Universell utforming, cookies, hastighet og sikkerhet: kravene til en norsk bedriftsnettside

Likestillings- og diskrimineringsloven med tilhørende forskrift om universell utforming av IKT-løsninger gjelder alle virksomheter som retter seg mot allmennheten, også private. Kravet er at nettsiden oppfyller WCAG 2.0 på nivå AA, med unntak for noen få kriterier. Offentlig sektor har fra 2023 krav etter WCAG 2.1. Tilsynet, Uu-tilsynet under Digitaliseringsdirektoratet, fører kontroll og kan gi pålegg og tvangsmulkt.

I praksis handler kravene om ting som gjør nettsiden brukbar for flere: tekst med nok kontrast mot bakgrunnen, alternativ tekst på bilder, at alt kan brukes med tastatur, at skjemaer har tydelige ledetekster og feilmeldinger, at overskrifter er strukturert, og at tekst kan forstørres uten at innholdet ødelegges. Ingenting av dette gjør nettsiden kjedelig. Det gjør den tydeligere for alle, inkludert kunden som prøver å lese den i sollys på telefonen.

Ekomloven krever at brukeren samtykker før nettsiden lagrer eller leser cookies og lignende som ikke er strengt nødvendige for at tjenesten skal fungere. Etter den nye ekomloven som trådte i kraft i 2025, skal samtykket oppfylle kravene i personvernforordningen: aktivt, informert og like enkelt å avslå som å godta. Et banner som sier «ved å fortsette godtar du» holder ikke, og en «godta»-knapp uten en like synlig «avslå» holder heller ikke.

Det enkleste er å ikke trenge samtykke. En bedriftsnettside uten annonsesporing, med analyse som ikke bruker cookies eller personopplysninger, for eksempel Umami eller Plausible, trenger ikke banner i det hele tatt. Det er slik denne nettsiden er satt opp. Bruker du Google Analytics, Meta-piksel eller innebygde YouTube-videoer, trenger du et ordentlig samtykkeverktøy, og du bør spørre deg om du faktisk bruker dataene.

Uansett trenger du en personvernerklæring som sier hva som samles inn, hvorfor, og hvem som er behandlingsansvarlig. Den skal være lett å finne, som regel i bunnen av hver side.

Hastighet er ikke lovkrav, men det er det tekniske kravet som påvirker forretningen mest. Google måler tre ting under navnet Core Web Vitals og bruker dem som rangeringssignal: LCP, hvor raskt hovedinnholdet vises, bør være under 2,5 sekunder. INP, hvor raskt siden reagerer når du trykker, bør være under 200 millisekunder. CLS, hvor mye innholdet hopper mens siden laster, bør være under 0,1.

Test nettsiden din i PageSpeed Insights på mobil. Vanlige årsaker til dårlige tall: bilder som lastes opp i full størrelse rett fra kameraet, tunge tema og plugins, skrifter som lastes fra flere kilder, og sporing fra mange tredjeparter. En statisk nettside med optimaliserte bilder får typisk grønne tall uten spesielle tiltak. En WordPress-side med tjue plugins må jobbe for det.

Husk at kundene dine i Nord-Norge ofte er på mobilnett med varierende dekning. En side som laster på ett sekund på kontoret kan bruke åtte på fjellet.

For de fleste bedriftsnettsider kommer flertallet av besøkene fra mobil, og Google indekserer mobilversjonen av nettsiden, ikke PC-versjonen. En nettside som «også fungerer på mobil» er derfor feil utgangspunkt. Den skal designes for mobil og så tilpasses større skjermer.

Sjekk på din egen telefon: er teksten lesbar uten å zoome, er knapper store nok til å treffe med tommelen, fungerer menyen, kan du trykke på telefonnummeret, og fungerer skjemaer med autoutfylling. Sjekk også at ingenting viktig ligger i en tabell eller et bilde som må scrolles sidelengs.

Https er minimum. Nettlesere merker sider uten det som usikre, og Google nedprioriterer dem. Sertifikater er gratis gjennom Let's Encrypt, og de fleste hostingleverandører setter det opp automatisk. Er nettsiden din på http i dag, er det det første som må fikses.

Utover det handler sikkerhet for småbedrifter om tre ting. Hold programvaren oppdatert, som først og fremst gjelder WordPress og plugins, der utdaterte versjoner er den vanligste angrepsveien. Ha backup som du vet fungerer, helst automatisk og lagret et annet sted enn nettsiden. Og beskytt tilgangene: sterke passord, to-faktor på domene, hosting og innholdssystem, og fjern tilgang for folk som har sluttet.

Statiske nettsider fjerner mesteparten av angrepsflaten, fordi det ikke finnes et innloggingspanel eller en database å angripe. Det er en av grunnene til at jeg bygger slik for de fleste kunder.