SSL-varmenteet selitettynä: Tyypit, kustannukset ja miksi tarvitset sellaisen

SSL-varmenne on digitaalinen todiste, joka varmistaa verkkosivuston identiteetin ja mahdollistaa salattujen viestien välittämisen vierailijan selaimen ja web-palvelimen välillä. Kun vierailet sivustolla, jolla on voimassa oleva SSL-varmenne, selain näyttää osoiterivillä lukon kuvakkeen ja URL-osoite alkaa HTTPS:llä HTTP:n sijaan. Tämä visuaalinen merkki kertoo vierailijoille, että yhteys on turvallinen ja että heidän lähettämänsä data, kirjautumistiedot, maksutiedot, henkilötiedot, on suojattu kolmansien osapuolten kuuntelulta.

SSL tarkoittaa Secure Sockets Layeria, vaikka teknologia on kehittynyt merkittävästi alkuperäisestä versiostaan. Nykyiset toteutukset käyttävät TLS:tä (Transport Layer Security), joka on SSL:n seuraaja. Termiä SSL ja TLS käytetään usein vaihdettavasti käytännössä, ja kun ihmiset sanovat "SSL-varmenne", he tarkoittavat lähes aina varmenetta, joka tukee TLS 1.2- tai TLS 1.3 -protokollaa. Ero on teknisesti merkittävä, mutta ei käytännössä; tärkeintä on, että sivustosi salaa yhteydet ja vahvistaa identiteettinsä vierailijoille.

Salaamisen lisäksi SSL-varmenne luo luottamusta. Varmenteen myöntävä viranomainen (CA) vahvistaa hakijan hallinnan domainiin (ja joissakin tapauksissa organisaation identiteettiin) ennen varmenteen myöntämistä. Kun selain kohtaa varmenteen, se tarkistaa CA:n allekirjoituksen sen sisäänrakennetussa luotettujen viranomaisten listassa. Jos allekirjoitus on kelvollinen ja varmenne ei ole vanhentunut, selain luo turvallisen yhteyden ilman varoitusta käyttäjälle. Jos jotain on pielessä, vanhentunut varmenne, ristiriidassa oleva domain, luottamaton CA, selain näyttää näkyvän varoituksen, joka karkottaa useimmat vierailijat.

SSL-salaus käyttää asymmetristen ja symmetristen kryptografiamenetelmien yhdistelmää tietojen suojaamiseksi siirron aikana. Prosessi alkaa käsikoukkuprosessilla: kun selain yhdistyy HTTPS-sivustoon, palvelin esittää SSL-todisteen, joka sisältää palvelimen julkisen avaimen. Selain tarkistaa todisteen voimassaolon ja luo sen jälkeen yksilöllisen istunnon avaimen, salaa sen palvelimen julkisella avaimella ja lähettää sen takaisin. Vain palvelimen vastaava yksityinen avain voi purkaa tämän viestin, mikä varmistaa, että mikään kuuntelija ei voi siepata istunnon avainta.

Kun molemmat osapuolet saavat istunnon avaimen, ne vaihtavat symmetriseen salaukseen koko yhteyden ajaksi. Symmetrinen salaus on kertaluokkaa nopeampi kuin asymmetrinen salaus, mikä tekee siitä käytännöllisen suurten datamäärien salaamiseen tyypillisessä verkkosessiossa. Kaikki data, HTML-sivut, kuvat, lomakkeiden lähetysdatat ja API-vastaukset, salataan ennen siirtoa ja puretaan vastaanotettaessa. Vaikka hyökkääjä sieppaisi liikenteen, hän näkee vain salattua sekasotkuria ilman istunnon avainta.

TLS 1.3, protokollan uusin versio, tiivistää käsikoukkuprosessin vaativaksi vain yhden kierroksen selaimen ja palvelimen välillä, kun TLS 1.2:ssa se vaatii kaksi kierrosta. Tämä vähentää turvallisen yhteyden luomisen viiveitä noin 30–50 millisekunnilla. TLS 1.3 poisti myös vanhemmat, heikommat salauspaketit, jotka olivat vielä sallittuja TLS 1.2:ssa, poistaen kokonaisia kryptografisia hyökkäysluokkia. GRADAXissa kaikki isännöintiympäristömme käyttävät oletuksena TLS 1.3 -protokollaa, mutta tukevat välttämättömyystilanteessa TLS 1.2 -versiota niille asiakkaille, joiden kävijät käyttävät vanhoja selaimia, jotka eivät tue uusinta standardia.

Domain Validation (DV) -todisteet ovat perustavanlaatuisimpia. Todisteviranomainen varmistaa vain, että hakija hallitsee domain-nimen, yleisesti DNS-merkinnän tai sähköpostivarmennuksen kautta. DV-todisteet myönnetään minuuteissa, maksavat muutamasta eurosta vuodessa ja tarjoavat samanlaisen salausasteen kuin kalliimmat todistetyypit. Ne soveltuvat blogeihin, markkinointisivustoille, portfolioille ja mille tahansa sivustolle, jossa ensisijainen tavoite on yhteyden salaaminen organisaation identiteetin todistamisen sijaan.

Organization Validation (OV) -sertifikaatit vaativat CA-viranomaisen varmistavan pyytävän organisaation laillisen olemassaolon ja identiteetin. Hakijan on toimitettava yrityksen rekisteröintiasiakirjat, ja CA-viranomainen voi ottaa yhteyttä puhelimitse vahvistaakseen pyynnön. OV-sertifikaattien myöntäminen kestää yleensä yhdestä kolmeen arkipäivää, ja niiden hinta on 50–200 euroa vuodessa. Kun vierailija napsauttaa OV-suojaetun sivuston lukkoikonia, sertifikaatin tiedoissa näkyy varmennettu organisaation nimi, mikä lisää luottamusta. OV-sertifikaatteja suositellaan yrityssivustoille, verkkokaupoille ja kaikille sivustoille, jotka käsittelevät herkkiä asiakastietoja.

Extended Validation (EV) -sertifikaatit edellyttävät tiukinta varmennusprosessia. CA-viranomainen tarkistaa organisaation laillisen, fyysisen ja operatiivisen olemassaolon useista riippumattomista lähteistä. EV-sertifikaattien myöntäminen kestää viisi kymmentä arkipäivää, ja niiden hinta on 200–1 000 euroa vuodessa. Historiallisesti EV-sertifikaatit aiheuttivat vihreän osoiterivin selaimissa, mutta useimmat nykyselaimet ovat lopettaneet tämän visuaalisen erottelun. Nykyään EV:n käytännön hyöty OV:iin nähden on rajoitettu useimmille yrityksille, ja suositamme yleensä OV-sertifikaatteja parhaana luottamuksen ja kustannusten tasapainona, elleivät sääntelyvaatimukset määrää EV-käytöstä.

Let's Encrypt mullisti SSL-alan tarjoamalla ilmaisia DV-sertifikaatteja automaattisella myöntämisellä ja uusimisella. Siinä ei ole ansaa: Let's Encrypt -sertifikaatit tarjoavat saman salausvoimakkuuden kuin maksetut DV-sertifikaatit, ja niitä luottavat kaikki merkittävät selaimet. Ne ovat voimassa 90 päivää, ja niiden suunnitellaan uusittavan automaattisesti ACME-protokollaa käyttäen. Enemmistölle verkkosivustoista Let's Encrypt -sertifikaatti on täysin riittävä, eikä ole olemassa turvallisuuteen liittyvää syytä maksaa DV-sertifikaatista.

Maksetuilla sertifikaateilla on etuja tietyissä tilanteissa. Wildcard-sertifikaatit, jotka kattavat domainin kaikki alidomainit (esim. *.example.com), ovat saatavilla Let's Encryptistä, mutta monen domainin (SAN) sertifikaatit, jotka kattavat useita eri domain-nimiä, ovat joustavampia kaupallisilta CA-viranomaisilta. Maksetut sertifikaatit tulevat myös takuulla: jos CA-viranomainen myöntää sertifikaatin virheellisesti ja käyttäjä kärsii taloudellisia menetyksiä seurauksena, takuu tarjoaa korvauksen. Takuumäärät vaihtelevat 10 000 eurosta yli miljoonaan euroon riippuen sertifikaattityypistä ja tarjoajasta.

Käytännöllisin syy valita maksettu sertifikaatti on silloin, kun tarvitset OV- tai EV-varmennuksen, jota Let's Encrypt ei tarjoa. Jos yrityksesi käsittelee maksutapahtumia, terveydenhuoltodataa tai toimii säännellyllä aloilla, OV-sertifikaatti tarjoaa organisaation varmennuksen, jota DV-sertifikaatti ei pysty antamaan. SSL-sertifikaatti -hallintapalvelumme GRADAXissa hoitaa sekä ilmaiset että maksetut sertifikaatit, provisionoi automaattisesti sopivan tyypin asiakkaan vaatimusten mukaan ja varmistaa, että uusimiset tapahtuvat automaattisesti ennen vanhentumista.

Google on käyttänyt HTTPS:tä luokitusmerkkinä vuodesta 2014 lähtien, ja sen merkitys on kasvanut tasaisesti. Vaikka SSL yksinään ei heitä sivustoa hakutulosten kärkeen, SSL:n puute voi hidastaa sitä. Googlen omien tietojen mukaan yli 95 % ensimmäisen sivun tuloksista käyttää HTTPS:tä. Sivustot ilman SSL:tä rankaistaan yhä enemmän ei suoralla luokituksen alentamisella vaan selainten varoitusviesteillä, jotka nostavat ponnahdusprosenttia, mikä haittaa epäsuorasti hakukoneluokituksia.

Vaikutus ulottuu Googlen algoritmin ulkopuolelle. Chrome, Firefox, Safari ja Edge näyttävät kaikki varoitusviestejä, kun käyttäjät lähettävät lomakkeita HTTP-sivuilla, ja Chrome merkitsee kaikki HTTP-sivustot "Ei turvallinen" osoiteriviin. Nämä varoitukset heikentävät käyttäjien luottamusta ja nostavat ponnahdusprosenttia, erityisesti sivuilla, jotka pyytävät mitään käyttäjän syötteitä. Teknisen SEO -tarkoituksiin HTTPS on perusvaatimus, ei optimointi. Mikä tahansa SEO-tarkistus, joka tunnistaa HTTP-sivuja, tulisi kohdella kriittisinä ongelmina, jotka vaativat välitöntä ratkaisua.

HTTP:stä HTTPS:iin siirtyminen vaatii huolellista suunnittelua olemassa olevien hakusijoitusten säilyttämiseksi. Kaikkien HTTP-URL-osoitteiden on ohjattava vastaaviin HTTPS-URL-osoitteisiin käyttäen 301 pysyviä uudelleenohjauksia. Sisäiset linkit, canonical-tagit, sitemap-tiedostot ja rakennettu data on päivitettävä viittaamaan HTTPS-URL-osoitteisiin. Google Search Console -ominaisuus on konfiguroitava uudelleen sivuston HTTPS-versiolle. Minkään näistä vaiheista laiminlyöminen voi johtaa väliaikaiseen sijoituslaskuun, kaksoissisältöongelmiin tai kerätyn linkkiarvon menetykseen. Hoidamme HTTP-to-HTTPS-siirtymiä rutiininomaisesti asiakkaillemme, ja meillä on dokumentoitu prosessi, joka säilyttää hakusuorituskyvyn koko siirtymän ajan.

Kuluttajien tietoisuus verkkoturvallisuudesta on kasvanut dramaattisesti viime vuosina. Vuoden 2025 tutkimuksessa suurta verkkokauppaa kohtaan 84 % verkkokauppiaista hylkäisi ostoksen, jos he huomaavat sivustolta puuttuvan turvayhteyden. Lukkoikoni on muuttunut visuaaliseksi lyhenteeksi turvallisuudelle, ja sen puute herättää välitöntä epäluuloa. Yrityksille, jotka riippuvat verkkotapahtumista, konversioista tai lead-generoinnista, SSL ei ole tekninen luksushyödyke, vaan liikevaihtoedellytys.

Luottamus ulottuu alkuperäisen sivun lataamisen yli. SSL suojaa jokaista vuorovaikutusta asiakasmatkan aikana: tuotesivujen selaamista, tuotteiden lisäämistä ostoskoriin, toimitusosoitteiden syöttämistä, maksutietojen toimittamista ja tiliasetuksiin pääsyä. Ilman SSL-sertifikaattia mikä tahansa näistä vuorovaikutuksista voitaisiin keskeyttää hyökkääjän toimesta samassa verkossa, mikä on erityisen akuutti riski julkisilla Wi-Fi-verkoilla kahviloissa, lentokentillä ja hotelleissa. Koko istunnon salauksella SSL varmistaa, että asiakastiedot pysyvät yksityisinä riippumatta verkkoympäristöstä.

B2B-yrityksille SSL on usein hankintavaatimus. Yritysasiakkaiden toimittajien arvioinnissa tarkistetaan säännöllisesti HTTPS-yhteys, ja he voivat sulkea pois toimittajat, joiden verkkosivustot eivät täytä perusvaatimuksia verkkoturvallisuudelle. Hallitus ja terveydenhuoltoalan organisaatiot ovat säädösten alaisia, jotka vaativat salattua tiedonsiirtoa, mikä tekee SSL:stä laillisen compliance-vaatimuksen eikä harkinnanvaraista investointia. Vaikka nykyiset asiakkaasi eivät nimenomaisesti vaatisi SSL-sertifikaattia, seuraava sopimus, jota haet, saattaa vaatia sitä.

SSL-sertifikaatin asentaminen koostuu kolmesta vaiheesta: Certificate Signing Request (CSR) -pyynnön luominen palvelimellasi, sen lähettäminen sertifikaattiviranomaiselle ja myönnetyn sertifikaatin sekä CA:n välittäjäsertifikaattiketjun asentaminen. Useimmilla nykyaikaisilla web-palvelimilla (Nginx, Apache, Caddy) konfiguraatio vaatii sertifikaattitiedoston polun, yksityisen avaimen polun ja mahdollisten välittäjäsertifikaattien määrittämisen. Sertifikaattiketjun virheellinen konfigurointi on yleisin asennusvirhe, ja se johtaa selainten varoitukseen siitä, että yhteys ei ole täysin turvallinen.

Automaattinen sertifikaattien hallinta on poistanut suurimman osan manuaalisesta työmäärästä. Certbot, Let's Encryotlin virallinen asiakasohjelma, hoitaa CSR-pyyntöjen luomisen, domain-validoinnin, sertifikaatin asennuksen ja uusimisen yhdellä komennolla. Reverse proxyjen tai kuormantasaajien takana olevilla palvelimilla ACME DNS-01 -haastemenetelmä mahdollistaa sertifikaatin myöntämisen ilman muutoksia web-palvelimen konfiguraatioon. GRADAX:n isännöintialustamme hallitsee SSL-sertifikaatit täysin automaattisesti; asiakkaiden ei koskaan tarvitse generoida CSR-komentoja, konfiguroida web-palvelimia tai huolehtia uusimisen määräajoista.

Varmenteen uusiminen on vaihe, joka jää todennäköisimmin laiminlyödyksi manuaalisesti hallinnoiduilla palvelimilla. Let's Encryptin DV-varmenteet vanhenevat 90 päivän välein; maksulliset varmenteet vanhenevat yleensä vuosittain. Vanhentunut varmenne laukaisee välittömän koko näytön varoituksen selaimessa, joka estää useimpia vierailijoita pääsemästä sivustolle. Olemme nähneet yritysten menettävän tuhansia euroja tuloja yhdestä vanhentuneen SSL-varmenteen päivästä. Automaattinen uusiminen, joka on asetettu käynnistymään vähintään 30 päivää ennen vanhenemista, poistaa tämän riskin kokonaan. Jos hallinnoit varmenteita manuaalisesti, aseta kalenterimuistutukset 60, 30 ja 7 päivää ennen vanhenemista ja varmista, että uusimisprosessisi toimii ennen määräajan umpeutumista.

Sekasähköinen sisältö on yleisin SSL-virhe. Se tapahtuu, kun HTTPS-sivu lataa resursseja (kuvat, skriptit, tyyliarkistot, fontit) HTTP-yhteyden kautta. Selaimet estävät osan sekasisällöstä ja varoittavat lopuista, mikä rikkoo sivuston toiminnallisuuden ja heikentää salattua yhteyden turvallisuutta. Seksisällön korjaaminen vaatii kaikkien resurssien URL-osoitteiden päivittämisen HTML-, CSS- ja JavaScript-tiedostoissa käyttämään HTTPS- tai protokollakohtaisia URL-osoitteita. Sisältöturvallisuuspolitiikka (CSP) -otsikko upgrade-insecure-requests-suuntaviivalla voi käsitellä reunatapaukset automaattisesti.

Puutteelliset sertifikaattiketjut aiheuttavat luottamusvaroituksia jopa silloin, kun ensisijainen sertifikaatti on voimassa. Jokainen SSL-sertifikaatti on allekirjoitettu välittäjän CA-sertifikaatilla, joka puolestaan on allekirjoitettu juuri-CA-sertifikaatilla, jota selaimet luottavat implisiittisesti. Jos välittäjäsertifikaatti puuttuu palvelimen konfiguraatiosta, jotkut selaimet voivat täyttää aukon hakemalla sen automaattisesti, mutta toiset eivät, mikä johtaa epäyhtenäisiin varoituksiin eri selaimissa ja laitteissa. Asenna aina koko sertifikaattiketju ja käytä SSL-testaus työkalua varmistaaksesi oikean konfiguraation asennuksen jälkeen.

HTTP:n ohjaamatta jättäminen HTTPS:iin on yleinen ohi meneminen, joka jättää sivuston saataville molempien protokollien kautta. Ilman uudelleenohjausta jotkut vierailevat saapuvat HTTP-linkkien, kirjanmerkkien tai suorien URL-osoitteiden kautta eivätkä hyödy SSL-salauksesta. Hakukoneet voivat indeksoida sekä HTTP- että HTTPS-versiot, mikä luo kaksoissisältöongelmia. Ratkaisu on palvelintason 301-uudelleenohjaus HTTP:stä HTTPS:iin kaikille URL-osoitteille yhdistettynä HSTS (HTTP Strict Transport Security) -otsikkoon, joka ohjaa selaimia käyttämään aina HTTPS:tä tulevia vierailuja varten. HSTS-preloading vie tämän vielä pidemmälle rekisteröimällä domainisi selainten sisäänrakennettuun HTTPS-vain-listaan, varmistaen, että jopa ensimmäinen vierailu käyttää HTTPS:tä. Ota yhteyttä tiimiimme, jos tarvitset apua SSL-konfiguraatiosi auditointiin tai siirtymiseen HTTPS:iin.