Hver gang du ser den lille hængelås i din browsers adresselinje, stoler du på en certificate authority til at bekræfte, at websitet faktisk er det, det udgiver sig for at være. For størstedelen af internettet ligger den bekræftelse hos én organisation: Let's Encrypt.

Gratis er kun begyndelsen

Let's Encrypt dukkede op i 2014 med en dristig idé: HTTPS-certifikater skulle være gratis og fuldt automatiske. Før dem indebar processen at få et certifikat komplekse verifikationsprocesser, ofte kostbare gebyrer og manuel håndtering af fornyelser. For mindre udviklere og nystartede virksomheder var det en reel barriere for at have en sikker tilstedeværelse på nettet.

Folkene bag Let's Encrypt ændrede spillet. Ved at automatisere hele certifikat-livscyklussen og fjerne omkostningerne gjorde de websikkerhed fra en luksus til en selvfølge. I dag kan du sætte et sikkert website op på minutter uden at bruge en krone på certifikater. Det er forandrende demokratisering af internettet.

Det 52%-problem

Her bliver det ukomfortabelt. Ifølge data fra Cloudflares transparensdashboard udsteder Let's Encrypt mere end halvdelen af alle webcertifikater. Når man ser på individuelle browsermønstre, rapporterer nogle brugere, at næsten halvdelen af de sider, de besøger dagligt, er afhængige af Let's Encrypt-udstedte certifikater.

Denne koncentration vækker bekymring, når man tager højde for Let's Encrypts seneste politikopdatering: De inkorporerer nu eksplicit U.S. sanctions-overholdelse i deres vilkår. Det betyder, at enheder under amerikanske sanktioner – individer, organisationer eller hele lande – ikke kan modtage certifikater fra Let's Encrypt og dermed reelt er afskåret fra at få legitim HTTPS-beskyttelse.

Hvorfor skal du bekymre dig?

Du tænker måske: "Jeg er ikke under sanktioner, så det påvirker ikke mig." Det er forståeligt nok, men det overser de bredere konsekvenser.

Når én enkelt organisation under ét lands jurisdiktion kontrollerer størstedelen af websikkerhedsinfrastrukturen, har du skabt det, der i praksis er et geopolitisk flaskehals. Låsen i din browser – som repræsenterer tillid, sikkerhed og krypteret kommunikation – afhænger af overholdelse af et enkelt lands love. Dette er ikke hypotetisk; det påvirker allerede rigtige organisationer og individer.

For udviklere, der bygger produkter med globale ambitioner, repræsenterer denne koncentration både en teknisk afhængighed og en geopolitisk risiko. Hvad sker der, når compliance-kravene udvides? Hvad sker der, når andre jurisdiktioner begynder at kræve lignende kontroller? Vi stoler grundlæggende kritisk internetinfrastruktur på én regerings udenrigspolitiske beslutninger.

Vejen frem

Ingen af dette betyder, at Let's Encrypt er skurkagtige, eller at du skal droppe HTTPS. Tjenesten er stadig værdifuld, og holdet bag den har udrettet bemærkelsesværdigt arbejde med at gøre nettet mere sikkert.

Bevidsthed betyder noget. Diversificering betyder noget. Certificate authority-økosystemet har brug for sund konkurrence og geografisk distribution af tillid. Organisationer som Cloudflare, Google Trust Services og regionale myndigheder spiller vigtige roller, men ingen har matchet Let's Encrypts skala.

Hvis du designer systemer til globale målgrupper, så overvej hvilke myndigheder der udsteder dine certifikater. Dokumentér dine afhængigheder. Hav backup-planer. Låsen i din browser kan virke som en lille ting, men den bygger på infrastruktur med virkelige politiske implikationer – og det er værd at forstå.

Nettets sikkerhed bør ikke afhænge af ét enkelt kontrolpunkt, hvad enten det er en virksomhed, en regering eller en NGO. Som byggere af internettet har vi et ansvar for at tænke kritisk over disse afhængigheder, selv når de er pakket ind i den trygge familiaritet fra en grøn hængelås.

Har du tanker om certificate authority-centralisering? Del din perspektiv med os.