Julkaistu 2026-03-29 · 10 min · Opas
Tietoturva, GDPR, varmuuskopiot ja kuukausikustannukset – AI-palveluiden sudenkuopat.
AI teki kotisivut nopeasti — mutta toimivatko ne oikeasti? Tietoturva, GDPR, varmuuskopiot ja kuukausikustannukset, jotka pienyrittäjä kohtaa liian myöhään.
Tekoäly tekee kotisivun nopeasti. Muutama kehotus, ja sivusto on pystyssä. Se näyttää siistiltä, latautuu nopeasti ja toimii puhelimella. Tämä ei ole markkinointipuhetta, vaan asia jonka kuka tahansa voi kokeilla itse vartissa.
Ongelma ei ole ulkoasussa. Ongelma on siinä, mitä jää kysymättä. Kenen nimissä verkkotunnus on? Mihin yhteydenottolomake oikeasti lähettää viestin? Näkeekö hakukone sivun tekstin? Kuka painaa päivitysnappia ensi keväänä? Näihin ei saa vastausta katsomalla sivua.
Tässä jutussa käydään läpi kahdeksan kohtaa, jotka jäävät useimmiten kysymättä. Jokaisen voi tarkistaa itse ilman että kukaan myy mitään. Lakien kohdat on luettu viranomaisten omilta sivuilta ja linkit ovat lopussa.
Rehellisyyden vuoksi kannattaa aloittaa siitä, mikä toimii. Tekoälytyökalu tuottaa siistin ulkoasun, järkevän mobiiliasettelun ja ensimmäisen version teksteistä nopeammin kuin kukaan ehtii sopia palaveria. Sivuston ensimmäinen versio ei ole enää kynnys.
Puutteet eivät myöskään ole salaliitto. Kukaan ei ajattele pyytää varmuuskopiointia tai verkkotunnuksen haltijatietoa, koska ne eivät näy ruudulla. Tämän listan kohdat jäävät kysymättä riippumatta siitä, tehdäänkö sivu koneella, itse vai kumppanin kanssa. Tekotapojen erot on käyty läpi jutussa Wix, WordPress vai räätälöity koodi.
HTTPS-lukko selaimen osoiterivillä ei ole koriste. Se tarkoittaa, että sivuston ja kävijän välinen liikenne on salattua. Ilman sitä Chrome merkitsee osoiteriville Ei turvallinen, ja Googlen oman ohjeen sanoin sivusto ei silloin käytä yksityistä yhteyttä: joku voi nähdä ja muuttaa sivuston kautta lähetettyjä tietoja.
Merkintä näkyy jokaisella sivulla. Myös sillä, jolla asiakkaan pitäisi jättää nimensä ja puhelinnumeronsa.
Moni sivustopalvelu antaa sertifikaatin automaattisesti, mutta sertifikaatit vanhenevat. Vanhentunut sertifikaatti on pahempi kuin puuttuva. Puuttuva näkyy merkintänä osoiterivillä, mutta varmenteen ongelmissa Chrome näyttää virheilmoituksen, ja Chromen oma ohje listaa varmennevirheet yleisimpien virheilmoitusten joukossa. Sivusto ei siis näytä huonolta, vaan kävijä näkee ensin virheilmoituksen.
Yksi väärinkäsitys kannattaa oikaista tässä samalla: HTTPS ei yksin nosta sivua hakutuloksissa. Google kertoi vuonna 2014 ottavansa HTTPS:n käyttöön rankingsignaalina ja kuvasi sen omin sanoin hyvin keveäksi signaaliksi, joka vaikutti tuolloin alle prosenttiin globaaleista hauista ja painoi vähemmän kuin laadukas sisältö. Samassa kirjoituksessa Google sanoi voivansa vahvistaa signaalia myöhemmin, ja nykyisessä sivukokemusohjeessaan se kysyy, toimitetaanko sivut turvallisesti. Sertifikaatti kannattaa pitää voimassa ennen kaikkea siksi, että kävijä uskaltaa täyttää lomakkeen.
Mitä tarkistaa: onko osoiterivillä lukko? Kuka vastaa sertifikaatin uusimisesta ja uusiutuuko se automaattisesti?
Verkkotunnus on yrityksen osoite verkossa. Se on myös ainoa osa kokonaisuutta, jota ei voi rakentaa uudestaan. Ulkoasun voi tehdä toisen kerran, mutta vanhaan osoitteeseen kertynyttä tunnettuutta ei.
Tunnus pitää uusia määräajoin. Jos uusiminen unohtuu tai maksukortti vanhenee, tunnus vapautuu ja joku muu voi rekisteröidä sen. Pahempi sudenkuoppa on se, että tunnus on rekisteröity sivujen tekijän nimiin eikä yrityksen. Silloin osoite ei ole sinun.
Fi-tunnuksen kohdalla auttaa se, että välittäjän vaihtaminen on säädelty. Traficomin ohjeen mukaan välittäjää voi vaihtaa ilman erityistä perustetta, pyyntö tehdään kirjallisesti joko nykyiselle tai tulevalle välittäjälle, ja vaihto tehdään välittäjänvaihtoavaimella, joka on voimassa 30 päivää.
Sama kysymys koskee muitakin tilejä. Hosting, sähköposti, analytiikka, Google-yritysprofiili ja mainostilit ovat kukin oma sopimuksensa. Jos ne ovat kumppanin tilien alla, sivusto toimii mutta et pääse siihen käsiksi.
Mitä tarkistaa: kenen nimissä verkkotunnus on ja milloin se vanhenee? Millä alustalla sivusto pyörii ja kenen tilin alla? Saatko tunnukset halutessasi itsellesi?
Kotisivujen tärkein tehtävä on tuoda yhteydenottoja. Lomake on se hetki, jossa kävijä muuttuu liidiksi. Siksi on erikoista, miten harvoin sitä testataan julkaisun jälkeen.
Vikoja on kolmea lajia. Viesti menee osoitteeseen, jota kukaan ei lue. Viesti kulkee palvelun kautta, joka vaatii maksullisen tilin jatkuakseen. Tai viesti päätyy roskapostiin, koska lähettävää domainia ei ole tunnistettu oikein. Kaikissa asiakas luulee lähettäneensä yhteydenoton, eikä yrittäjä näe sitä.
Hiljainen lomake on pahin vika, koska se ei näy mistään. Kävijämäärä näyttää normaalilta ja sivusto näyttää toimivalta. Vain yhteydenotot puuttuvat, eikä kukaan tiedä montako.
Testaus kestää viisi minuuttia. Täytä lomake itse oikeilla tiedoilla, lähetä, ja katso kello. Tarkista saapunut viesti, roskapostikansio ja se, saako asiakas vahvistuksen. Lomakkeen rakenteesta on oma juttunsa: liidilomake joka konvertoi.
Mitä tarkistaa: tuleeko viesti perille ja kuinka nopeasti? Menikö se roskapostiin? Kirjautuuko lähetys mihinkään, vai onko sähköposti ainoa jälki? Yhteydenottojen mittaamisesta on erillinen tarkistuslista jutussa Google Analytics 4 ei kerro kun se on väärin.
Sivulla on kahdenlaista tekstiä. On teksti, joka tulee palvelimelta valmiina sivun lähdekoodissa. Ja on teksti, joka syntyy vasta selaimessa, kun sivun JavaScript on ajettu.
Lukijalle nämä näyttävät samalta. Koneelle ne eivät ole sama asia. Lähdekoodissa oleva teksti on luettavissa aina. Selaimessa syntyvä teksti on luettavissa vain sille, joka suorittaa skriptit.
Tämän voi tarkistaa itse minuutissa. Avaa sivun lähdekoodi, Windowsissa Ctrl+U, ja hae ensimmäinen kappale hakutoiminnolla. Jos teksti löytyy, se on varmasti luettavissa. Jos ei löydy, sisältö riippuu siitä, kuka jaksaa renderöidä sen.
Sama koskee kuvia ja otsikkorakennetta. Jos sivun tärkein lause on kuvassa, sitä ei ole tekstinä olemassa. Jos sivulla on kolme yhtä isoa otsikkoa eikä yhtään pääotsikkoa, sivun aihetta ei ole kerrottu koneelle missään. Aihetta käsitellään laajemmin jutussa tekoälyoptimointi (GEO).
Verkkosivua koskee kaksi eri säädöstä, ja ne menevät jatkuvasti sekaisin. Yhteydenottolomake, analytiikka ja uutiskirje keräävät kaikki henkilötietoja, ja niiden käsittelystä säädetään tietosuoja-asetuksessa eli GDPR:ssä. Evästeiden tallentamisesta kävijän laitteelle säädetään Suomessa erikseen sähköisen viestinnän palveluista annetun lain (917/2014) 205 §:ssä, ja sitä valvoo Traficom. Jos evästeillä kerätään henkilötietoja, niiden käsittelyyn sovelletaan lisäksi GDPR:ää, ja Traficomin oman ohjeen mukaan henkilötietojen käsittelyssä toimivaltainen viranomainen on tietosuojavaltuutettu. Kaksi eri viranomaista voi siis kysyä kahta eri asiaa samasta sivustosta.
Tietosuoja-asetus (GDPR) edellyttää:
Evästesääntely (laki sähköisen viestinnän palveluista 205 §) edellyttää:
Nopeasti tehdyllä sivustolla nämä dokumentit joko puuttuvat tai ovat geneerisiä malleja. Malli kertoo evästeistä, joita sivustolla ei ole, ja jättää mainitsematta sen analytiikan, joka siellä oikeasti pyörii.
Seuraamuksista puhutaan isoimmalla mahdollisella luvulla. Tarkka muotoilu on tämä: tietosuoja-asetuksen 83 artiklan mukaan vakavimmista rikkomuksista, kuten käsittelyn perusperiaatteiden tai rekisteröidyn oikeuksien rikkomisesta, sakko on enintään 20 miljoonaa euroa tai neljä prosenttia yrityksen edeltävän tilikauden maailmanlaajuisesta kokonaisliikevaihdosta, sen mukaan kumpi on suurempi. Osa velvollisuuksista kuuluu alempaan luokkaan, jossa katto on 10 miljoonaa euroa tai kaksi prosenttia.
Enimmäismäärä ei kerro, mitä pienyritykselle määrätään. Saman artiklan mukaan sakon on oltava kussakin yksittäisessä tapauksessa tehokas, oikeasuhteinen ja varoittava, ja sen määrässä otetaan huomioon muun muassa rikkomisen luonne, vakavuus ja kesto. Olennaisempaa on, että valvontaviranomainen voi asetuksen mukaan asettaa myös väliaikaisen tai pysyvän käsittelyn rajoituksen, kuten käsittelykiellon.
Mitä tarkistaa: voiko evästebannerissa kieltäytyä helposti, ilman että asetuksia pitää etsiä? Aktivoituuko analytiikka vasta luvan jälkeen? Vastaako tietosuojaseloste sitä, mitä sivustolla oikeasti tapahtuu? Jos tekoälytyökaluihin syötetään asiakastietoja, lue myös mitä tekoälylle saa syöttää.
Saavutettavuus tarkoittaa, että sivua voi käyttää myös ruudunlukijalla, pelkällä näppäimistöllä tai heikolla näöllä. Tästä myydään pienyrityksille pelolla, joten kannattaa lukea mitä laki oikeasti sanoo.
Traficomin ylläpitämän saavutettavuusvaatimukset.fi-sivuston mukaan digipalvelulakia sovelletaan viranomaisiin, julkisoikeudellisiin laitoksiin, viranomaisrahoitteisiin järjestöihin sekä osaan yksityisistä toimijoista: muun muassa pankkeihin, vakuutusyhtiöihin, energia- ja vesihuoltoon, liikenteeseen ja postiin.
Kuluttajille suunnatut verkkokaupat tulivat mukaan omalla siirtymäajallaan. Saman sivuston mukaan digipalvelulakia sovelletaan 28.6.2025 alkaen kuluttajille tarkoitettuihin verkkokauppoihin. Samaan joukkoon kuuluvat sähkökirjat, osa henkilöliikenteen ja pankkien palveluista, audiovisuaaliseen sisältöön pääsyn tarjoavat palvelut ja viestintäpalvelut.
Tässä on se kohta, joka jätetään yleensä kertomatta. Lakia ei sovelleta mikroyritykseen. Mikroyritys on sivuston määritelmän mukaan yritys, jossa on alle 10 työntekijää ja jonka vuotuinen liikevaihto tai taseen loppusumma on enintään kaksi miljoonaa euroa. Mikroyrityksiä kuitenkin kannustetaan noudattamaan vaatimuksia vapaaehtoisesti.
Käytännössä kolmen hengen yrityksen esittelysivustoa laki ei velvoita. Jos yritys kasvaa rajan yli ja myy kuluttajille verkossa, tilanne muuttuu. Raja kannattaa tarkistaa omasta tilinpäätöksestä eikä myyjän kalvolta.
Vapaaehtoinenkin työ kannattaa tehdä, koska se on samaa työtä kuin hakukonenäkyvyys. Kuvien vaihtoehtoiset tekstit, järkevä otsikkohierarkia, riittävä kontrasti ja näppäimistöllä käytettävä lomake tekevät sivusta luettavan sekä ruudunlukijalle että koneelle.
Mitä tarkistaa: pääsetkö lomakkeen läpi pelkällä sarkainnäppäimellä? Näkyykö kohdistus, kun siirryt kentästä toiseen? Onko kuvilla vaihtoehtoinen teksti? Erottuuko harmaa teksti valkoisesta taustasta ulkona puhelimella?
Palvelimet kaatuvat. Päivitykset rikkovat asioita. Joku poistaa vahingossa tiedoston. Nämä ovat normaalia kulumista, jota vastaan varaudutaan etukäteen.
Varmuuskopiossa on kaksi kysymystä, ja vain toinen muistetaan kysyä. Ensimmäinen on, otetaanko kopioita. Toinen on, onko palautusta koskaan kokeiltu. Kopio, jota ei ole kertaakaan palautettu, on lupaus eikä varmuuskopio.
Kysy myös, kuinka kauas taaksepäin kopiot ulottuvat. Jos kopio otetaan kerran vuorokaudessa ja vanha korvautuu uudella, viikon päästä huomattu virhe on jo kopioitu päälle. Silloin kopioita on, mutta ei sitä jota tarvitset.
Mitä tarkistaa: ottaako palvelu automaattiset kopiot ja kuinka usein? Kuinka monta versiota säilyy ja kuinka pitkältä ajalta? Kuka osaa tehdä palautuksen ja kuinka kauan se kestää? Onko sitä testattu kertaakaan?
Kotisivut eivät ole kertahankinta. Selaimet päivittyvät, tietoturva-aukkoja löytyy ja lait muuttuvat. Sivusto tarvitsee huoltoa, jotta se pysyy toimivana.
Kysymys ei ole alustasta vaan siitä, kuka painaa päivitysnappia. Jos vastaus on "minä sitten kun ehdin", vastaus on käytännössä ei kukaan. WordPressin oma tietoturvaohje kertoo syyn, miksi viivyttely maksaa: kun haavoittuvuus korjataan uudella versiolla, tieto sen hyödyntämisestä on lähes varmasti julkista. Päivittämätön sivusto on siksi alttiimpi hyökkäyksille kuin päivitetty.
Kustannuksista markkinoidaan aloitushinnalla. Jatkuvat erät kannattaa listata itse ennen kuin sitoutuu alustaan, koska vaihtaminen jälkikäteen maksaa enemmän kuin ensimmäinen valinta. Erät ovat lähes aina nämä:
Euromääriä ei kannata uskoa toisen kirjoittamasta listasta, koska ne muuttuvat ja vaihtelevat palveluittain. Listaa erät, katso kunkin oma hinnasto ja laske itse. Lähtöhinnat ja ylläpidon sisältö näkyvät hinnastossa ja ylläpitosivulla.
Mitä tarkistaa: mitkä erät ovat käytössä ja kenen nimissä? Mikä uusiutuu automaattisesti ja millä kortilla? Mistä irtisanoudut, jos vaihdat kumppania?
Mikään yllä olevista ei vaadi teknistä osaamista. Ne vaativat vain sen, että joku kysyy ääneen.
Jos johonkin kysymykseen ei tule vastausta, se on löydös eikä puute sinussa. Vastaamaton kysymys on juuri se kohta, johon kannattaa käyttää seuraava tunti.
Tekoäly on hyvä työkalu sivuston ulkoasuun ja ensimmäiseen versioon. Ulkoasu on kuitenkin se osa, joka näkyy. Toimiva kotisivu on lisäksi joukko asioita, jotka eivät näy: omissa nimissä oleva verkkotunnus, lomake joka toimittaa viestin, lähdekoodissa oleva teksti, lainmukainen tietosuoja, testattu palautus ja tiedossa olevat jatkuvat kulut.
Käy lista läpi ennen kuin hyväksyt valmiin sivuston. Jos et tiedä vastausta johonkin kohtaan, se kannattaa selvittää nyt eikä siinä vaiheessa kun jokin on jo poikki. Maksuttomassa 20 minuutin puhelussa käydään läpi, mikä kannattaa laittaa kuntoon ensin ja mitä ei kannata rakentaa lainkaan. Palvelut on kuvattu palvelusivulla.
Kolmannen osapuolen faktat on luettu näiltä sivuilta 13.9.2026 ja tarkistettu uudelleen 1.10.2026. Lainsäädäntö ja viranomaisten ohjeet muuttuvat — tarkista voimassa oleva tieto lähteestä ennen kuin kirjoitat sen omille sivuillesi.