Den lille hængelås i browseren er ikke gratis og vedligeholder sig ikke selv. For mange domæneadministratorer er SSL/TLS-certifikater noget der virker - indtil den dag de ikke gør. Og når det sker, er konsekvensen ikke bare en teknisk advarsel: besøgende ser en rød fejlskærm, søgemaskiner nedprioriterer siden, og e-mailservere kan begynde at afvise forbindelser. At forstå hvad et certifikat egentlig er, hvilke typer der findes, og hvad der sker når det udløber, er ikke valgfri viden for nogen der administrerer et domæne i dag.
Hvad et SSL/TLS-certifikat faktisk gør
Betegnelsen "SSL" er teknisk set forældet - protokollen hedder i dag TLS (Transport Layer Security), men de to forkortelser bruges stadig i flæng. Et certifikat løser to fundamentalt forskellige opgaver på én gang.
Den første opgave er kryptering. Når en browser opretter forbindelse til din webserver over HTTPS, forhandler de to parter en krypteret tunnel via TLS-håndtrykket. Al trafik - loginoplysninger, betalingsdata, formularsvar - sendes krypteret igennem denne tunnel, så den ikke kan aflæses af tredjeparter undervejs.
Den anden opgave er identitetsverificering. Kryptering er meningsløs hvis du ikke ved hvem du kommunikerer med. Certifikatet indeholder en digital signatur fra en betroet tredjepart - en Certificate Authority (CA) - der bekræfter at domænet tilhører den angivne part. Browseren tjekker denne signatur mod sin interne liste over betroede CA'er og viser hængelåsen hvis alt stemmer.
Uden certifikatet ville du teknisk set godt kunne kryptere en forbindelse, men du ville ikke have nogen garanti for at du taler med det rigtige domæne og ikke med en angriber der har placeret sig imellem dig og serveren.
DV, OV og EV: tre niveauer af verifikation
Ikke alle certifikater er ens - de adskiller sig primært på hvor grundigt udstederen har verificeret identiteten bag domænet.
Domain Validated (DV) er det mest udbredte certifikatniveau. Udstederen bekræfter udelukkende at ansøgeren kontrollerer domænet - typisk via en DNS-record, en fil på webserveren eller en e-mail til en registreret adresse. Der foretages ingen verifikation af hvilken virksomhed eller person der står bag. Let's Encrypt udsteder udelukkende DV-certifikater. De er tilstrækkelige til langt de fleste websites og udstedes på minutter.
Organization Validated (OV) kræver at CA'en verificerer at ansøgeren er en reel, registreret organisation. Virksomhedsoplysninger tjekkes mod offentlige registre. Certifikatet indeholder organisationens navn i certifikatdata, selvom dette ikke længere vises synligt i de fleste browsere. OV-certifikater bruges typisk af virksomheder der ønsker et dokumenteret tillidsniveau ud over domænekontrol.
Extended Validation (EV) er det mest grundige niveau med streng manuel verifikation af juridisk identitet, fysisk adresse og operationel eksistens. EV-certifikater viste tidligere virksomhedsnavnet direkte i browserlinjen med grøn baggrund, men denne visning er fjernet i moderne browsere. EV bruges primært af finansielle institutioner og myndigheder hvor dokumenteret identitet har juridisk og tillidsmæssig betydning.
For de fleste websites - blogs, virksomhedssider, SaaS-applikationer - er DV fuldt tilstrækkeligt. OV og EV giver mening når tillid og dokumenterbar identitet er et aktivt forretningskrav.
Certifikatudstedere: hvem signerer dit certifikat
En CA er en organisation hvis rod-certifikat er forudinstalleret i operativsystemer og browsere. Når en CA signerer dit certifikat, arver det denne tillid.
Let's Encrypt er en non-profit CA der siden 2015 har udstedt gratis, automatiserede DV-certifikater via ACME-protokollen. Let's Encrypt har fundamentalt ændret markedet - HTTPS er i dag standard på størstedelen af det åbne web, primært takket være Let's Encrypt og de hosting-platforme der integrerer det automatisk. Certifikaterne udløber efter 90 dage og er designet til automatisk fornyelse.
Sectigo (tidligere Comodo CA) er en af de største kommercielle CA'er og udsteder DV, OV og EV-certifikater. Sectigo-certifikater bruges bredt af hostingselskaber som white-label-produkt - mange certifikater din webhoster tilbyder er reelt Sectigo-udstedt.
DigiCert dominerer enterprise-segmentet og er særligt udbredt hos store virksomheder, banker og myndigheder. DigiCert overtog Symantecs CA-forretning i 2017 og er i dag en af de mest betroede CA'er globalt.
Når din webhoster siger at de "inkluderer et gratis SSL-certifikat", er det næsten altid et Let's Encrypt DV-certifikat udstedt automatisk via ACME. Det er fuldt funktionelt - men du bør vide hvem der har signeret det, og om fornyelsen er automatiseret eller manuel.
Udløbsdatoer og de klassiske katastrofescenarier
Certifikater har en begrænset levetid af sikkerhedsmæssige årsager. Kortere gyldighed betyder at kompromitterede certifikater har kortere levetid, og at nøglemateriale regelmæssigt roteres. Let's Encrypt udsteder certifikater med 90 dages levetid. Kommercielle CA'er udsteder certifikater med en gyldighed der gradvist reduceres - fra 398 dage (gældende frem til marts 2026) til 200 dage (fra marts 2026), 100 dage (fra marts 2027) og endeligt 47 dage (fra marts 2029) i henhold til CA/Browser Forums seneste beslutning.
Udløbne certifikater er en af de mest forebyggelige driftsfejl i webadministration - og alligevel sker det regelmæssigt. De klassiske scenarier ser ud som følger:
Automatisk fornyelse fejler lydløst. ACME-klienten på serveren støder på en konfigurationsfejl, en firewall-regel blokerer port 80, eller domænet er flyttet til en ny server uden at fornyelsesprocessen er fulgt med. Alt ser fint ud i monitoreringsopsætningen - indtil certifikatet udløber og brugere mødes af en rød fejlskærm.
Certifikatet fornyes på én server, men ikke på alle. Load-balancerede opsætninger og CDN-konfigurationer kan betyde at certifikatet fornyes på origin-serveren men ikke opdateres på edge-noderne. Brugere på visse lokationer ser fejlen, andre ikke.
Ingen overvåger udløbsdatoen aktivt. Certifikatet er købt manuelt, fornyelsesmailen er gået i spam, og ingen i teamet har sat en kalenderreminder. Tre år efter opsætningen udløber certifikatet stille og roligt.
SAN-feltet: ét certifikat, mange domæner
Subject Alternative Names (SAN) er et felt i certifikatet der specificerer hvilke domænenavne certifikatet er gyldigt for. Moderne certifikater bruger altid SAN-feltet - det erstattede det ældre Common Name (CN)-felt som den primære mekanisme til domænevalidering.
SAN gør det muligt at udstede ét certifikat der dækker flere domæner og subdomæner. Et typisk eksempel kunne være et certifikat med SAN-poster for eksempel.dk, www.eksempel.dk, shop.eksempel.dk og api.eksempel.dk. Wildcard-certifikater bruger SAN-feltet til at angive *.eksempel.dk og dækker dermed alle subdomæner på ét niveau.
SAN er praktisk relevant når du migrerer et domæne, tilføjer subdomæner, eller konsoliderer certifikater på en server der hoster flere sites. Hvis et domæne ikke er listet i SAN-feltet, vil browseren afvise certifikatet for det pågældende domæne - selv hvis resten af certifikatet er gyldigt. Dette er en hyppig fejlkilde efter domæne- eller subdomæne-tilføjelser.
CAA-records: DNS-kontrol over certifikatudstedelse
En CAA-record (Certification Authority Authorization) er en DNS-recordtype der specificerer hvilke CA'er der har tilladelse til at udstede certifikater for dit domæne. Hvis din zone indeholder en CAA-record der tillader DigiCert, vil Let's Encrypt afvise at udstede et certifikat - selv hvis en angriber kontrollerer domænet midlertidigt og forsøger at skaffe et certifikat.
En typisk CAA-record ser sådan ud:
eksempel.dk. CAA 0 issue "letsencrypt.org"
eksempel.dk. CAA 0 issuewild "letsencrypt.org"issue styrer udstedelse af almindelige certifikater, issuewild styrer wildcard-certifikater, og iodef angiver en URL som CA'en skal bruge til at rapportere certifikatanmodninger eller udstedelser der overtræder domænets sikkerhedspolitik.
Hvis ingen CAA-record eksisterer, må alle CA'er udstede certifikater for domænet. CAA-records er et enkelt og effektivt lag af DNS-baseret sikkerhed der begrænser angrebsfladen for certifikat-misbrug. Du kan verificere dine DNS-records - herunder CAA - med DNSinfos DNS-opslagsværktøj.
Tjek dit certifikat med DNSinfos SSL/TLS-analyse
DNSinfos SSL/TLS-analyseværktøj giver dig et komplet overblik over dit certifikats aktuelle tilstand uden at du behøver logge ind noget sted eller installere software. Indtast dit domæne og du ser:
Udstederen og certifikatkæden - hvilken CA der har signeret certifikatet, og om kæden til rod-certifikatet er intakt og betroet.
Gyldigheds- og udløbsdatoen - præcis hvor mange dage der er tilbage, så du kan handle inden det er for sent.
SAN-feltet - alle domæner certifikatet dækker, så du kan verificere at alle dine subdomæner er inkluderet.
TLS-protokolversioner og cipher suites - om serveren tillader forældede protokoller som TLS 1.0 eller 1.1 der udgør en sikkerhedsrisiko.
HSTS-header - om serveren instruerer browsere i udelukkende at bruge HTTPS.
Særligt TLS-protokolversioner er et område mange overser. Et gyldigt certifikat garanterer ikke en sikker konfiguration - en server der stadig accepterer TLS 1.0-forbindelser er sårbar over for kendte angreb som BEAST, og servere der accepterer SSL 3.0 er sårbare over for POODLE - selv med et opdateret certifikat.
Proaktiv overvågning: bliv advaret inden det går galt
Reaktiv håndtering af udløbne certifikater er en dyr tilgang. Den professionelle tilgang er at sætte overvågning op der advarer dig i god tid - typisk 30 og 14 dage inden udløb - så fornyelse kan ske planlagt og uden stress.
Mange hostingplatforme sender automatiske advarselsemails, men disse mails ender ofte hos den person der oprettede kontoen for år siden, ikke hos den nuværende driftsansvarlige. Ekstern overvågning der er uafhængig af hosting-kontoen er mere pålidelig.
Certifikatovervågning hænger tæt sammen med generel DNS-overvågning. Ændringer i DNS-konfigurationen - en forkert A-record, en ændret navneserver - kan indirekte påvirke certifikatfornyelse, særligt for ACME-baserede certifikater der validerer via DNS-records. Kombinationen af certifikat- og DNS-overvågning giver det fulde billede. Du kan holde øje med din navneservers tilstand via navneserver-statusværktøjet på DNSinfo.
Husk også at certifikatovervågning ikke kun gælder dit primære domæne. Subdomæner, API-endpoints og interne services der kommunikerer over HTTPS fortjener samme opmærksomhed - og er ofte dem der overses, fordi de ikke har synlige slutbrugere der rapporterer fejl.
Et udløbet certifikat er let at forebygge
Det kræver kun at du tjekker det én gang - og sætter den rette overvågning op derefter. Kend din udsteders navn, kend din udløbsdato, verificer at SAN-feltet dækker alle dine domæner, og overvej om en CAA-record giver mening i din trusselsmodel. Med DNSinfos SSL/TLS-analyse tager det under et minut at få det fulde overblik over dit certifikats tilstand - og den investering er langt billigere end en rød fejlskærm på en travl mandag morgen.
