Säkerhet och kryptering — ordlista

En brandvägg är mjukvara (eller hårdvara) som sitter mellan internet och din server, och beslutar vilken trafik som får passera. Moderna brandväggar arbetar på flera nivåer: nätverkslager (blockera specifika IP:er och portar), transportlager (hantera TCP/UDP-sessioner) och applikationslager (granska HTTP-trafik för misstänkta mönster).

På Linux-servrar är iptables och den modernare nftables standard-brandvägg. För enklare konfiguration används UFW (Uncomplicated Firewall) på Ubuntu. Molnleverantörer som AWS, Azure och GleSYS har dessutom nätverks-brandväggar som filtrerar trafik innan den når din server — kallas ofta "security groups" eller "network ACLs".

För webbapplikationer räcker inte enkel brandvägg — du behöver också en WAF (Web Application Firewall) som granskar HTTP-trafik på djupet. Cloudflare erbjuder WAF som tilläggstjänst, och LiteSpeed har inbyggd WAF-funktionalitet. En grundläggande svensk hostingstack 2026 har typiskt: iptables på servern + fail2ban för SSH-skydd + Cloudflare eller WAF för applikationsskydd.

CSRF utnyttjar att en webbläsare automatiskt skickar med cookies (och därmed inloggningssession) till en sajt. Om en angripare får en inloggad användare att besöka en preparerad sida kan den i bakgrunden trigga en förfrågan — till exempel byta lösenord eller genomföra en överföring — som servern tror kommer från användaren själv.

Skyddet bygger vanligen på CSRF-tokens: en unik, oförutsägbar sträng som bäddas in i formulär och valideras på servern vid varje känslig åtgärd. Eftersom angriparens sida inte kan läsa token misslyckas den förfalskade förfrågan. Moderna ramverk som Laravel, Django och Symfony har CSRF-skydd inbyggt.

Kompletterande åtgärder är SameSite-attributet på cookies (som hindrar att de skickas vid förfrågningar från andra domäner) och att alltid använda POST för åtgärder som ändrar data. CSRF finns med på OWASP:s lista över vanliga webbsårbarheter.

DDoS (Distributed Denial of Service) är en attack där angriparen använder tusentals eller miljontals datorer — ofta ett botnet av infekterade enheter — för att översvämma din server med trafik. Servern klarar inte att bearbeta allt och blir otillgänglig för legitima besökare.

Moderna DDoS-attacker kan vara i terabit-storlek. En vanlig VPS eller webbhotellserver blir överbelastad vid 1-10 Gbps attacker. Skydd kräver antingen infrastruktur som kan absorbera stora trafikvolymer (Cloudflare, Akamai, AWS Shield) eller ingår som en del av webbhotellets tjänst.

Svenska webbhotell har olika nivåer av DDoS-skydd. Bahnhof är kända för sitt starka DDoS-skydd på infrastrukturnivå. Inleed har grundläggande DDoS-mitigation. För sajter som är måltavla (politiskt känsliga, framgångsrik e-handel) rekommenderas alltid Cloudflare Pro framför som extra skyddslager — det är billigt försäkring.

DKIM (DomainKeys Identified Mail) signerar varje mail från din domän med en kryptografisk nyckel. Mottagaren kan verifiera signaturen mot en publik nyckel i din DNS. Om signaturen stämmer är det bevis på att mailet (a) kommer från en server som har din privata nyckel och (b) inte har ändrats under transport.

Tillsammans med SPF och DMARC bildar DKIM de tre pelarna i modern e-post-autentisering. Utan DKIM hamnar legitima mail från din domän ofta i spam-mappen hos Gmail, Outlook och andra stora leverantörer. Det är särskilt kritiskt för företag som skickar transaktionella mail (orderbekräftelser, lösenordsåterställning) eller marknadsföring.

Setup: de flesta e-postleverantörer (Google Workspace, Microsoft 365, Proton, Zoho) guidar dig genom DKIM-uppsättning under onboarding. Du genererar en DKIM-nyckel, lägger till en TXT-record i din DNS, och konfigurerar servern att signera utgående mail. Verifiera efter setup med verktyg som mxtoolbox.com eller mail-tester.com — båda visar om DKIM är korrekt implementerat.

DMARC (Domain-based Message Authentication, Reporting and Conformance) är policy-lagret som binder samman SPF och DKIM. Det berättar för mottagande e-postservrar vad de ska göra när ett mail från din domän inte klarar SPF- eller DKIM-kontroller: bara logga (p=none), flagga som spam (p=quarantine) eller avvisa helt (p=reject).

DMARC skyddar mot domän-förfalskning och phishing. Utan DMARC kan vem som helst skicka mail som påstås komma från dindomän.se — och tunga e-postleverantörer levererar det ofta ändå om SPF/DKIM saknas. Med DMARC på reject-nivå blir det omöjligt för angripare att förfalska din domän.

Rekommenderad strategi: börja med "v=DMARC1; p=none; rua=mailto:dmarc@dindomän.se;" för att samla rapporter utan blockering. Granska rapporterna i några veckor för att upptäcka legitima mail-avsändare du glömt. Gå sedan till "p=quarantine" och slutligen "p=reject" när alla legitima källor är auktoriserade. Tjänster som Easydmarc eller Valimail automatiserar DMARC-reportering.

Vid end-to-end-kryptering krypteras data på din enhet innan den skickas och dekrypteras först hos mottagaren. Nycklarna finns bara hos ändpunkterna, vilket innebär att servern som transporterar eller lagrar datan aldrig ser innehållet i klartext. Det skiljer sig från kryptering i transit (TLS) och kryptering i vila, där leverantören ofta har nycklarna.

Modellen används i krypterade meddelandetjänster och i molnlagring med zero-knowledge-arkitektur. Fördelen är att även om servern hackas eller myndigheter begär ut data finns bara obegriplig chiffertext att hämta. Nackdelen är att förlorar du din nyckel eller ditt lösenord kan ingen — inte ens leverantören — återställa datan.

För molnlagring erbjuds E2EE ofta som tillval, till exempel via pCloud Crypto. För daglig fillagring där återställbarhet väger tyngre kan standardkryptering räcka; för känsligast material är E2EE guldstandarden.

HSTS är en HTTP-header (Strict-Transport-Security) som servern skickar för att instruera webbläsaren att uteslutande använda HTTPS för domänen under en angiven tid. Efter första besöket kommer webbläsaren att automatiskt uppgradera alla framtida förfrågningar till HTTPS, även om användaren skriver http:// eller klickar på en gammal osäker länk.

Skyddet motverkar så kallade downgrade-attacker och SSL-stripping, där en angripare i nätverket försöker tvinga ner anslutningen till okrypterad HTTP för att avlyssna trafiken. Med direktivet includeSubDomains omfattas även alla subdomäner, och genom att ansöka om preload-listning byggs regeln in direkt i webbläsarna.

HSTS aktiveras genom att lägga till headern i webbserverns konfiguration. Förutsättningen är att sajten redan har ett giltigt SSL-certifikat och fungerar helt över HTTPS, eftersom felkonfigurerad HSTS kan låsa ute besökare.

HTTPS är den krypterade versionen av HTTP — protokollet som används för all webbkommunikation. När du besöker en HTTPS-sajt krypteras all data mellan din dator och servern så att mellanliggande parter (internetleverantör, WiFi-punkter, komprometterade routrar) inte kan läsa eller manipulera innehållet.

Sedan 2018 är HTTPS i praktiken obligatoriskt: Google rankar HTTPS-sajter högre, Chrome visar varningar för HTTP-sajter, och många moderna webbfunktioner (service workers, geolocation, kamera-åtkomst) fungerar bara över HTTPS. Det finns ingen anledning att driva en produktionssajt över ren HTTP 2026.

SSL-certifikat som möjliggör HTTPS är numera gratis via Let's Encrypt — en ideell organisation som ger ut automatiskt förnyade certifikat. Alla seriösa webbhotell integrerar Let's Encrypt direkt i kontrollpanelen med ett klick. För att aktivera HTTPS på din sajt: be din host aktivera SSL (oftast automatiskt), sedan tvinga omdirigering från HTTP till HTTPS i .htaccess eller serverns konfiguration.

JWT (JSON Web Token) är ett tokenformat som innehåller signerad JSON-data. Det används främst för autentisering: när du loggar in i en modern webbapp får du ett JWT tillbaka, som sedan skickas med varje följande anrop som bevis på att du är inloggad. Servern kan verifiera signaturen utan att slå upp sessionen i en databas — vilket gör JWT snabbt och skalbart.

Ett JWT består av tre delar separerade av punkter: header (algoritm), payload (data, t.ex. user ID och roller), signature (kryptografisk signatur). Vanligaste signeringsalgoritmen är HMAC-SHA256 (symmetrisk, snabb) eller RSA/ECDSA (asymmetrisk, för scenarier där flera tjänster verifierar samma token).

JWT är populärt men kräver försiktighet: (1) skicka alltid över HTTPS så att tokens inte läcker, (2) håll expiration-tid kort (15-60 min) och använd refresh tokens för längre sessioner, (3) spara inte känslig data i payloaden eftersom den är base64-enkodad men inte krypterad — vem som helst kan läsa innehållet, (4) använd starka secret keys (minst 256 bitar). För svenska Laravel- och Node.js-utvecklare är JWT vardag i API-projekt.

En kill switch övervakar VPN-anslutningen och stänger omedelbart av all internettrafik om tunneln av någon anledning kopplas ner — till exempel vid serverbyte, nätverksstörning eller när klienten kraschar. Utan denna funktion skulle enheten annars falla tillbaka till den vanliga, okrypterade anslutningen och avslöja din riktiga IP-adress.

Funktionen är avgörande för den som använder VPN av integritets- eller säkerhetsskäl, eftersom även ett par sekunders läckage kan räcka för att avslöja identitet eller plats. Många klienter erbjuder både en systemomfattande kill switch och en app-specifik variant som bara stoppar utvalda program.

De flesta seriösa VPN-tjänster, inklusive NordVPN och svenska Inleed VPN, har en inbyggd kill switch. Kontrollera att den är aktiverad i inställningarna — den är ofta avstängd som standard.

Let's Encrypt lanserades 2015 av Internet Security Research Group med målet att göra krypterad HTTPS gratis och automatisk för alla. Före dess kostade SSL-certifikat pengar och krävde manuell hantering, vilket gjorde att många mindre sajter körde okrypterat. Idag utfärdar tjänsten hundratals miljoner certifikat och har varit en central drivkraft bakom att nästan hela webben nu använder HTTPS.

Certifikaten är giltiga i 90 dagar och förnyas automatiskt via ACME-protokollet, så du behöver aldrig tänka på förnyelse. De erbjuder samma kryptering som betalda DV-certifikat (Domain Validation) men saknar organisationsvalidering som vissa företag vill ha för utökat förtroende.

Praktiskt taget alla moderna webbhotell och kontrollpaneler (cPanel, DirectAdmin, Plesk) har Let's Encrypt inbyggt och installerar certifikatet med ett klick eller helt automatiskt. Det innebär att gratis HTTPS numera är en självklarhet, inte en premiumfunktion.

En no-log-policy innebär att VPN-leverantören inte lagrar uppgifter om vilka sajter du besöker, när du är uppkopplad eller vilken IP-adress du haft. Poängen är att om det inte finns några loggar finns det heller inget att lämna ut vid en begäran från myndigheter eller vid ett dataintrång.

Eftersom policyn i praktiken bygger på förtroende har de mest seriösa aktörerna låtit oberoende revisionsbyråer granska sina system. NordVPN har fått sin no-log-policy granskad flera gånger av bland andra PwC och Deloitte, och PureVPN har granskats av KPMG. Var skeptisk mot tjänster som påstår no-log utan att kunna visa en oberoende granskning.

Även VPN-tjänstens jurisdiktion spelar roll: en leverantör i ett land utan krav på datalagring har lättare att upprätthålla no-log. Svenska Inleed VPN lagrar exempelvis ingen trafikdata, och Mullvad kräver inte ens ett konto.

OpenVPN har varit branschstandarden för säkra VPN-anslutningar i över två decennier. Det är öppen källkod, har granskats grundligt av säkerhetsforskare och stöder ett stort urval av krypteringsalgoritmer via OpenSSL-biblioteket. Protokollet kan köras över både UDP (snabbare) och TCP (mer pålitligt genom brandväggar).

Styrkan är mognad, flexibilitet och förmågan att ta sig igenom restriktiva nätverk genom att maskera sig som vanlig HTTPS-trafik på port 443. Nackdelen är en större kodbas och något högre overhead, vilket gör OpenVPN långsammare än det moderna WireGuard, särskilt på mobila enheter.

De flesta VPN-tjänster erbjuder både OpenVPN och WireGuard och låter dig välja i klienten. OpenVPN kan vara att föredra i nätverk där WireGuard blockeras, medan WireGuard oftast ger bäst hastighet.

Ransomware är en form av skadlig programvara som krypterar filer på ditt system och sedan kräver lösensumma (ofta i kryptovaluta) för att återställa åtkomsten. Moderna varianter krypterar inte bara filer på den infekterade datorn utan sprider sig över hela nätverket och krypterar backups om de inte är isolerade.

Svenska företag har drabbats hårt under 2020-talet — Kalix kommun 2021, Coop 2021, många mindre företag sedan dess. Attackerna kommer typiskt in via phishing-mail, sårbarheter i exponerade tjänster eller stulna lösenord. Även med god IT-säkerhet är ransomware ett reellt hot som alla organisationer behöver förbereda sig för.

Försvar mot ransomware: (1) isolerade off-site backups (3-2-1-regeln), (2) moderna slutpunktsskydd (EDR, inte bara antivirus), (3) multifaktorautentisering för alla konton, (4) patch-management för att täppa kända sårbarheter, (5) utbildning av användare mot phishing, (6) inkresponsplan som testats. Att betala lösensumman rekommenderas aldrig — det finansierar brott och ger ingen garanti för återställning.

SPF (Sender Policy Framework) är en DNS-TXT-record som listar vilka servrar som är auktoriserade att skicka e-post från din domän. När en mailserver tar emot e-post från dindomän.se kollar den SPF-record och avvisar eller flaggar mailet som spam om avsändaren inte är i listan.

Typisk SPF-record för Google Workspace: "v=spf1 include:_spf.google.com ~all". För Microsoft 365: "v=spf1 include:spf.protection.outlook.com -all". Varje e-postleverantör har sin egen syntax. Du kan ha flera "include:" i en SPF-record om du skickar mail från flera system (Google Workspace + Mailchimp + Sendgrid).

SPF är en av tre grundtekniker för e-post-autentisering, tillsammans med DKIM och DMARC. Utan korrekt SPF hamnar dina legitima mail ofta i spam-mappar hos Gmail och Outlook. Alla svenska e-postleverantörer guidar genom SPF-uppsättning under onboarding. Verifiera alltid efter ändringar med mxtoolbox.com eller mail-tester.com.

SQL-injektion utnyttjar applikationer som bygger databasfrågor genom att klistra ihop användarens inmatning direkt med SQL-kommandon. Genom att skriva in preparerad kod i ett formulärfält kan en angripare lura databasen att köra egna kommandon — läsa ut hela användartabeller, ändra data eller till och med radera tabeller.

Sårbarheten har funnits med på OWASP:s topplista i många år trots att skyddet är välkänt: använd parametriserade frågor (prepared statements) så att inmatning aldrig tolkas som kod, validera och sanera all indata, och ge databasanvändaren minsta möjliga behörighet. Moderna ramverk och ORM-lager skyddar mot SQL-injektion om de används rätt.

För WordPress- och e-handelssajter är det plugins och teman med osäker kod som oftast öppnar dörren. Håll allt uppdaterat, kör en WAF (Web Application Firewall) framför sajten och begränsa administratörsrättigheter för att minska risken.

Tvåfaktorsautentisering (2FA, även kallat MFA för Multi-Factor) lägger till ett andra verifieringssteg utöver lösenord. Även om någon snor ditt lösenord kommer de inte in utan den andra faktorn. Typiskt en sexsiffrig kod från en mobilapp (Google Authenticator, Authy, 1Password), en push-notis, eller en hårdvarunyckel (YubiKey).

SMS-baserad 2FA används fortfarande mycket men är svagast — telefonnummer kan kapas genom SIM-swapping-attacker. App-baserade TOTP-koder (Time-based One-Time Password) är starkare och fungerar offline. Hårdvarunycklar (FIDO2/WebAuthn) är starkast och resistenta mot phishing — rekommenderas för admin-konton och finansiella tjänster.

För svenska småföretag: aktivera 2FA på allt viktigt — Google Workspace, Microsoft 365, bokföringstjänster (Fortnox, Bokio), affiliate-konton, WordPress admin, GitHub, AWS, Klarna. WordPress har plugins som Wordfence och Two Factor som enkelt lägger till 2FA. Spara backup-koder på säker plats (fysiskt eller krypterad lagring) för det scenario där du tappar telefonen. 2FA är den enskilt viktigaste säkerhetsåtgärden efter starkt lösenord.

WAF (Web Application Firewall) är en säkerhetsmekanism som granskar HTTP-trafik på djupet innan den når din applikation. Den letar efter kända attackmönster: SQL-injection-försök, cross-site scripting (XSS), command injection, brute-force-attacker mot inloggning. WAF skiljer sig från vanlig brandvägg genom att arbeta på applikationslagret (lager 7), inte nätverkslager.

Moderna WAF-alternativ 2026: Cloudflare WAF (molnbaserad, populärast, från gratis), AWS WAF (för AWS-kunder), Sucuri (WordPress-fokuserad), ModSecurity (open source, körs på egen server), LiteSpeed WAF (inbyggd i LiteSpeed webbserver). För svenska webbhotellskunder är Cloudflare den enklaste starten — byt bara DNS, aktivera WAF i några klick, och du är skyddad.

WAF är inte ensamt tillräckligt för säkerhet — det är ett lager i defense-in-depth. Du behöver också: hållet uppdaterad programvara, starka lösenord och 2FA, krypterade anslutningar (HTTPS), regelbunden backup, och övervakning. För e-handel med betalningar: WAF är i praktiken obligatoriskt eftersom automatiserade bots kontinuerligt probar efter sårbarheter i populära plattformar som WooCommerce och Magento.

WireGuard är ett VPN-protokoll som lanserades 2016 med målet att vara enklare, snabbare och säkrare än äldre alternativ som OpenVPN och IPsec. Kodbasen är extremt liten — omkring 4 000 rader jämfört med OpenVPN:s över 100 000 — vilket gör den lättare att granska och mindre benägen att innehålla säkerhetshål.

Den lilla, moderna designen ger märkbart högre hastigheter och lägre latens, samt betydligt snabbare återanslutning när du byter mellan wifi och mobilnät. WireGuard använder moderna kryptografiska primitiver med fasta, väl valda algoritmer i stället för en uppsjö av konfigurerbara alternativ.

Idag är WireGuard standardprotokollet i de flesta ledande VPN-tjänster. NordVPN bygger sin snabba NordLynx-teknik ovanpå WireGuard, och svenska Inleed VPN och Mullvad använder det som standard. För de allra flesta användare är WireGuard det bästa valet på hastighet.

XSS uppstår när en sajt visar användarinmatning utan att rensa den, så att en angripare kan smuggla in JavaScript som sedan körs i andra besökares webbläsare. Koden körs med sajtens rättigheter och kan stjäla sessionscookies, läsa av tangenttryckningar, omdirigera användaren eller manipulera sidans innehåll.

Attacken finns i flera former: lagrad XSS (koden sparas på servern, till exempel i en kommentar och drabbar alla som ser den), reflekterad XSS (koden skickas via en länk eller ett sökfält) och DOM-baserad XSS (som sker helt i webbläsaren). Skyddet bygger på att alltid escapa utdata, validera inmatning och sätta en Content Security Policy (CSP) som begränsar vilka skript som får köras.

För WordPress- och e-handelssajter är osäkra plugins och teman den vanligaste ingången. Håll allt uppdaterat, kör en WAF och undvik att bädda in ogranskad tredjepartskod. XSS är en av de mest utbredda webbsårbarheterna enligt OWASP.

Zero-knowledge (nollkunskap) betyder att leverantören bokstavligen inte har någon kunskap om innehållet i dina data. All kryptering och dekryptering sker lokalt på din enhet, och nyckeln — som härleds från ditt lösenord — skickas aldrig till servern. Leverantören lagrar därmed bara obegriplig chiffertext.

Modellen ger det starkaste integritetsskyddet inom molnlagring: även om servern hackas, om personal missbrukar sin åtkomst eller om en myndighet begär ut data finns ingenting läsbart att hämta. Priset är att om du glömmer ditt lösenord kan ingen återställa åtkomsten — det finns ingen "glömt lösenord"-genväg utan att datan går förlorad.

Zero-knowledge erbjuds ofta som ett tillval, exempelvis pCloud Crypto. För daglig lagring där återställbarhet väger tyngre kan standardkryptering räcka, men för de mest känsliga filerna är zero-knowledge det säkraste valet. Begreppet hänger nära ihop med end-to-end-kryptering.