En hänglåsikon i adressfältet bekräftar bara en sak: att webbläsaren litar på det certifikat som servern presenterar. Den säger ingenting om vilken TLS-version som förhandlas fram, om cipher suite stöder forward secrecy, hur länge kunddata lagras okrypterat i en databas, eller om en tredjepartsleverantör som hanterar dessa data uppfyller samma krav. GamblScouts algoritm betygsätter casinons kryptering i fyra lager — certifikathygien, protokoll- och cipher-konfiguration, standarder för kryptering i vila samt exponering via tredje part — eftersom regulatorer själva bara fastställer golvet, inte taket.
Viktiga slutsatser
- Webbläsarens hänglås bekräftar enbart certifikatförtroende; det avslöjar varken TLS-version, cipher-styrka eller forward secrecy — allt detta kräver en separat skanning på serversidan.
- PCI DSS v4.0.1 fastställer TLS 1.2 som obligatoriskt golv för alla system som överför kortinnehavardata, medan TLS 1.3 betraktas som bästa praxis snarare än ett krav.
- Spelregulatorer överlåter i stor utsträckning kryptografifrågan till andra: UK Gambling Commission baserar sina säkerhetskrav på ISO/IEC 27001:2022 Annex A snarare än att specificera protokollversioner själv.
- Nyliga incidenter som drabbat operatörer och deras leverantörer visar att intrång typiskt sett uppstår bakom TLS-lagret — i felkonfigurerad lagring, tredjepartsintegrationer för CRM eller databasåtkomstkontroller — inte i handskakningen i sig.
- GamblScouts poängsättning kombinerar automatiserad TLS/certifikatskanning med offentlig redovisning av revisionsomfång (PCI-nivå, ISO-certifiering) och kontroller av intrångshistorik, snarare än att förlita sig på en enda hänglåssignal.
Innehållsförteckning
Varför hänglåset inte räcker
Varje modern webbläsare visar samma låsikon för ett domänvaliderat certifikat utfärdat på nittio sekunder av en automatiserad certifikatutfärdare som för ett organisationsvaliderat certifikat som backas upp av en licensierad operatörs juridiska enhet. Hänglåset bekräftar att trafiken mellan webbläsaren och servern är krypterad och att en certifikatutfärdare garanterar domänen. Det bekräftar inte styrkan på den krypteringen, om äldre protokollversioner fortfarande är aktiverade för kompatibilitetens skull, eller vad som händer med data när den väl når servern.
Denna lucka är särskilt viktig för spelplattformar eftersom de data som står på spel — identitetshandlingar, betalkortnummer, deklarationer om medlens ursprung, spelhistorik — är mer värdefulla än vid en typisk e-handelstransaktion. Ett visuellt lugnande hänglås på en insättningssida berättar ingenting för spelaren om operatören fortfarande tillåter TLS 1.0 på en administrativ underdomän, om sessionscookies är flaggade som säkra, eller om KYC-uppladdningsendpunkten är föremål för samma granskning som kassan.
Regulatoriska golvet: UKGC, MGA och PCI DSS
Licensmyndigheter specificerar sällan kryptografiska algoritmer direkt. Istället kräver de att operatörer påvisar efterlevnad av etablerade ramverk för informationssäkerhet och genomgår periodiska revisioner. UK Gambling Commissions Remote Technical Standards illustrerar detta tillvägagångssätt:
dess teststrategi kräver en tredjepartsrevision av säkerheten mot specifika avsnitt av ISO/IEC 27001:2022 på årsbasis
.
Kommissionen har baserat sina säkerhetskrav på relevanta avsnitt i Annex A till standarden ISO/IEC 27001:2022, som ersatte 2013 års version
. Omfånget täcker uttryckligen
elektroniska system som registrerar, lagrar, bearbetar, delar, överför eller hämtar känslig kundinformation, till exempel kredit- och/eller debetkortuppgifter, autentiseringsinformation, kunders kontosaldon
, tillsammans med de system som genererar och bearbetar slumptal för spelresultat.
Malta följer en parallell logik.
Den informationssäkerhetsnivå som Malta Gaming Authority eftersträvar är den som anges i ISO/IEC 27001:2013, med molntjänstleverantörer vägledda av ISO/IEC 27002:2013
. I praktiken sammanfattar licensguider förväntningen tydligt:
säkerhetsläget är viktigt, med ISO-anpassade processer, kryptering i vila och under överföring, strikta åtkomstkontroller och regelbundna penetrationstester
. Maltas egna GDPR-vägledning för spelindustrin går längre när det gäller data som lämnar plattformen och anger att en operatör som överför personuppgifter förblir ansvarig för att
vidta alla säkerhetsåtgärder som krävs för att säkerställa att personuppgifter överförs säkert, med hjälp av end-to-end-kryptering, till rätt destination
.
Betalkortsdata regleras av en separat, mer föreskrivande standard.
Den aktuella versionen är PCI DSS v4.0.1, publicerad i juni 2024, som blev den enda aktiva versionen när v4.0 avvecklades den 31 december 2024
. Vad gäller transportkryptering specifikt
kräver PCI DSS krav 4.2.1 stark kryptografi för kortinnehavardata under överföring, med TLS 1.2 som lägsta acceptabla version, eftersom TLS 1.0 och 1.1 inte anses vara stark kryptografi
. Standardens egen definition av tillräcklig kryptografi är specifik:
stark kryptografi innebär branschtestad, accepterade algoritmer som ger minst 112 bitar effektiv nyckelstyrka med korrekt nyckelhantering
. Inget av detta är valfritt för en operatör som tar emot kortinsättningar, oavsett vad casinots egna marknadsföringssida påstår om ”militärklassad” säkerhet — en fras utan definierad teknisk innebörd i något av dessa ramverk.
Betygsättning av TLS-handskakningen
När en skanning går bortom ”finns HTTPS” delas den faktiska handskaningskonfigurationen upp i mätbara komponenter. Branschstandardiserade automatiserade betygsättare som Qualys SSL Labs — det riktmärke som GamblScouts egna automatiserade kontroller är modellerade efter —
utvärderar fyra kategorier: Certifikat (30 %, som täcker förtroendekedja, nyckelstorlek, signaturalgoritm och giltighetsperiod), Protokollstöd (30 %, vilka TLS-versioner som är aktiverade eller inaktiverade), Nyckelutbyte (30 %, styrkan hos DH/ECDH-parametrar och forward secrecy) samt Cipher-styrka (10 %, den svagaste cipher suite som servern fortfarande accepterar)
.
Dessa kategoripoäng räknas inte bara ihop till ett betyg; flera hårda överstyrningar gäller.
Om TLS 1.0 eller 1.1 fortfarande är aktiverat någonstans på endpointen begränsas betyget till B oavsett övriga poäng; om TLS 1.3 inte stöds begränsas betyget till A-; om HSTS saknas eller är ogiltigt sjunker ett annars A-betyg till A-; och avsaknad av forward secrecy eller AEAD cipher-stöd begränsar var och en resultatet till B
. Med andra ord kan ett casinons kassasida presentera ett fullständigt giltigt certifikat från en betrodd utfärdare och ändå misslyckas i ett meningsfullt säkerhetstest eftersom en orelaterad underdomän — ofta ett äldre CMS eller en gammal affiliate-spårningsendpoint — fortfarande svarar på TLS 1.1.
HTTP Strict Transport Security (HSTS) förtjänar särskild uppmärksamhet eftersom det är den header som oftast saknas på operatörssajter byggda på white label-plattformar.
En distribuerad HSTS-header ger poäng mot betyget, men en robust konfiguration — minst ett års varaktighet, includeSubDomains och förladdning i webbläsaren — krävs för högsta betyg
. Utan den kan en spelare som skriver en domän utan ”https://” tyst nedgraderas till en okrypterad anslutning vid första kontakten — en lucka som hänglåset på senare sidinladdningar aldrig avslöjar.
Kryptering i vila: vad händer efter inloggning
TLS skyddar data i rörelse mellan webbläsaren och serverns edge. Det säger ingenting om vad som händer med dessa data när de väl skrivs till en databas, en säkerhetskopia eller en analyspipeline — vilket är där de mer allvarliga felen tenderar att uppstå. Den accepterade baslinjen här kommer från NIST snarare än från någon spelspecifik regulator:
AES specificeras i FIPS 197 och har tre nyckellängder — 128, 192 och 256 bitar
, alla tre av vilka förblir formellt acceptabla för kryptering och dekryptering enligt nuvarande federala riktlinjer. AES-256 är det konservativa valet för data med lång lagringstid, såsom KYC-dokument och transaktionshistorik, och amerikanska federala riktlinjer beskriver dess livslängd tydligt:
”AES-128, AES-192 och AES-256 kommer att förbli säkra under decennier framöver”
även med hänsyn till förväntade framsteg inom kvantkryptering.
Det praktiska problemet för casinoplattformar handlar mindre om vilken algoritm som väljs och mer om huruvida den tillämpas konsekvent i alla system som hanterar spelardata — inklusive tredjepartsverktyg för CRM, affiliate-spårningsdatabaser och betalningsprocessorloggar som ofta befinner sig utanför kärnspelplattformens egna säkerhetsperimeter. Detta är samma gränsproblem som utforskas i vår metodik för revision av betalningsgateways: en kassa kan köra felfri TLS medan processorn bakom den lagrar korttokens enligt en svagare standard.
När intrång sker är den svaga länken sällan TLS
Nyliga incidenter i sektorn illustrerar detta direkt. I intrånget som drabbade spelplattformen 1win
hade läckta data inklusive e-postadresser, telefonnummer, IP-adresser, födelsedatum, geografiska platser och SHA-256-hashade lösenord cirkulerat på hackerforum sedan november 2024
— en databasexponering, inte ett fel på transportlagret. TLS-anslutningen till inloggningssidan var irrelevant när det underliggande datalagret självt hade komprometterats.
Ett liknande mönster uppträdde i oktober 2025, när
en cyberattack mot iGaming CRM-leverantören Fast Track komprometterade två av dess casinokunder, med Shuffle Casinos data exponerad via tredjepartsleverantören snarare än via dess egen infrastruktur
. Casinots egna sajt kunde ha fått A+ på alla TLS-mätvärden och ändå vara fullt exponerad via en ansluten leverantör som det inte direkt kontrollerade — precis det scenario som vår analys av zero-knowledge proofs beskriver som ett strukturellt argument för att minimera vad operatörer behöver lagra överhuvudtaget.
Merkur Group-incidenten i Tyskland visar samma dynamik i större skala. En forskare fann att
ett öppet valv med spelardata var exponerat på Merkur Groups onlinecasinoplattformar, vilket upptäcktes den 28 februari 2025
, med exponeringen som uppgavs inkludera
över 70 000 filer med KYC-data — skanningar av personliga ID-handlingar, selfies och adressbevis — som låg oskyddade på en olåst server
. Inget av dessa tre fall beskriver en trasig TLS-handskakning. Vart och ett beskriver data som krypterades under överföring och anlände säkert till en server som sedan misslyckades med att skydda dem i vila eller i lagringsåtkomstkontroller — vilket är exakt varför en bedömning baserad enbart på hänglåset väsentligt underskattar risken.
Hur GamblScouts algoritm betygsätter casinons kryptering
Vår poängsättningspipeline kör en automatiserad extern skanning mot varje domän och kritisk underdomän som en operatör exponerar — kassa, lobby, affiliate-spårning, livechatt och alla API-endpoints som kan upptäckas under vår standardcrawlning, beskriven mer ingående i vårt dataskrapningsnav. Skanningen registrerar erbjudna protokollversioner, cipher suite-ordning, certifikatkedjans fullständighet, nyckelstorlek, HSTS-headerkonfiguration och OCSP stapling-status, och tillämpar samma kategoriviktning och hårda överstyrningslogik som används av branschstandardiserade TLS-betygsättare snarare än att behandla certifikatnärvaro som ett godkänt/underkänt-kriterium.
Det transportlagersbaserade poängen viktas sedan mot offentligt redovisad revisionsposition: om operatörens regulator kräver ISO/IEC 27001:2022-baserade revisioner, vilken PCI-handlarnivå som gäller utifrån redovisad transaktionsvolym, och om operatören har haft ett redovisat intrång under de senaste 24 månaderna. En hög TLS-poäng kombinerad med ingen synlig revisionshistorik eller ett nyligt tredjepartsintrång drar ner det övergripande krypteringsbetyget, eftersom — som fallstudierna ovan visar — handskakningen bara är ett lager i stacken. Detta sammansatta tillvägagångssätt ingår i den bredare poängsättningslogik som beskrivs i vårt nav för poängsystem och algoritmiska vikter, och de bedrägerisignaler som nämns där korsrefereras mot det dedikerade navet för säkerhet, bedrägeridetektering och rättvist spel.
| Ramverk | Primärt omfång | Krav på transportkryptering | Revisionsgrund |
|---|---|---|---|
| UK Gambling Commission RTS | UK-licensierade fjärroperatörer och programvaruleverantörer | Ingen fast TLS-version specificerad; kryptografikontroller bedöms enligt ISO/IEC 27001:2022 Annex A | Tredjepartsrevision av säkerheten mot avsnitt i ISO/IEC 27001:2022 på årsbasis |
| Malta Gaming Authority | MGA-licensierade B2C- och B2B-operatörer | Kryptering under överföring och i vila förväntas; ingen obligatorisk protokollversion | ISO/IEC 27001:2013-anpassad informationssäkerhetsnivå, systemgranskning före driftsättning |
| PCI DSS v4.0.1 | Alla enheter som lagrar, bearbetar eller överför kortdata | TLS 1.2 minimum; TLS 1.0/1.1 uttryckligen förbjudna; TLS 1.3 föredraget | QSA-bedömning för Level 1-handlare; självbedömningsformulär under volymgränser |
| GDPR (EU/EES-spelare) | Alla personuppgiftsansvariga som behandlar EU-spelares personuppgifter | ”Lämpliga” tekniska åtgärder; end-to-end-kryptering förväntas vid dataöverföringar | Tillsyn av dataskyddsmyndighet; ingen föreskrivande revisionsfrekvens |
Vanliga frågor
Innebär en hänglåsikon att en casinosajt är säker att använda?
Det innebär att anslutningen till den specifika sidan är krypterad och att certifikatet är betrott av webbläsaren. Det bekräftar inte TLS-version, cipher-styrka eller vad som händer med data när den väl når servern, så det bör behandlas som en minimalsignal snarare än en säkerhetsgaranti.
Vilken TLS-version bör ett licensierat casino köra 2026?
TLS 1.2 är det regulatoriska golvet enligt PCI DSS v4.0.1 för alla sidor som hanterar kortdata, med TLS 1.3 som alltmer standard som föredragen konfiguration. En underdomän som fortfarande svarar på TLS 1.0 eller 1.1 är ett mätbart fynd, inte ett stilistiskt val.
Varför hänvisar spelregulatorer till ISO 27001 istället för specifika krypteringsalgoritmer?
Regulatorer föredrar generellt resultatbaserade standarder som håller sig aktuella i takt med att kryptografin utvecklas, snarare än att namnge algoritmer som kan bli föråldrade. Både UKGC:s och MGA:s ramverk hänvisar till ISO/IEC 27001 Annex A-kontroller och kräver oberoende revisioner, och lämnar den specifika kryptografiska implementeringen till erkända tekniska standarder som PCI DSS och NIST-vägledning.
Kan ett casino som använder stark TLS ändå drabbas av ett allvarligt dataintrång?
Ja. Transportkryptering skyddar data som rör sig mellan webbläsare och server; den skyddar inte data när den väl lagrats, och den täcker inte heller tredjepartsleverantörer med separat åtkomst till dessa data. Flera nyliga incidenter i sektorn uppstod i back-end-lagring eller leverantörssystem snarare än i TLS-anslutningen i sig.
Metodnotering
För denna kategori kombinerar GamblScouts algoritm automatiserade externa TLS/certifikatskanningar (protokollversion, cipher suite, HSTS, certifikatkedja) över en operatörs primära och identifierbara underdomäner med offentligt redovisat revisionsomfång (regulator, ISO-certifieringsstatus, PCI-handlarnivå) och en löpande kontroll mot redovisad intrångshistorik. Ingen enskild signal avgör poängen; ett starkt handskaningsresultat diskonteras om revisionsredovisning saknas eller om ett nyligt tredjepartsintrång finns dokumenterat.
Spel innebär risk. Spela bara för pengar du har råd att förlora och använd de insättningsgränser och självavstängningsverktyg som finns tillgängliga i din jurisdiktion.
