Säkerhetsgranskning av webbplats: komplett guide 2026

En säkerhetsgranskning av webbplatsen är en strukturerad genomgång av allt en angripare kan se och nå utifrån: ditt TLS-certifikat och dess krypteringsinställningar, dina DNS-poster, din e-postautentisering (SPF, DKIM och DMARC), dina HTTP-säkerhetsrubriker, de programvaruversioner du läcker i svaren och alla företagsuppgifter som redan cirkulerar på darknet. En bra granskning slutar med en prioriterad lista över fynd, där varje post har en ansvarig och en konkret åtgärd. Det utifrån synliga lagret tar ungefär sextio sekunder att skanna automatiskt. Hela övningen, gjord ordentligt, tar en eftermiddag.

Den här guiden går igenom vad en granskning faktiskt testar, de fyra djupnivåer som står till buds, en process i åtta steg som du kan köra den här veckan, och hur ofta du bör upprepa den.

Varför hotbilden 2026 ändrade räkningen

Verizons Data Breach Investigations Report 2026, publicerad den 19 maj 2026 och byggd på mer än 31 000 säkerhetsincidenter och över 22 000 bekräftade intrång i 145 länder, visade att utnyttjande av sårbarheter var den första angreppsvägen i 31 % av intrången. Det är första gången på rapportens nitton utgåvor som den går om stulna inloggningsuppgifter, som föll till 13 %.

Två stödsiffror ur samma rapport förklarar varför sällan genomförda granskningar nu blir dyra. Endast 26 % av de kritiska sårbarheterna i CISA:s katalog Known Exploited Vulnerabilities åtgärdades helt under 2025, ner från 38 % året innan. Och mediantiden för att helt åtgärda en sårbarhet steg till 43 dagar. Angriparna rör sig snabbare medan försvararna rör sig långsammare, så glappet du lämnar mellan granskningarna är precis det glapp de arbetar i.

Certifikatsidan har också förändrats. Genom CA/Browser Forums omröstning SC-081v3, antagen i april 2025 med röstsiffrorna 29 mot 0, sänktes den maximala livslängden för ett publikt betrott TLS-certifikat från 398 dagar till 200 dagar den 15 mars 2026. Den sänks till 100 dagar den 15 mars 2027 och till 47 dagar den 15 mars 2029. Återbrukstiderna för domänvalidering krymper vid samma datum. Varje förnyelseprocess som fortfarande bygger på att en människa minns en kalenderpost kommer att fallera inom den här cykeln, vilket gör certifikatets utgång till en permanent granskningspunkt i stället för en årlig.

Vad en säkerhetsgranskning faktiskt kontrollerar

De fyra första raderna är de som en extern skanner kan bedöma helt utan åtkomst till dina system, vilket är skälet till att de är snabbast att börja med och oftast där de första verkliga fynden dyker upp.

Vad granskningar oftast finner saknas

HTTP Archives Web Almanac 2025, som analyserar miljontals verkliga webbplatser, mätte hur många webbplatser som faktiskt sätter varje skyddande HTTP-rubrik. Svaret är nedslående: den mest spridda säkerhetsrubriken finns på ungefär hälften av webbplatserna, och Content Security Policy på knappt en femtedel.

Användning av centrala HTTP-säkerhetsrubriker på mobila sidor. Källa: HTTP Archive Web Almanac 2025, säkerhetskapitlet. Siffrorna för X-Content-Type-Options och X-Frame-Options är ungefärliga så som de publicerats.

Strict-Transport-Security nådde 36 % av sidorna 2025, en ökning med sex procentenheter jämfört med 2024 och årets starkaste uppgång. Content Security Policy växte från 18,5 % till 21,9 %. Nyare skydd som Permissions-Policy och Cross-Origin-Opener-Policy ligger fortfarande under 10 %. Även bland de webbplatser som faktiskt använder CSP tillåter 92 % fortfarande unsafe-inline i script-src och 77 % tillåter unsafe-eval, vilket tar bort det mesta av det skydd rubriken är tänkt att ge. Att införa en rubrik är inte samma sak som att konfigurera den väl, och en riktig granskning kontrollerar värdet, inte bara närvaron.

Transportkrypteringen är i betydligt bättre skick. TLS 1.3 bär nu ungefär 76 % av sidladdningarna, TLS 1.2 är nere på 13 till 15 %, och HTTPS-användningen överstiger 95 % i varje land som Almanac mäter utom Japan. Om din granskning fortfarande hittar TLS 1.0 eller 1.1 aktiverat tillhör du en liten och iögonfallande minoritet.

E-postautentiseringen är fortfarande den största luckan av alla. DMARCguards State of Email Authentication 2026, en skanning av 5 499 028 Tranco-rankade domäner avslutad den 27 februari 2026, fann SPF på 56,0 % av domänerna, DMARC på 30,4 % och DKIM på endast 22,7 %.

De fyra granskningsnivåerna, och när var och en lönar sig

De flesta organisationer bör behandla den första raden som alltid pågående och välja en av de tre övriga per år utifrån risk. Att beställa ett penetrationstest till en webbplats som fortfarande faller på en automatisk skanning är bortkastat, eftersom testaren ägnar uppdraget åt att rapportera fynd som ett gratisverktyg hade hittat på en minut.

Så gör du en säkerhetsgranskning i åtta steg

1. Inventera vad du äger. Lista varje domän, subdomän och tredjepartstjänst som visas under ditt varumärke. Granskningar misslyckas oftast för att den sårbara värden var en som ingen kom ihåg att de ägde.
2. Kör en extern skanning först. Skaffa bilden utifrån och in innan du lägger någons tid. Då vet du vilka av de sju lagren ovan som redan brister.
3. Kontrollera certifikat och automatisk förnyelse. Granska utgång, kedja och värdnamnstäckning, och kontrollera sedan att förnyelsen är automatiserad. Med gränsen på 200 dagar som nu gäller är manuell förnyelse ett schemalagt driftstopp.
4. Leta föräldralösa DNS-poster. Varje CNAME som pekar mot en tjänst du inte längre använder är ett subdomänövertagande som väntar på att inträffa. Ta bort föråldrade poster i stället för att låta dem ligga kvar.
5. Validera e-postautentiseringen hela vägen. Säkerställ att din SPF-post håller sig inom budgeten på tio DNS-uppslag, att DKIM signerar alla avsändande källor, och att DMARC har en starkare policy än p=none med en fungerande rapportadress.
6. Granska rubrikernas värden, inte bara att de finns. En CSP full av unsafe-inline och ett HSTS-värde med max-age på 300 sekunder klarar båda en naiv checklista och skyddar ingen.
7. Patcha efter utnyttjbarhet, inte enbart efter CVSS-poäng. Allt i CISA:s katalog Known Exploited Vulnerabilities som rör din stack går först.
8. Skriv ner fynden med ansvarig och datum. En granskning som slutar i ett samtal i stället för ett ärende har inte ägt rum.

Koppla dina fynd till OWASP Top 10:2025

OWASP publicerade 2025 års utgåva av sin Top 10 i januari 2026, efter att ha presenterat den på Global AppSec i Washington DC i november 2025. Två kategorier är nya, och båda är relevanta för vad en granskning nu bör täcka.

Att felaktig säkerhetskonfiguration klättrat till andra plats är den enskilt mest användbara signalen här för den som planerar en granskning. Det är den kategori som extern skanning täcker mest fullständigt, och den kategori som oftast lämnas åt den som satte upp servern för flera år sedan.

Hur ofta bör du granska?

Löpande för allt som går att automatisera, kvartalsvis för allt som kräver bedömning, och omedelbart efter någon av följande händelser: en plattforms- eller hostingmigrering, byte av e-postleverantör, en ny subdomän som går live, en större versionshöjning i ett beroende, eller en avgång där personen hade administratörsbehörighet. Verizons siffra att tredje parter nu förekommer i 48 % av intrången, en ökning med 60 % på ett år, betyder att ett leverantörsbyte förtjänar samma behandling som en förändring i din egen miljö.

Vanliga frågor

Hur lång tid tar en säkerhetsgranskning av en webbplats? En automatisk extern skanning av certifikat, DNS, e-postautentisering, rubriker och exponering är klar på ungefär en minut. En noggrann intern genomgång av fynden, med åtgärder tilldelade, tar typiskt en halv dag för en mindre webbplats.

Behöver jag ett penetrationstest, eller räcker en skanning? En skanning är rätt och tillräcklig utgångspunkt för varje webbplats, och det enda rimliga att köra löpande. Ett penetrationstest tillför värde när dina automatiska fynd är rena och du har inloggad funktionalitet, betalningar eller personuppgifter som är värda att angripa.

Kan en granskning göras utan åtkomst till min server? De flesta av de mest värdefulla kontrollerna kan det. TLS-konfiguration, certifikatgiltighet, DNS-hygien, SPF, DKIM, DMARC, säkerhetsrubriker och darknet-exponering går alla att bedöma från det öppna internet. Kodgranskning och autentiserad testning är de delar som kräver åtkomst.

Vad bör åtgärdas först efter en granskning? Allt som finns i CISA:s katalog Known Exploited Vulnerabilities, därefter ett certifikat som går ut eller är felkonfigurerat, därefter en DMARC-policy på p=none. De tre står för en oproportionerligt stor andel av verkliga intrång i förhållande till hur lite arbete det krävs att åtgärda dem.

Börja med sextiosekundersversionen

Du kan inte åtgärda det du inte har mätt, och det utifrån synliga lagret av en säkerhetsgranskning är gratis att mäta. FortifyNets skanner kontrollerar din SSL- och TLS-konfiguration, dina DNS-poster, SPF, DKIM och DMARC, HTTP-säkerhetsrubriker, darknet-exponering och prestanda på ungefär sextio sekunder, och returnerar en prioriterad lista i stället för en vägg av rådata. Kör den på din domän, åtgärda det den hittar, och avgör sedan om du behöver de djupare nivåerna.

Relaterade guider

• Checklista för webbplatssäkerhet
• Sårbarhetsskanner för webbplatser
• Guide till HTTP-säkerhetsrubriker
• SSL- och TLS-certifikatsäkerhet