SSL
-
Eget certifikat og LetsEncrypt, hvilken har førsteprioritet?
LetsEnCrypt har første prioritet af den simple grund at opstår situationen at ens eget certifikat, et certifikat man har købt af trediepart, udløber, så virker ens site sandsynligvis ikke, og det kan tage lidt tid inden man har fundet koder, hvor man har købt det, bestilt et nyt og lagt ind, i mellemtiden kan man således bestille et LetsEnCrypt og bruge dette istedet. Alt man skal efter man har uploadet sit eget certifikat, er at frakoble LetsEnCrypt i vores kontrolpanel, ved næste opdatering af servercertifkater, hvilket typisk sker indenfor 12 timer, vil LetsEnCrypt forsvinde og ens eget certifikat blive det primære.
[Back to top] -
HTTP/2 er det understøttet?
Alle vore webserver understøtter HTTP/2 protokollen. HTTP/2 blev endeligt lanceret i 2016 og har siden været fuldt understøttet på alle servere/websites som har HTTPS/SSL certifikat på deres websites. HTTP/2 understøttes ikke på webhotellets HTTP del, HTTP/2 har man valgt skal være på HTTPS.
[Back to top] -
Hvad koster det? Yder webhosting.dk support til SSL?
Vi yder som udgangspunkt ikke support til SSL, dette gælder køb af SSL certifikater hos trediepart eller rettelser af website så det fuldt SSL kompatibelt, vi henviser til Google eller http://www.amino.dk hvor man kan rekvirere hjælp til implementering og rettelse af website. Alternativt er der mange supportgrupper på facebook hvor der altid er hjælpsomme folk.
Pris? Gratis?
At have SSL på sit website kan være gratis hvis man bruger LetsEncrypt, eller koster det den pris som ens certifikatudsteder tager for certifikatet, vi anbefaler et betalt certifikat, løbetiden er længere og man slipper for at fornyelse af ens gratis LetsEnCrypt certifikat af den ene eller den anden grund, fejler. Ved bestilling af et købt certifikat anbefales det at man bestiller certifikatet for mere end 1 år ad gangen. At bestille et certifikat hvert år er bestemt muligt, men det kan let tage et par timer inden alt er sat op, og glemmer man at fornye sit certifikat, vil ens side komme op med en advarsel, at certifikatet er udløbet. Der er typisk en rabat hvis man bestiller certifikatet for eksempelvis 3 år, man kan let spare 1 års udgift i rabat ved køb af certifikat for 3 år, og ikke mindst, en masse tid.
[Back to top] -
Hvilke servere virker SSL med?
Alle vore webserver, både ældre typer og også nyere understøtter SSL.
[Back to top] -
Hvordan kan jeg viderestille fra HTTP til HTTPS automatisk?
Har man sin SSL server oppe og køre, kan man let viderestille alle kald fra HTTP til HTTPS. Man foretager dette i en .htaccess fil som man ligger i roden af ens website. Den skal indeholde dette i toppen:
# Redirect http to https
RewriteEngine On
RewriteCond %{HTTPS} !on
RewriteCond %{SERVER_PORT} !^443$
RewriteCond %{HTTP:X-Forwarded-Proto} !https
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]
# END https redirect
[Back to top] -
Jeg får ikke et grønt SSL ikon i Chrome og IE siger der er indhold som ikke er krypteret, hvad betyder det?
Har man HTTP indhold på en HTTPS side er siden ikke 100% krypteret og derfor vil man få en advarsel. Et godt sted at checke hvilke filer der laver problemet er;
http://www.whynopadlock.com
Vi gør opmærksom på at vi ikke yder support til webdesign, det er kundens egen opgave at få sit site 100% SSL kompatibelt.
[Back to top] -
Kan jeg køre flere domæner på samme SSL certifikat?
Har man et website hvor der er tilknyttet mere end 1 domænenavn, kan man kun benytte SSL for det domænenavn som SSL certifikatet er lavet til, og ligeledes kun det domænenavn som er hovedsiden og ikke et af de tilknyttede domæner. Man kan således godt have flere domæner¨på sit webhotel (PHP Medium/Erhverv har mulighed for at tilknytte domæner, se andetsteds i vores supportsektion), men man skal i sin kode tage højde for at kun hoveddomænet giver muligheden for SSL.
[Back to top] -
Letsencrypt, hvad hvis den automatiske fornyelse fejler?
Som udgangspunkt forsøger vores system at fornye ens LetsEnCrypt certifikat når det er ved at udløbe (denne process starter 30 dage førend udløb). Fejler denne process skal man slette sit LetsEncrypt certifikat og anmode om et nyt.
[Back to top] -
mta-sts, hvordan får jeg det på mit website?
MTA-STS er en metode hvor en mailserver, ved at kalde url
https://mta-sts.webhosting.dk/.well-known/mta-sts.txt
Som eksempel kan man se vores mta policy.
Man laver en simpel tekstfil med informationen om hvordan dit domænenavn skal sættes op mht. mta-sat. Det er som sådan ikke svært at sætte op men kræver dog visse forudsætninger:
* Der skal oprettes et subdomæne website som beskrevet foroven
* Der skal være SSL på subdomænets website
I webhosting.dks system foretages dette således:
Man skal have subdomæne support for ens website, dette er et ikon i domænets kontrolpanel. Er det ikke en del af abonnement skal der således opgraderes til dette.
* Opret mta-sts som subdomæne og sæt flueben i SSL
* Opret folderen /mta-sta på dit website, dette kan gøres med et FTP program
* Vent ca 15 minutter, opret SSL certifikat (evt slet gammelt certifikat), LetsEnCrypt certifikat i LetsEnCrypt ikonet. Systemet laver derefter et nyt certifikat hvor mta-sts er med i certifikatet.
* Opret en folder /mta-sts/.well-known
* Opret en fil kaldet mta-sts.txt i folderen med dette indhold:
version: STSv1
mode: enforce
mx: webhotel##.webhosting.dk
max_age: 86400
webhotel## rettes til det som din indgående mailserver hedder, det kan eksempelvis være webhotel32.webhosting.dk, du kan se hvilken mailserver der er din MX server i dit mailprogram under indgåënde server.
mode: enforce
Er sat så alle mails der sendes via internettet skal være med TLS kryptering (hvis mailserveren understøtter dette). Man kan, hvis man ønsker det, bruge:
mode: testing
Eksempler på hvordan mta-sts er sat op hos:
https://mta-sts.webhosting.dk/.well-known/mta-sts.txt
https://mta-sts.gmail.com/.well-known/mta-sts.txt
https://mta-sts.hotmail.com/.well-known/mta-sts.txt
Systemet har nu oprettet subdomænet på vores system og vil returnere det der er tastet ind i mta-sts.txt filen ved besøg på URL. Har man ikke sit website her i vores system vil ovenstående ikke virke, man skal derfor henvende sig til sin website leverandør hvis man skal have mta-sts på sit domænenavn.
Ovenstående forudsætte ligeledes at mta-sts.mitdomain.dk peter til samme webserver som ens website, man kan i en windows kommandoprompt sende en ping til ens website og ligeledes til mta-sts subdomænet, responderer det med samme IP nummer peger det korrekt. Virker mta-sts ikke skal subdomænet oprettes i DNS manager, proceduren for dette er angivet i vores supportsektion for DNS.
[Back to top] -
Hvad er SSL og hvad kan jeg bruge det til?
SSL er en metode til at kryptere alt trafik der sendes fra vore servere til kundens internet browser (firefox, IE, safari etc). SSL er et krav for visse typer websites, som eksempelvis banker og webbutikker hvor man betaler online med sine kortoplysninger.
Med et godkendt SSL certifikat, kan man let give sine kunder denne sikkerhed.
Undlader man at godkende sit certifikat, kan man stadig benytte SSL muligheden, dog er der en advarsel hver gang man logger på sit website om at certifikatet ikke er godkendt. Denne advarsel forsvinder automatisk når man har fået sit cerfifikat godkendt, og uploadet sin CRT fil, dette er beskrevet andetsteds i denne supportsektion.
[Back to top] -
Anden vigtig information! (gælder ikke LetsEncrypt)
Når man skal godkende sit certifikat (ikke LetsEncrypt), er det meget vigtigt at .CSR som hentes i vores system, er den .CSR fil som benyttes til godkendelse, laver man sin egen .CSR fil, vil vores servere ikke kunne benytte certifikatet fordi .KEY filen (som bruges til at validere certifikatet og som kun vi har en kopi af) således ikke passer til dit certifikat. Vi kan ikke udskifte vores .KEY og .CSR filer med kundens egne filer, laver man ved en fejl sin egen CSR og KEY fil, er dette således spildt. De fleste "certificate authorities" har dog returret på dit certifikat, så alt man skal er at lave et nyt med .CSR hentet fra vores system.
E-mail adresse tilknyttet certifikatet er altid sslcert@ditdomænenavn. Denne e-mail adresse bruges kun til at lave certifikatet med, det er dog en god ide at oprette denne e-mail adresse hvis man senere skulle have brug for det.
[Back to top] -
Andre udbydere eller egen server?
I kontooversigten man logger ind på fra vores forside er der et SSL faneblad. Denne service er ikke beregnet til webhoteller der er hostet på vores system. Webhoteller der er hostet på vores system, skal bruge fanebladet som forefindes i kontrolpanelet efter man har trykket sit domænenavn i kontooversigten i fanebladet Domæner/Webhoteller.
I fanebladet i kontooversigten, kan du bestille certifikater til din egen server eller hvis du har brug for et certifikat til et webhotel hos en anden udbyder.
Har man en server der hedder "backoffice.mitdomain.dk" skal man således bestille et certifikat til "backoffice.mitdomain.dk". Certifikatet laves indenfor ca. 15 minutter og kan derefter ses i overskriften.
Pt. laves certifikater kun til Apache webserver. Vi vil udvide med flere HTTPS server typer med tiden.
Alle SSL certifikater laves med den information som forefindes på ens konto, det er således kontaktperson og firmanavn. SSL cerfifikatet skal ligeledes have en e-mail adresse tilknyttet, af sikkerhedshensyn laver vi denne automatisk til sslcert@domænenavnet, vi oplyser således ikke hvilken e-mail adresse vore kunder har tilknyttet deres konto i vores system, men laver en anden, denne kan man selv oprette hvis man har brug for det.
Det gratis certifikat kan godkendes hos eksempelvis godaddy når man vil have det certificeret.
Servicen er indtil videre gratis og der ydes umiddelbart ikke support til dette produkt eftersom det ikke er et produkt der kan bruges i vores system. Vi yder gerne support mod betaling.
[Back to top] -
Det gratis testcertifikat, hvad kan jeg bruge det til?
Alle webhoteller i vores system har allerede nu HTTPS/SSL adgang, dog kun med et gratis testcertifikat, et testcertifikat som vi automatisk installerer for alle vore kunder.
Vi installerer dette gratis for alle vore kunder af 2 grunde. Dels giver det mulighed for kunden at teste SSL af (dog med en advarsel om at certifikatet er ugyldigt), dels giver det mulighed for at tilslutte sig til sit website's kontrolpanel i eksempelvis Joomla og WordPress med SSL kryptering. Som skrevet tidligere, er det gratis testcertifikat således ikke godkendt, og vil komme med en advarsel om at certifikatet er ikke er godkendt. Det er stadig 100% virksomt og alt trafik imellem din computer og vore webserver er krypteret.
Det sker desværre jævnligt at brugere får hacket deres adgangskoder til deres backend administration, hvis de er tilsluttet en wireless forbindelse som der har et "snifferprogram" på. Selv med det gratis SSL certifikat er dette ikke mere muligt, alt man skal gøre er at tilslutte sig via https fremfor http ved tilgang til sit websites backend administration.
Advarslen man ser er udelukkende en advarsel om at certifikatet ikke er godkendt. Godkendelse af certifikater er beskrevet andetsteds i vores SSL supportsektion.
[Back to top] -
Hvilken webserver benyttes i systemet?
Bestiller man et certifikat hos en trediepartsleverandør og man bliver spurgt om servertype skal man svare Apache.
[Back to top] -
Hvor finder jeg min .CSR ?
Dette gælder ikke for LetsEnCrypt.
Sin .CSR kan man finde i fanebladet SSL inde i domænets kontrol kontrolpanel.Har man ikke en CSR fil allerede, skal denne genereres først, der er et ikon i bunden til CSR generering. CSR er den fil der bruges til generering af dit certifikat.
Det er kun den CSR fil vi har i systemet, som kan bruges til at lave sit eget certifikat med, har man en CSR fil fra en anden udbyder, eller har man lavet en selv kan den ikke bruges. Denne CSR kan kun bruges til at lave et wildcard certifikat med, har man kun brug for www og uden www anbefaler vi at man benytter LetsEnCrypt.
[Back to top] -
Hvor får jeg godkendt min .CSR fil og får mit certifikat (CRT)?
Dette gælder ikke for LetsEnCrypt
For at man har en CRT fil (certifikatet) skal man have sin CSR fil godkendt. Dette gøres hos en "certifikatudsteder".
Der er mange der kan godkende certifikater..
Vi benytter selv
http://www.namecheap.com
som godkender til vores interne certifikater.
Skal man have dansk hjælp til SSL certifikatet, kan man eventuelt benytte:
http://www.billigssl.dk
Vi garanterer ikke at andre typer certifikater virker på vore systemer, det er kundens eget ansvar hvis en anden leverandør for godkendelse benyttes, og certifikatet derefter ikke virker med vore servere.
Man går ind på Namecheaps system og bestiller et Geotrust Rapidssl certifikat. Efter man har bestilt det, skal man sende sin CSR fil til Namecheap i deres interface, man skal svare på nogle spørgsmål og efter at man er godkendt, sender Namecheap CRT filen (dvs certifikatet) per e-mail. Denne CRT fil skal man derefter uploade´igennem vores systems Upload CRT fil. Hele denne process er langsommelig og ikke specielt brugervenlig, vi anbefaler derfor at man bestiller sit certifikat for mere end 1 år ad gangen, man skal selv huske at forny sit certifikat, og glemmer man det vil ens webside kommer op med en certikatfejl hvis certifikatet er udløbet.
[Back to top] -
Hvor mange dage virker mit certifikat?
Dette gælder ikke for LetsEnCrypt
Man bestemmer selv hvor langt tid ens certifikat skal gælde. Dette er noget man bestemmer i godkendelsesprocessen hos eksempelvis Namecheap. Det anbefales at man køber ens certifikat for mere end 1 år. LetsEncrypt certifikater virker kun for 90 dage.
De gratis certifikater som vi installerer har en udløbstid på 20 år.
[Back to top] -
Hvordan laver jeg et certifikat?
Dette gælder ikke for LetsEnCrypt
Processen for at lave et certifikat består af 3 dele/filer:
.CSR
en .CSR er et "certificate request", den indeholder informationer omkring hvem der skal have certifikatet, og hvilken server den skal køre på.
.KEY
Keyfilen er den personlige key som ens certifikat krypteres med. Vi opbevarer din .KEY fil på vores system til internt brug, vores webserver skal benytte din .KEY til at starte SSL processen med dine kunder.
.CRT
.CRT er selve certifikatet. Dette er den del man skal have udleveret af sin "certificate signing authority". Efter man har fået udleveret denne af sin leverandør, skal den tastes ind i vores system så vores webserver kan benytte certifikatet. I visse tilfælde kommer der 2 certifikater tilbage, det er kun det ene der skal bruges som CRT fil.
Intermediate delen
Intermediate delen af SSL certifikatet skal man uploade/indsætte bagefter i en seperat process.
[Back to top] -
Mit certifikat er nu godkendt, hvordan uploader jeg det?
Dette gælder ikke for LetsEnCrypt
Efter certifikatet er blevet godkendt, skal det oploades til vores server. Man skal have abonnement på SSL for at kunne uploade sit eget certifikat. Har man ikke abonnement på eget certifikat skal man opgradere først. Man opgraderer i fanebladet Opgrader, efter opgradering trykker man fanebladet SSL hvor man i bunden kan uploade certifikatet (filen CRT).
Efter man har uploadet sit eget certifikat går der op til 8 timer inden serveren henter certifikatet.
Har man fået 2 certifikater retur (CRT og Intermediate), er det kun det ene som skal uploades i CRT delen, Intermediate skal man taste ind i Intermediate delen efter at CRT er uploadet/tastet ind og gemt.
[Back to top] -
SSL med danske og andre specialtegn?
Det anbefales ikke at lave et certifikat for domæner med specialtegn som de dansk æøå. Der er absolut muligt at lave, men det er et fåtal af "certificate authority" firmaer der kan godkende disse. Har man behov for SSL på et vigtigt website, er det bedre at lave et website med standardtegn og bruge dette til formålet.
Med "standardtegn" i domænenavne menes der bogstaverne:
a-z
og tal:
0-9
http://www.mitdomænenavn.dk er således ikke muligt at lave SSL til, http://www.mitdomaenenavn.dk er muligt.
[Back to top] -
Subdomains etc, kan man benytte SSL med dem?
Man kan, hvis ens subdomæne peger til samme webserver som ens domænenavn med og uden www, have SSL på sit subdomæne. Det er beskrevet i vores supportsektion omkring subdomæner hvordan dette laves og vi henviser til denne supportsektion.
Er ovenstående ikke tilfældet kan man ikke bruge LetsEncrypt og skal derfor bestille et wildcard SSL certifikat, eksempelvis hos namecheap.com. Alle SSL certifikater der er anmodet om i vores system (gælder ikke LetsEnCrypt) er *.domænenanvn certifikater, dvs det er stjernecertifikater. Har man en ældre type (www og uden www), skal dette slettes og man skal anmode om et nyt certifikat (som således vil ende med at blive et wildcard certifikat).
[Back to top] -
Virker certifikatet med alle browsere?
Det er generelt vigtigt at man benytter en anerkendt "certification authority" til at godkende ens certifikater, vi benytter http://www.namecheap.com til vore egne certifikater, vi benytter disse på eksempelvis vores kontrolpanel og vores webmail system. Vi benytter udelukkende GeoTrust RapidSSL på vore systemer, vi har testet mange certifikat typer igennem og har fundet dette at være det bedste.
Moderne certifikater virker med ca. 99% af alle browsere der er på markedet. Man kan være uheldig at ens certifikat ikke virker på ældre Microsoft Internet Explorer (typisk versioner før version 7.0) og ældre versioner af Safari.
Problemer med at certifikatet ikke virker er generelt forsvindende, brugere benytter ikke mere ældre typer browsere og disse fases ud automatisk. Kunder som eventuelt har problemer med dit certifikat har sandsynligvis ej heller mulighed for at benytte andre services som f.eks online bank og brug af kreditkort/dankort online.
Browsere som ikke virker er typisk meget tidlige versioner af firefox, chrome og safari. Alle nyere versioner af disse understøttes. Internet Explorer på Windows XP har problemer, Microsoft har for at tvinge folk til at opgradere til nyeste windows valgt ikke at implementere support for den type SSL vi benytter os af, brugere af Windows XP kan derfor opgradere til en anden type browser og få løst problemet permanent.
[Back to top] -
Virker det med og uden WWW? Hvad med andre navne foran mit domænenavn
Dette gælder ikke for LetsEnCrypt
Alle CSR filer der laves i vores system i 2021 og hvor der er bestilt et wildcard certifikat, eksempelvis hos namecheap.com, og senere er wildcard certifikat CSR filer, det betyder at domænets certifikat virker med domænet og ligeledes med eksempelvis www.domænenavn,kontor.domænenavn,admin.domænenavn.
[Back to top] -
Hvor mange bit kryptering benyttes?
Certifikater lavet i vores system. benytter 2048 bit kryptering og er det højeste niveau man man kryptere, og stadig være kompatible med de browsere som benyttes på markedet. Selve KEY filen laves i SHA256 som ligeledes er det anbefalede.
[Back to top] -
Hvilket abonnementtype er mindstekrav?
Alle webhoteller med PHP i deres abonnement, dvs. selv et privatabonnement, har mulighed for at tilknytte SSL på deres website.
[Back to top]
|
