Varför säger webbläsaren att min hemsida är "Inte säker"?

En röd varning i adressfältet – och plötsligt känns hela sidan opålitlig

Du klickar in på din egen hemsida en vanlig tisdag och istället för det där diskreta hänglåset ser du "Anslutningen är inte säker" bredvid adressen. Kanske har en kund ringt och undrat samma sak. Första tanken är oftast panik: har jag blivit hackad? Ligger kunduppgifter öppna? I nio fall av tio är svaret nej – men varningen är fortfarande ett problem du behöver åtgärda, för besökare läser den som "den här sidan går inte att lita på" och lämnar innan de ens läst vad du säljer.

Vad varningen faktiskt betyder

Webbläsare kontrollerar om trafiken mellan besökarens dator och din hemsida är krypterad. Är den det syns https:// och ett hänglås i adressfältet. Är den inte det, eller bara delvis det, varnar webbläsaren. Det handlar alltså inte om att din sida är "smittad" eller att någon brutit sig in – det handlar om att en teknisk inställning saknas eller är halvvägs konfigurerad.

Den vanligaste orsaken: inget giltigt SSL-certifikat

SSL (eller egentligen dess efterföljare TLS) är certifikatet som krypterar trafiken. Utan det, eller om det har gått ut, visar webbläsaren en tydlig varning istället för hänglåset. Certifikat kan gå ut utan att någon märker det – precis som ett domännamn kan glömmas bort, kan ett certifikat behöva förnyas, och om webbhotellet inte sköter det automatiskt står du plötsligt utan skydd.

Den andra vanliga orsaken: "mixed content"

Har du https på sidan men varningen ändå dyker upp, eller bara ett gult utropstecken istället för fullt hänglås, handlar det ofta om mixed content: en bild, ett typsnitt eller ett skript på sidan laddas fortfarande via det gamla, okrypterade http istället för https. Webbläsaren flaggar det eftersom en enda okrypterad resurs är nog för att en angripare i teorin ska kunna manipulera sidan.

Varför det kostar dig kunder – inte bara en varningsruta

En säkerhetsvarning gör exakt samma sak som en långsam hemsida: den får besökaren att tvivla innan de ens hunnit läsa vad du erbjuder. Många webbläsare blockerar dessutom formulär på osäkra sidor helt, vilket betyder att kontaktformulär eller bokningsformulär kan sluta fungera utan att du märker det. Google använder också https som en rankingfaktor – en osäker sida kan alltså tappa placering i sökresultaten samtidigt som den skrämmer bort de besökare som faktiskt hittar dit.

Så fixar du det

Om du helt saknar SSL-certifikat

Kontakta ditt webbhotell. De allra flesta erbjuder i dag ett gratis certifikat (oftast Let's Encrypt) som går att aktivera med några klick i kontrollpanelen, eller som en snabb fråga i deras support. Efter aktivering kan det ta allt från några minuter till ett par timmar innan det slår igenom överallt – testa i en privat/inkognitoflik för att se resultatet utan gammal cache i vägen.

Om du redan har https men varningen ändå syns

Då är felsökningen att hitta den enskilda resurs som fortfarande laddas via http. Öppna sidan i Chrome, högerklicka och välj "Inspektera", gå till fliken Console, och ladda om sidan – webbläsaren listar exakt vilka bilder, skript eller typsnitt som är problemet. Ofta räcker det att byta ut en handfull länkar i temat eller i en insticksmodul från http:// till https://.

Kontrollera att det faktiskt är löst

När du åtgärdat felet, ladda om hemsidan i en inkognitoflik och titta efter hänglåset i adressfältet. Klicka på det – webbläsaren visar då att anslutningen är säker och vilket certifikat som gäller samt hur länge det är giltigt. Är du osäker på om du löste rätt problem, be gärna någon utomstående (eller din webbutvecklare) dubbelkolla, eftersom mixed content-fel ibland gömmer sig på undersidor du inte testat.

En sak mindre att oroa sig för

Det här är ett av de där problemen som känns stort när man ser det första gången, men som oftast går att lösa på under en timme när man vet var man ska leta. Jag hjälper dig gärna om du vill slippa gissa dig fram – alla sidor jag bygger går live med giltigt SSL från dag ett, och jag håller koll på förnyelser åt dig så att du aldrig behöver upptäcka en röd varning av misstag.