Https och certifikatet

Modul 3: Adress, https och användare · Lästid: 8 minuter

Lärandemål: Efter den här lektionen kan du sätta en WordPress-webbplats helt på https och vet du vad WordPress-adressen och webbplatsadressen gör.

Nyckelbegrepp: TLS, certifikat, Let's Encrypt, automatisk förnyelse, WordPress-adress (siteurl), webbplatsadress (home), WP_HOME och WP_SITEURL, HSTS, bli utelåst

Vad https gör

Med https blir allt mellan webbläsare och server krypterat: lösenord, formulär, cookies, även vanliga sidor. Utan https kan vem som helst på samma nätverk (ett öppet wifi, en kapad router) läsa med och till och med ändra sidan. Webbläsare visar en webbplats utan https som "inte säker" och vissa funktioner (som plats eller kameran) fungerar bara med https.

Krypteringen kallas TLS. För att bevisa att webbläsaren verkligen pratar med example.com och inte med en mellanhand har servern ett certifikat: ett digitalt bevis, undertecknat av en utgivare som webbläsare litar på. Certifikatet anger vilka namn det gäller för och till när.

Gratis certifikat och förnyelse

Let's Encrypt utfärdar gratis certifikat. Nästan alla webbhotell begär dem automatiskt och förnyar dem också automatiskt. Ett certifikat från Let's Encrypt är nu giltigt i 90 dagar, och Let's Encrypt har aviserat att den giltigheten stegvis ska kortas till 45 dagar. Att förnya för hand är därför inget alternativ: det måste ske automatiskt.

Ett betalt certifikat krypterar inte bättre. Skillnaden ligger i extra kontroll av organisationen (och ibland en garanti). För de flesta webbplatser räcker ett gratis certifikat gott.

Vad du bör tänka på:

Certifikatet måste täcka varje namn som en besökare kan skriva: example.com och www.example.com. Även namnet som bara omdirigerar, eftersom webbläsaren kontrollerar certifikatet innan omdirigeringen sker.
Automatisk förnyelse fungerar bara om DNS pekar mot din server. Har du flyttat DNS eller satt en proxy (som Cloudflare) framför, kontrollera då att förnyelsen fortfarande fungerar.
En CAA-post i DNS kan bestämma vilka utgivare som får skapa certifikat. Finns inte Let's Encrypt med där, misslyckas begäran (DNS-kursen lektion 5.2).

Två adresser i WordPress

Under Inställningar > Allmänt finns två adresser. De verkar onödigt dubbla, men betyder olika saker:

Fält	I databasen	Betydelse
WordPress-adress (URL)	`siteurl`	Var WordPress filer finns (wp-admin, wp-includes)
Webbplatsadress (URL)	`home`	Adressen besökare använder

Oftast är de lika, till exempel båda https://example.com. De skiljer sig bara om WordPress ligger i en undermapp men webbplatsen ska visas på huvudmappen.

WordPress bygger alla länkar med dessa adresser: till sidor, stilmallar, bilder, adminpanelen. Står det här http://, bygger WordPress sidor med http://-länkar, även om besökaren kommer in via https. Det ger blandat innehåll (lektion 3.2) och omdirigeringar fram och tillbaka.

Att sätta en webbplats på https

Har du en befintlig webbplats på http, är det här stegen:

Begär ett certifikat för båda namnen och kontrollera att https://example.com fungerar (du ser då en WordPress-sida, kanske fortfarande utan formatering).
Gör en säkerhetskopia (lektion 8.1).
Sätt båda adresserna under Inställningar > Allmänt till https:// och spara. Du loggas ut; logga in igen via https.
Konvertera gamla länkar i innehållet från http://example.com till https://example.com. Gör det med ett verktyg som förstår serialiserad data, som wp search-replace eller ett sök-och-ersätt-tillägg (lektion 3.2), aldrig med ett rått SQL-kommando.
Omdirigering: låt webbservern skicka alla förfrågningar på http med en 301 till https (lektion 3.2). Många webbhotell har en kryssruta för det; annars några rader i .htaccess.
Kontrollera med uppgiften för den här lektionen och den för lektion 3.2.

Utelåst: om adressen är fel

Skriver du en felstavning i adresserna (htps://, en felaktig domän), skickar WordPress dig efter sparandet till den felaktiga adressen. Du kan inte längre nå adminpanelen. Ingen panik, det finns två utvägar:

Via wp-config.php. Lägg till ovanför raden "stop med bewerken":

define( 'WP_HOME', 'https://example.com' );
define( 'WP_SITEURL', 'https://example.com' );

Dessa rader går före värdena i databasen. Fälten i Inställningar > Allmänt blir då gråa. Logga in, sätt de rätta värdena i databasen, och ta bort raderna igen (eller låt dem medvetet stå kvar, då kan ingen ändra adresserna via adminpanelen av misstag).

Via phpMyAdmin. Öppna tabellen wp_options och ändra värdena för siteurl och home.

HSTS: att låta webbläsaren komma ihåg

Med headern HSTS (Strict-Transport-Security) säger servern till webbläsaren: "kom hit bara via https under den kommande tiden." Webbläsaren omvandlar därefter själv varje http:// till https://, utan att först göra en okrypterad förfrågan.

Strict-Transport-Security: max-age=31536000; includeSubDomains

HSTS är ett bra extra steg, men med en varning: en webbläsare som har sett HSTS vägrar därefter att öppna webbplatsen utan giltigt certifikat, inte ens med "fortsätt ändå". Med includeSubDomains gäller det för varje underdomän. Har du en underdomän utan certifikat (till exempel ett gammalt internt system), blir den efter HSTS onåbar. Börja därför med ett kort max-age (till exempel en dag, 86400), kontrollera allt, och förläng sedan.

I praktiken: så här ser det ut i en panel

Som exempel använder vi DirectAdmin. I cPanel heter delen SSL/TLS Status (AutoSSL), i Plesk SSL/TLS Certificates.

Öppna SSL-certifikat vid din domän och välj Gratis och automatiskt certifikat från Let's Encrypt.
Markera example.com och www.example.com och begär certifikatet.
Sätt i domäninställningarna kryssrutan för att alltid skicka besökare till https (i DirectAdmin: Forceer SSL med https omleiding). Använd bara ett sätt att omdirigera på: två olika samtidigt kan ge en loop ("för många omdirigeringar").
Gå i WordPress till Inställningar > Allmänt och sätt båda adresserna till https://.

Sammanfattning

https krypterar allt mellan webbläsare och server; certifikatet bevisar vem servern är.
Gratis certifikat från Let's Encrypt är kort giltiga och förnyas automatiskt; de måste täcka varje namn en besökare skriver.
WordPress-adress (siteurl) och webbplatsadress (home) ska båda stå på https://.
Blir du utelåst på grund av en felaktig adress, åtgärda det med WP_HOME och WP_SITEURL i wp-config.php eller i phpMyAdmin.
HSTS är ett bra extra steg; börja med en kort giltighetstid.

Quiz

Uppgift

Uppgift A3.1: Stämmer ditt certifikat? Fyll i adressen till din webbplats. Programmet upprättar en TLS-anslutning med domänen utan www och med www (om den finns) och kontrollerar: är certifikatet giltigt och betrott, täcker det båda namnen, är det giltigt längre än 14 dagar, och skickar webbplatsen en HSTS-header? Saknas HSTS, är det orange med förklaring, inget fel.

Läs mer

De här artiklarna beskriver stegen i WebOkés paneler; i andra paneler fungerar de på liknande sätt.

Cookies på WebOké

Cookieinställningar

Nödvändiga

Marknadsföring