Hva HTTPS faktisk beskytter
Siden 2018 har HTTPS blitt den absolutte standarden på nettet. Takket være Let's Encrypt-initiativet og retningslinjer i nettleserne (Chrome og Firefox merker HTTP-nettsteder som «ikke sikre») er over 95 % av all nettrafikk i verden kryptert via TLS.
Denne krypteringen beskytter innholdet i kommunikasjonen din ende-til-ende: passordene dine, bankkortopplysningene dine, meldingene og filene dine. Noen som fanger opp Wi-Fi-trafikken din, ser bare kryptografisk støy, de kan ikke lese det du sender eller mottar.
Offentlig Wi-Fi i 2026 er derfor grunnleggende sett mindre farlig enn i 2015 når det gjelder direkte avlytting av data. De fleste alarmistiske rådene du leser, stammer fra en tid da HTTP fortsatt var allestedsnærværende.
Hva det ikke beskytter
HTTPS skjuler ikke metadata. På et nett du ikke kontrollerer, kan en observatør se hvilket domene du kobler deg til (ikke den eksakte URL-en, men domenet: takket være SNI-en som er synlig i klartekst under TLS-håndtrykket), når, hvor lenge og hvor mye data som utveksles. Disse metadataene er avslørende.
En angriper på det samme nettet kan også utføre DNS-spoofing hvis enheten din ikke bruker DNS over HTTPS: ved å bytte ut legitime DNS-svar med adresser som peker til angriperens egne servere. Angriperen kan opprette en falsk hotspot med nøyaktig samme navn som det legitime Wi-Fi-nettet (Evil Twin-angrep) for å fange opp tilkoblingene dine før de når internett. Vedkommende kan også forsøke SSL-stripping på de sjeldne nettstedene som ikke har HSTS aktivert.
Reelle risikoer i 2026
I praksis er de gjenværende risikoene på offentlig Wi-Fi i 2026 som følger:
- →Evil Twin: et falskt Wi-Fi-nettverk med nøyaktig samme navn som det legitime, en teknikk som er særlig utbredt på flyplasser og store togstasjoner. Du kobler deg til det som ser ut som riktig nettverk, men trafikken din går gjennom utstyr kontrollert av en angriper.
- →DNS-spoofing hvis enheten din ikke tvinger gjennom DNS over HTTPS: DNS-forespørslene dine kan omdirigeres til ondsinnede servere.
- →Apper som fortsatt bruker vanlig HTTP for enkelte funksjoner (autentisering, synkronisering): sjelden i 2026, men det finnes.
- →Kapring av økter (session hijacking) på nettsteder uten riktig konfigurerte Secure- og SameSite-cookies.
Praktiske anbefalinger
På et offentlig Wi-Fi-nettverk er det fortsatt god praksis å slå på VPN-en din før du kobler til noe som helst. En VPN eliminerer Evil Twin-angrepet (trafikken din krypteres før den i det hele tatt forlater enheten) og DNS-spoofing (VPN-en bruker sine egne krypterte DNS-servere).
Slå av automatisk Wi-Fi-tilkobling på telefonen: det er funksjonen som automatisk kobler deg til ethvert nettverk med et navn du har brukt før. Det er praktisk, men det utnyttes av Evil Twin-angrep.
Sjekk at følsomme nettsteder (nettbank, e-post, netthandel) viser HTTPS-hengelåsen i nettleseren før du taster inn noe. På iOS og Android tvinger seriøse apper gjennom HTTPS som standard.
Offentlig Wi-Fi er mindre farlig enn det var for ti år siden, men det er ingen grunn til å senke garden. Gjenværende risikoer: Evil Twin, DNS-spoofing, feilkonfigurerte apper, er reelle og lar seg utnytte. Med et VPN slått på og DNS over HTTPS er du beskyttet mot praktisk talt alle reelle angrep på et usikret nett.
- Google, "HTTPS encryption on the web", Google Transparency Report (accessed 2026)
- Emily Schechter, "A milestone for Chrome security: marking HTTP as 'not secure'", Google Chrome Blog, 2018
- Cloudflare, "Encrypt it or lose it: how encrypted SNI works", Cloudflare Blog, 2018
- P. Hoffman & P. McManus, "RFC 8484: DNS Queries over HTTPS (DoH)", IETF, 2018
- M. Souppaya & K. Scarfone, "NIST SP 800-153: Guidelines for Securing Wireless Local Area Networks (WLANs)", NIST, 2012
Slå på Trasimène VPN