1990-talet. Alla SSL-versioner har kända säkerhetsbrister och används inte längre.
• TLS (Transport Layer Security) är efterföljaren, standardiserad av IETF 1999. Det är TLS som krypterar trafiken i dag.
• HTTPS är vanlig webbtrafik (HTTP) som skickas genom en TLS-förbindelse, normalt via port 443.

Så fungerar en krypterad anslutning

TLS använder två sorters kryptering. Asymmetrisk kryptering har ett nyckelpar: en publik nyckel som alla får se och en privat nyckel som bara servern har. Den är långsam men gör det möjligt för två parter som aldrig har träffats att lita på varandra och komma överens om en hemlighet. Symmetrisk kryptering använder samma nyckel åt båda hållen och är snabb. Därför används den asymmetriska delen bara i början, för att ta fram en sessionsnyckel. Resten av besöket krypteras symmetriskt med den.

Handskakningen i TLS 1.3

1. ClientHello. Webbläsaren berättar vilka krypteringsmetoder den klarar och skickar med sin del av nyckelutbytet.
2. ServerHello. Servern väljer metod, skickar sin del av nyckelutbytet och sitt certifikat. Från och med här är allt krypterat.
3. Kontroll. Webbläsaren kontrollerar att certifikatet är utfärdat av en betrodd certifikatutfärdare, gäller rätt adress och inte har gått ut. Båda sidor räknar fram samma sessionsnyckel och bekräftar med ett Finished-meddelande.
4. Krypterad trafik. Sidan laddas, krypterad med sessionsnyckeln.

I TLS 1.3 tar handskakningen bara en rundresa mellan dator och server, mot två i TLS 1.2. Det är en del av förklaringen till att krypterade sidor inte längre är märkbart långsammare än okrypterade.

Vad TLS skyddar mot

Utan kryptering kan den som sitter mellan dig och servern läsa och ändra trafiken. Det kallas mellanhandsattack (man-in-the-middle) och är enklast på öppna nätverk, till exempel på ett kafé eller en flygplats. TLS gör att en sådan mellanhand bara ser vilken server du ansluter till, inte vilka sidor du läser eller vad du skriver i formulär. Mer om angrepp som det här finns i Vad är en cyberattack? Vill du dölja även vilken server du besöker behövs något mer, till exempel en VPN.

Vad certifikatet bevisar, och vad det inte bevisar

Ett certifikat visar att den som driver servern kontrollerar domännamnet. Det säger ingenting om att webbplatsen är seriös. Bedragare använder https lika ofta som alla andra, eftersom certifikat i dag är gratis och skapas automatiskt. Kontrollera därför alltid själva adressen, särskilt när du ska logga in eller betala.

Ett certifikat för flera adresser

• SAN-certifikat listar flera namn i samma certifikat, till exempel exempel.se och www.exempel.se.
• Wildcard-certifikat gäller alla underdomäner på en nivå, till exempel *.exempel.se för både butik.exempel.se och blogg.exempel.se. Själva exempel.se och underdomäner i flera nivåer måste läggas till separat.

Certifikatkedjan

Ditt certifikat är signerat av en mellanliggande certifikatutfärdare, som i sin tur är signerad av ett rotcertifikat. Rotcertifikaten finns förinstallerade i operativsystemet och webbläsaren, i ett så kallat rotlager. Webbläsaren följer kedjan uppåt tills den hittar en rot den litar på. Saknas mellanledet på servern kan vissa enheter visa fel, trots att certifikatet i sig är giltigt.

Vart tog hänglåset vägen?

Länge visades ett hänglås i adressfältet på krypterade sidor. Många trodde att hänglåset betydde att sidan var pålitlig, och enligt Google förstod få att man kunde klicka på det för att se inställningar och information. I Chrome 117, som släpptes i september 2023, byttes det därför mot en neutral inställningsikon. Kryptering är i dag det normala, så webbläsarna markerar i stället det som avviker: en sida utan https får varningen ”Inte säker”.

Certifikatens livslängd krymper

Ett certifikat som gäller kort tid gör mindre skada om nyckeln läcker. Branschorganet CA/Browser Forum har därför kortat den längsta tillåtna giltighetstiden steg för steg.

Samtidigt kortas tiden som en certifikatutfärdare får återanvända en kontroll av att du äger domänen, till 10 dagar från 15 mars 2029. Let’s Encrypt, som har utfärdat 90-dagarscertifikat från början, går längre än kraven:

• 13 maj 2026: den frivilliga profilen tlsserver började ge 45-dagarscertifikat.
• 10 februari 2027: standardprofilen går ner till 64 dagar.
• 16 februari 2028: standardprofilen går ner till 45 dagar.

Den som förnyar certifikat för hand behöver alltså automatisera.

Chrome varnar för sidor utan https

Inställningen ”Använd alltid säkra anslutningar” gör att Chrome först försöker öppna sidor med https och varnar innan en publik sida öppnas utan kryptering. Sedan Chrome 147 i april 2026 är den påslagen för användare med Förbättrat skydd i Safe Browsing. Enligt Googles plan blir den standard för alla med Chrome 154. Den versionen kom i september 2026, när Chrome gick över till nya versioner varannan vecka. Lokala adresser och intranät undantas, och Chrome varnar inte gång på gång för en http-sida du besöker ofta. Enligt Google går redan 95–99 procent av sidvisningarna i Chrome över https.

Kryptering som klarar kvantdatorer

En tillräckligt stor kvantdator skulle kunna knäcka de nyckelutbyten som TLS använder i dag. Någon kan alltså spara krypterad trafik nu och dekryptera den senare. Därför använder Chrome sedan version 131 (november 2024) ett hybridutbyte, X25519MLKEM768, som kombinerar en klassisk metod med den kvantsäkra ML-KEM. Enligt Cloudflare skyddades 52 procent av den mänskliga trafiken till deras nätverk så under 2025. Som besökare behöver du inte göra något. Det sker automatiskt när både webbläsare och server stöder det.

Så kontrollerar du en webbplats

• Titta på adressen. Den ska börja med https:// och domännamnet ska vara exakt rätt, utan extra ord eller stavfel.
• Klicka på ikonen till vänster om adressen. Där ser du om anslutningen är säker och kan öppna certifikatet för att se vem det är utfärdat till och när det går ut.
• Får du varningen ”Din anslutning är inte privat” ska du inte fortsätta, och absolut inte logga in eller betala. Varningen betyder att certifikatet är fel, har gått ut eller att någon försöker avlyssna trafiken.

För dig som har en egen webbplats

Skaffa och installera ett certifikat

1. Välj väg. De flesta webbhotell har gratis certifikat från Let’s Encrypt inbyggt, med automatisk förnyelse. Slå på det i kontrollpanelen. Har du en egen server använder du ett ACME-program, till exempel Certbot, som hämtar och förnyar certifikatet åt dig.
2. Bevisa att du äger domänen. Utfärdaren kontrollerar det automatiskt, genom en fil på webbservern eller en post i DNS. Wildcard-certifikat från Let’s Encrypt kräver DNS-varianten.
3. Köper du ett certifikat skapar du först en certifikatsignaturbegäran (CSR) på servern. Den innehåller den publika nyckeln och domännamnet. Den privata nyckeln lämnar aldrig servern.
4. Installera hela kedjan, alltså ditt certifikat och mellanliggande certifikat, och testa sajten i flera webbläsare.

Efter installationen

• Omdirigera all trafik från http till https med en permanent omdirigering (301).
• WordPress: ändra både WordPress-adress och Webbplatsadress till https under Inställningar, Allmänt. Byt sedan gamla http-länkar i innehållet.
• Blandat innehåll. Bilder, skript och typsnitt som fortfarande laddas via http gör att webbläsaren blockerar dem eller visar varningar. Sök igenom sidorna efter http://.
• Stäng av TLS 1.0 och 1.1 och tillåt TLS 1.2 och 1.3.
• Slå på HSTS när allt fungerar. Då vägrar webbläsaren att ansluta till sajten utan kryptering.

Google har sedan 2014 räknat https som en signal i sökrankningen. Den viktigaste effekten i dag är ändå att besökare slipper varningen ”Inte säker”.

Certifikat bygger på hashfunktioner som SHA-256. Vill du se hur en hash fungerar kan du prova vårt hashverktyg.

Vanliga frågor om SSL

Är SSL och TLS samma sak?

Nej, men orden används som synonymer. TLS är efterföljaren till SSL. Det som kallas SSL-certifikat i dag är certifikat som används med TLS.

Betyder https att sidan är säker?

Det betyder att trafiken är krypterad på vägen. Det säger inget om vem som driver sidan, så en bluffsajt kan också ha https.

Kostar ett SSL-certifikat pengar?

Nej, inte nödvändigtvis. Domänvaliderade certifikat från Let’s Encrypt är gratis, och hos de flesta webbhotell ingår de i priset. Betalda certifikat behövs främst när en organisation vill ha OV- eller EV-validering.

Varför slutar ett certifikat att gälla?

Kort giltighetstid begränsar skadan om en nyckel läcker och tvingar fram automatisk förnyelse. Därför kortas livslängden steg för steg fram till 2029.

Vad händer om mitt certifikat går ut?

Besökarna får en helsidesvarning och de flesta lämnar sajten. Sajten fungerar igen så fort ett nytt certifikat är installerat. Med automatisk förnyelse ska det inte hända.

Vilken port använder https?

Port 443. Vanlig http använder port 80.

Källor

• IETF: RFC 8446, TLS 1.3 (augusti 2018)
• IETF: RFC 9846, uppdaterad specifikation av TLS 1.3 (2026)
• The SSL Store: SSL- och TLS-versionernas historia
• DNSimple: certifikatens nya giltighetstider 2026–2029 (CA/B Forum, ballot SC-081)
• DigiCert: återanvändning av domänvalidering 2026–2029
• Sectigo: certifikatens livslängd historiskt
• ISRG/Let’s Encrypt: From 90 to 45 (2 december 2025)
• Let’s Encrypt
• Google: HTTPS by default (28 oktober 2025)
• CyberInsider: Chrome använder https som standard från oktober 2026
• Chrome-schema: versioner varannan vecka från september 2026, Chrome 154 stabil 22 september
• BetaNews: Chrome 117 byter ut hänglåset (3 maj 2023)
• Google Security Blog: ML-KEM i Chrome 131 (13 september 2024)
• Heise: Cloudflare, 52 procent av trafiken postkvantkrypterad (2025)
• Google Search Central: HTTPS as a ranking signal (augusti 2014)