Säkerhet och kryptering, ordlista

En brandvägg är ett program (eller en apparat) som sitter mellan internet och din server och bestämmer vilken trafik som får passera. Moderna brandväggar arbetar på flera nivåer. På nätverksnivån blockerar de vissa IP-adresser och portar, och på transportnivån håller de koll på anslutningarna (TCP/UDP). På applikationsnivån granskar de webbtrafiken (HTTP) efter misstänkta mönster.

På Linux-servrar är iptables och den modernare nftables standard, och på Ubuntu används UFW (Uncomplicated Firewall), som är enklare att ställa in. Molnleverantörer som AWS, Azure och GleSYS har dessutom brandväggar i nätverket som stoppar trafik innan den når din server. De kallas ofta "security groups" eller "network ACLs".

För webbapplikationer räcker inte en enkel brandvägg, så du behöver också en WAF (Web Application Firewall) som granskar webbtrafiken noggrant. Cloudflare säljer WAF som tillägg, och LiteSpeed har en inbyggd. Ett vanligt grundskydd i Sverige 2026 är iptables på servern + fail2ban som skyddar SSH + Cloudflare eller en WAF som skyddar själva sajten.

CSRF utnyttjar att webbläsaren automatiskt skickar med cookies, och därmed inloggningen, till en sajt. Anta att en angripare får en inloggad användare att besöka en sida som angriparen har förberett. Den sidan kan i bakgrunden skicka en förfrågan, till exempel för att byta lösenord eller föra över pengar. Servern tror då att förfrågan kommer från användaren själv.

Skyddet bygger oftast på CSRF-tokens, alltså unika koder som är omöjliga att gissa. En sådan kod läggs in i formulären och kontrolleras av servern vid varje känslig åtgärd. Angriparens sida kan inte läsa koden, så den falska förfrågan misslyckas. Moderna ramverk som Laravel, Django och Symfony har CSRF-skydd inbyggt.

Ett extra skydd är inställningen SameSite på cookies, som hindrar att cookies skickas med förfrågningar från andra domäner. Använd också alltid POST för åtgärder som ändrar data. CSRF finns med på OWASP:s lista över vanliga säkerhetshål på webben.

DDoS (Distributed Denial of Service) är en attack där angriparen använder tusentals eller miljontals datorer för att dränka din server i trafik. Ofta är det ett botnet, alltså ett nät av datorer och andra enheter som har smittats med skadlig kod. Servern hinner inte med allt och blir omöjlig att nå för vanliga besökare.

Moderna DDoS-attacker kan skicka terabit per sekund, och en vanlig VPS eller webbhotellsserver blir överbelastad redan av attacker på 1-10 Gbps. För att stå emot krävs nätverk som klarar stora mängder trafik, till exempel Cloudflare, Akamai och AWS Shield. Skyddet kan också ingå i webbhotellets tjänst.

Svenska webbhotell skyddar olika bra mot DDoS. Bahnhof är kända för ett starkt skydd i sitt eget nät, medan Inleed har ett grundläggande skydd. Sajter som riskerar att bli måltavlor, till exempel politiskt känsliga sajter och framgångsrika webbutiker, bör alltid ha Cloudflare Pro framför sajten som ett extra skydd. Det är en billig försäkring.

DKIM (DomainKeys Identified Mail) signerar varje mejl från din domän med en kryptografisk nyckel. Mottagaren kan kontrollera signaturen mot en publik nyckel i din DNS. Om signaturen stämmer är det ett bevis på två saker: mejlet kommer från en server som har din privata nyckel, och det har inte ändrats på vägen.

Tillsammans med SPF och DMARC är DKIM en av de tre grunderna för att visa att e-post är äkta. Utan DKIM hamnar äkta mejl från din domän ofta i skräpposten hos Gmail, Outlook och andra stora leverantörer. Det är särskilt viktigt för företag som skickar automatiska mejl (orderbekräftelser, återställning av lösenord) eller marknadsföring.

De flesta e-postleverantörer (Google Workspace, Microsoft 365, Proton, Zoho) visar steg för steg hur du ställer in DKIM när du börjar använda tjänsten. Du skapar en DKIM-nyckel och lägger in den publika delen som en TXT-post i din DNS. Sedan ställer du in servern så att den signerar mejlen du skickar. Kontrollera efteråt med verktyg som mxtoolbox.com eller mail-tester.com, som båda visar om DKIM är rätt inställt.

DMARC (Domain-based Message Authentication, Reporting and Conformance) är regeln som binder ihop SPF och DKIM. Den talar om för mottagarens e-postserver vad den ska göra när ett mejl från din domän inte klarar kontrollerna i SPF eller DKIM. Du väljer om servern bara ska logga det (p=none), märka det som skräppost (p=quarantine) eller stoppa det helt (p=reject).

DMARC skyddar mot att någon förfalskar din domän, till exempel i nätfiske (phishing). Utan DMARC kan vem som helst skicka mejl som ser ut att komma från dindomän.se. Stora e-postleverantörer levererar det ofta ändå om SPF och DKIM saknas. Med DMARC på nivån reject blir det omöjligt för angripare att förfalska din domän.

Börja med en DMARC-post som innehåller v=DMARC1, p=none och rua=mailto:dmarc@dindomän.se, med semikolon mellan delarna. Då samlar du in rapporter utan att något blockeras. Läs rapporterna i några veckor, så att du hittar äkta avsändare som du har glömt. Gå sedan över till "p=quarantine" och till sist till "p=reject" när alla äkta avsändare är godkända. Tjänster som Easydmarc eller Valimail sköter DMARC-rapporterna automatiskt.

Med end-to-end-kryptering krypteras datan på din enhet innan den skickas och låses upp först hos mottagaren. Nycklarna finns bara hos avsändaren och mottagaren, så servern som skickar vidare eller sparar datan ser aldrig innehållet i klartext. Det skiljer sig från kryptering under överföringen (TLS) och kryptering av sparad data, där leverantören ofta har nycklarna.

Tekniken används i krypterade meddelandetjänster och i molnlagring med zero-knowledge. Fördelen är att det bara finns obegriplig krypterad text att hämta, även om servern hackas eller en myndighet begär ut data. Nackdelen är att ingen kan återställa datan om du tappar bort din nyckel eller ditt lösenord, inte ens leverantören.

För molnlagring finns E2EE ofta som tillval, till exempel tillägget pCloud Encryption. Vanlig kryptering kan räcka för vardagliga filer, där det väger tyngre att kunna återställa dem, medan E2EE är det säkraste valet för det känsligaste materialet.

HSTS är en HTTP-header (Strict-Transport-Security) som servern skickar för att säga åt webbläsaren att bara använda HTTPS för domänen under en viss tid. Efter första besöket byter webbläsaren automatiskt alla kommande förfrågningar till HTTPS, även om användaren skriver http:// eller klickar på en gammal, osäker länk.

HSTS skyddar mot så kallade downgrade-attacker och SSL-stripping, där en angripare i nätverket försöker tvinga anslutningen tillbaka till okrypterad HTTP för att kunna avlyssna trafiken. Med inställningen includeSubDomains gäller regeln även alla subdomäner. Du kan också ansöka om att komma med på preload-listan, så att regeln byggs in direkt i webbläsarna.

Du slår på HSTS genom att lägga till headern i webbserverns inställningar. Sajten måste redan ha ett giltigt SSL-certifikat och fungera helt över HTTPS, eftersom en felaktig HSTS-inställning annars kan låsa ute besökarna.

HTTPS är den krypterade versionen av HTTP, protokollet som all trafik på webben använder. När du besöker en HTTPS-sajt krypteras all data mellan din dator och servern. Då kan ingen på vägen läsa eller ändra innehållet, varken internetleverantören, den som driver ett wifi eller en router som har blivit hackad.

Sedan 2018 är HTTPS i praktiken ett krav, eftersom Google rankar HTTPS-sajter högre och Chrome varnar för sajter med HTTP. Många moderna funktioner fungerar dessutom bara över HTTPS, till exempel service workers, platstjänster och åtkomst till kameran. Det finns ingen anledning att köra en publicerad sajt över vanlig HTTP 2026.

SSL-certifikatet som behövs för HTTPS är numera gratis via Let's Encrypt, en ideell organisation som ger ut certifikat som förnyas automatiskt. Alla seriösa webbhotell har Let's Encrypt i kontrollpanelen, där det räcker med ett klick. För att få HTTPS på sajten ber du först ditt webbhotell slå på SSL, vilket oftast sker automatiskt. Skicka sedan alla besökare från HTTP till HTTPS i .htaccess eller i serverns inställningar.

JWT (JSON Web Token) är ett format för tokens som innehåller signerad JSON-data och används främst vid inloggning. När du loggar in i en modern webbapp får du ett JWT, som sedan skickas med varje anrop som bevis på att du är inloggad. Servern kan kontrollera signaturen utan att slå upp inloggningen i en databas, vilket gör JWT snabbt och lätt att använda i stor skala.

Ett JWT består av tre delar med punkter emellan: header, payload och signature. Header anger vilken algoritm som används och payload innehåller data, t.ex. användar-ID och roller. Signature är den kryptografiska signaturen. Den vanligaste algoritmen för signaturen är HMAC-SHA256, som är symmetrisk och snabb. Ett annat val är RSA/ECDSA, som är asymmetrisk och används när flera tjänster ska kontrollera samma token.

JWT är populärt men kräver försiktighet. Skicka alltid tokens över HTTPS, så att de inte läcker. Låt dem gälla kort tid (15-60 min) och använd refresh tokens för längre inloggningar. Spara inte känsliga uppgifter i payloaden. Den är bara kodad med base64 och inte krypterad, så vem som helst kan läsa den. Använd starka hemliga nycklar (secret keys) på minst 256 bitar. För svenska Laravel- och Node.js-utvecklare är JWT vardag i API-projekt.

En kill switch håller koll på VPN-anslutningen och stänger direkt av all trafik till internet om tunneln av någon anledning bryts. Det kan hända när du byter server, när nätet strular eller när appen kraschar. Utan funktionen skulle enheten gå tillbaka till den vanliga, okrypterade anslutningen och avslöja din riktiga IP-adress.

Funktionen är avgörande för den som använder VPN för integritetens eller säkerhetens skull. Redan ett par sekunders läcka kan räcka för att avslöja vem du är eller var du befinner dig. Många VPN-appar har både en kill switch för hela enheten och en variant som bara stoppar utvalda program.

De flesta seriösa VPN-tjänster, bland andra NordVPN och svenska Inleed VPN, har en inbyggd kill switch. Kontrollera att den är påslagen i inställningarna, eftersom den ofta är avstängd från början.

Let's Encrypt startades 2015 av Internet Security Research Group, med målet att göra krypterad HTTPS gratis och automatisk för alla. Innan dess kostade SSL-certifikat pengar och behövde skötas för hand, så många mindre sajter var okrypterade. I dag ger tjänsten ut hundratals miljoner certifikat och är en viktig orsak till att nästan hela webben nu använder HTTPS.

Certifikaten gäller i 90 dagar och förnyas automatiskt via ACME-protokollet, så du behöver aldrig tänka på att förnya dem. De ger samma kryptering som betalda DV-certifikat (Domain Validation). Däremot saknar de en kontroll av företaget bakom sajten (organisationsvalidering), som vissa företag vill ha för att inge mer förtroende.

Nästan alla moderna webbhotell och kontrollpaneler (cPanel, DirectAdmin, Plesk) har Let's Encrypt inbyggt, och certifikatet installeras med ett klick eller helt automatiskt. Gratis HTTPS är alltså numera en självklarhet och ingen extrafunktion som kostar mer.

En no-log-policy betyder att VPN-leverantören inte sparar uppgifter om vilka sajter du besöker, när du är uppkopplad eller vilken IP-adress du har haft. Finns det inte några loggar finns det heller inget att lämna ut när en myndighet begär det eller vid ett dataintrång.

Policyn bygger i praktiken på förtroende. Därför har de mest seriösa leverantörerna låtit oberoende revisionsbyråer granska sina system. NordVPN har fått sin no-log-policy granskad flera gånger av bland andra PwC och Deloitte, och PureVPN har granskats av KPMG. Var skeptisk mot tjänster som lovar no-log utan att kunna visa en oberoende granskning.

Det spelar också roll vilket lands lagar VPN-tjänsten lyder under. En leverantör i ett land utan krav på att spara data har lättare att hålla sitt löfte. Svenska Inleed VPN sparar till exempel ingen data om trafiken, och Mullvad kräver inte ens en e-postadress.

OpenVPN har varit standard för säkra VPN-anslutningar i över tjugo år. Det har öppen källkod, har granskats grundligt av säkerhetsforskare och stöder många olika sätt att kryptera via biblioteket OpenSSL. Protokollet kan köras över både UDP och TCP. UDP är snabbare, medan TCP lättare tar sig igenom brandväggar.

Styrkan är att protokollet är moget och flexibelt. Det kan också ta sig igenom nätverk med hårda spärrar, genom att se ut som vanlig HTTPS-trafik på port 443. Nackdelen är att koden är större och att mer data går åt till själva protokollet. Därför är OpenVPN långsammare än det moderna WireGuard, särskilt i mobilen.

De flesta VPN-tjänster har både OpenVPN och WireGuard och låter dig välja i appen. OpenVPN kan vara bättre i nätverk där WireGuard blockeras, medan WireGuard oftast ger bäst hastighet.

Ransomware är skadlig programvara som krypterar filerna i din dator och sedan kräver en lösensumma, ofta i kryptovaluta, för att du ska få tillbaka dem. Moderna varianter krypterar filerna på den smittade datorn och sprider sig i hela nätverket, där de även krypterar backuper som inte hålls avskilda.

Svenska organisationer har drabbats hårt under 2020-talet, till exempel Kalix kommun 2021 och Coop 2021. Sedan dess har många mindre företag råkat ut för samma sak. Angriparna tar sig oftast in via nätfiske (phishing), alltså falska mejl, men också via säkerhetshål i tjänster som syns på internet eller med stulna lösenord. Även med god IT-säkerhet är ransomware ett verkligt hot som alla behöver förbereda sig för.

Så skyddar du dig. Ha backuper som hålls avskilda på en annan plats, enligt 3-2-1-regeln. Använd ett modernt skydd på datorerna (EDR, utöver vanligt antivirus) och inloggning i flera steg (MFA) på alla konton. Installera säkerhetsuppdateringar så att kända hål täpps till, och lär användarna att känna igen nätfiske. Ha också en testad plan för vad som ska göras vid en attack. Betala aldrig lösensumman, eftersom pengarna går till brottslighet och du har ingen garanti för att få tillbaka filerna.

SPF (Sender Policy Framework) är en TXT-post i DNS som listar vilka servrar som får skicka e-post från din domän. När en e-postserver tar emot e-post från dindomän.se läser den SPF-posten, och finns inte avsändaren i listan avvisas mejlet eller märks som skräppost.

För Google Workspace ser en vanlig SPF-post ut så här: "v=spf1 include:_spf.google.com ~all". Microsoft 365 använder "v=spf1 include:spf.protection.outlook.com -all", och varje e-postleverantör har sin egen variant. Skickar du e-post från flera system (Google Workspace + Mailchimp + Sendgrid) kan du ha flera "include:" i samma SPF-post.

SPF är en av tre grundtekniker som visar att e-post kommer från rätt avsändare, tillsammans med DKIM och DMARC. Utan en korrekt SPF hamnar dina äkta mejl ofta i skräpposten hos Gmail och Outlook. Alla svenska e-postleverantörer visar hur du ställer in SPF när du kommer i gång med tjänsten. Kontrollera alltid efter en ändring med mxtoolbox.com eller mail-tester.com.

SQL-injektion utnyttjar applikationer som bygger sina databasfrågor genom att klistra ihop det användaren skriver direkt med SQL-kommandon. En angripare som skriver in förberedd kod i ett fält i formuläret kan då lura databasen att köra egna kommandon. Så kan angriparen läsa ut hela tabeller med användare, ändra data eller till och med radera tabeller.

Säkerhetshålet har funnits på OWASP:s topplista i många år, fast skyddet är välkänt. Använd parametriserade frågor (prepared statements), så att det användaren skriver aldrig tolkas som kod, och kontrollera och rensa allt som skickas in. Ge också databasens användarkonto så små rättigheter som möjligt. Moderna ramverk och ORM-lager skyddar mot SQL-injektion om de används rätt.

På WordPress- och e-handelssajter är det oftast plugins och teman med osäker kod som öppnar dörren. Håll allt uppdaterat, kör en WAF (Web Application Firewall) framför sajten och begränsa vem som har administratörsrättigheter, så minskar risken.

Tvåfaktorsautentisering (2FA, även kallat MFA för Multi-Factor) lägger till ett andra steg utöver lösenordet. Även om någon stjäl ditt lösenord kommer de inte in utan det andra steget. Oftast är det en sexsiffrig kod från en app i mobilen (Google Authenticator, Authy, 1Password). Det kan också vara en notis i mobilen eller en fysisk säkerhetsnyckel (YubiKey).

2FA via sms används fortfarande mycket men är svagast. Ditt telefonnummer kan kapas om någon lurar operatören att flytta numret till ett nytt SIM-kort (SIM-swapping). Engångskoder från en app (TOTP, Time-based One-Time Password) är säkrare och fungerar även offline. Fysiska nycklar (FIDO2/WebAuthn) är säkrast och står emot nätfiske. De rekommenderas för administratörskonton och finansiella tjänster.

Slå på 2FA för allt viktigt i ditt företag: Google Workspace, Microsoft 365, bokföringstjänster (Fortnox, Bokio), affiliatekonton, WordPress admin, GitHub, AWS och Klarna. I WordPress lägger tillägg som Wordfence och Two Factor enkelt till 2FA. Spara reservkoderna på ett säkert ställe, på papper eller i krypterad lagring, ifall du tappar telefonen. Efter ett starkt lösenord är 2FA den viktigaste säkerhetsåtgärden.

En WAF (Web Application Firewall) granskar webbtrafiken noggrant innan den når din applikation. Den letar efter kända sätt att attackera, som SQL-injection, cross-site scripting (XSS) och command injection, och efter försök att gissa lösenord vid inloggningen (brute force). En WAF arbetar på applikationsnivån (lager 7), medan en vanlig brandvägg arbetar på nätverksnivån.

Moderna WAF-alternativ 2026 är Cloudflare WAF (i molnet, populärast, från gratis), AWS WAF (för AWS-kunder) och Sucuri (inriktad på WordPress). Det finns också ModSecurity (öppen källkod, körs på egen server) och LiteSpeed WAF (inbyggd i webbservern LiteSpeed). För svenska webbhotellskunder är Cloudflare den enklaste starten: byt bara DNS och slå på WAF med några klick, så är du skyddad.

En WAF räcker inte ensam för säkerheten, eftersom den är ett av flera skyddslager (defense-in-depth). Du behöver också uppdaterade program, starka lösenord och 2FA, krypterade anslutningar (HTTPS), regelbunden backup och övervakning. För e-handel med betalningar är en WAF i praktiken ett måste. Automatiska robotar letar nämligen hela tiden efter säkerhetshål i populära plattformar som WooCommerce och Magento.

WireGuard är ett VPN-protokoll som lanserades 2016, med målet att vara enklare, snabbare och säkrare än äldre alternativ som OpenVPN och IPsec. Koden är extremt liten, omkring 4 000 rader mot OpenVPN:s över 100 000, vilket gör den lättare att granska och minskar risken för säkerhetshål.

Den lilla, moderna konstruktionen ger märkbart högre hastighet och kortare fördröjning. Anslutningen kommer också tillbaka betydligt snabbare när du byter mellan wifi och mobilnät. WireGuard använder en fast uppsättning moderna, väl valda krypteringsmetoder i stället för en uppsjö av alternativ att välja mellan.

I dag är WireGuard standard i de flesta ledande VPN-tjänster, bland andra svenska Inleed VPN och Mullvad. NordVPN bygger sin snabba NordLynx-teknik på WireGuard. För de allra flesta användare är WireGuard det bästa valet för hastighet.

XSS uppstår när en sajt visar det användare skriver in utan att rensa det. Då kan en angripare smuggla in JavaScript som sedan körs i andra besökares webbläsare. Koden får samma rättigheter som sajten. Den kan stjäla cookies med inloggningen, läsa av vad du skriver, skicka dig till en annan sida eller ändra sidans innehåll.

Attacken finns i flera former. Vid lagrad XSS sparas koden på servern, till exempel i en kommentar, och drabbar alla som ser den. Vid reflekterad XSS skickas koden via en länk eller ett sökfält, medan DOM-baserad XSS sker helt i webbläsaren. Skyddet bygger på att sajten alltid kodar om det den visar, så att webbläsaren läser det som vanlig text (escaping). Kontrollera också allt som skrivs in, och använd en Content Security Policy (CSP) som begränsar vilka skript som får köras.

På WordPress- och e-handelssajter är osäkra plugins och teman den vanligaste vägen in. Håll allt uppdaterat, kör en WAF och undvik att bädda in ogranskad kod från andra. Enligt OWASP är XSS ett av de vanligaste säkerhetshålen på webben.

Zero-knowledge (nollkunskap) betyder att leverantören inte vet något om innehållet i dina data, eftersom all kryptering och upplåsning sker på din egen enhet. Nyckeln räknas fram ur ditt lösenord och skickas aldrig till servern, så leverantören sparar bara obegriplig, krypterad text.

Modellen ger det starkaste skyddet för integriteten inom molnlagring. Även om servern hackas, personalen missbrukar sin åtkomst eller en myndighet begär ut data finns det ingenting läsbart att hämta. Priset är att ingen kan ge dig tillgång igen om du glömmer ditt lösenord. Det finns ingen genväg via "glömt lösenord" utan att datan går förlorad.

Zero-knowledge finns ofta som tillval, till exempel tillägget pCloud Encryption. Vanlig kryptering kan räcka för vardagliga filer, där det väger tyngre att kunna återställa dem, medan zero-knowledge är det säkraste valet för de mest känsliga filerna. Begreppet hänger nära ihop med end-to-end-kryptering.