Certyfikat SSL to jedno z obowiązkowych warunków skutecznego promowania strony w sieci i zaufania użytkowników. To świadectwo bezpieczeństwa i niezawodności zasobów internetowych, którym można z większym zaufaniem przekazywać swoje dane.
W 2020 roku Google ogłosił, że posiadanie certyfikatu SSL będzie miało istotny wpływ na pozycjonowanie. A jeśli wcześniej korzystała z tego usługi tylko część webmasterów, to teraz trudno znaleźć stronę, która nie ma certyfikatu SSL.
Po zakupie domeny i hostingu, załadowaniu strony i skonfigurowaniu jej działania, najpierw należy zadbać o zakup lub stworzenie darmowego certyfikatu SSL.
Czym jest certyfikat SSL
Certyfikat SSL to protokół bezpiecznego szyfrowania danych. Chroni przed przechwyceniem informacji, którymi wymieniają się użytkownicy i strona. To wszystkie dane, które przechodzą przez ruch na stronie, ale najważniejsze jest zapewnienie bezpieczeństwa osobistych haseł i danych kart bankowych (data ważności, CVV). Dlatego posiadanie certyfikatu bezpieczeństwa odgrywa największą rolę dla sektora bankowego, sklepów internetowych i innych branż, w których dokonuje się operacji finansowych. Ale także tam, gdzie istnieją konta (fora, media społecznościowe, strony z rejestracją), ważne jest, aby loginy i hasła nie trafiły w ręce osób trzecich.
Mogą to być nie tylko przestępcy, ale także pracownicy obsługujący sieć, wi-fi lub serwer. Istnieje wiele pośrednich węzłów, przez które można przechwycić dane. Dlatego ich ochrona odgrywa ogromną rolę.
Certyfikat wygląda jak plik z kodem, to coś w rodzaju cyfrowego podpisu strony. Jest używany jako potwierdzenie, że klient wchodzi w interakcję z określoną stroną, a nie z hakerem, który może odpowiadać zamiast serwera.
Ale serwer nie może sam sobie dać potwierdzenia, że strona rzeczywiście istnieje i jest bezpieczna. Nie uwierzysz pierwszemu lepszemu na ulicy, że nazywa się George Washington? Aby zidentyfikować jego tożsamość, poprosisz o okazanie paszportu wydanego przez specjalną instytucję, urząd paszportowy.
Certyfikat SSL to właśnie paszport strony, wydany przez centrum certyfikacji.
Przeczytaj także: Jak ukryć stronę w trakcie tworzenia przed indeksowaniem przez wyszukiwarki i użytkowników
Jak działa certyfikat SSL
Aby lepiej zrozumieć zasadę działania SSL, trzeba wiedzieć, czym jest http i czym różni się od https.
Kiedy internet dopiero się pojawił, do wymiany informacji między odwiedzającym stronę a serwerem używano http — protokołu przesyłania hipertekstu. Zasada jest taka: klient wysyła zapytanie, serwer je przetwarza i zwraca odpowiedź. Tak samo teraz odbywa się przesyłanie danych, ale dla ich ochrony wprowadzono nowszy protokół, https, gdzie ostatnia litera oznacza security — zabezpieczony.
To nie jest nowy sposób przesyłania danych, a po prostu rozszerzony http z wykorzystaniem protokołów szyfrowania SSL/TLS. Te technologie szyfrują i deszyfrują dane za pomocą kluczy kryptograficznych. SSL to wcześniejszy sposób szyfrowania danych, TLS to jego kontynuacja.
Jak działa technologia bezpiecznego połączenia? W zasadzie to sprytny sposób na ustanowienie zamkniętego połączenia przez otwarty kanał.
Podczas pierwszego kontaktu przeglądarki użytkownika i strony (serwera) obie strony najpierw wymieniają się «uściskiem dłoni»:
-
Klient wysyła wiadomość hello.
-
Serwer odpowiada i wysyła certyfikat bezpieczeństwa strony.
-
Przeglądarka sprawdza certyfikat przez bazę certyfikatów głównych, wbudowaną w system lub samą przeglądarkę.
Po tym obie strony przy pomocy klucza publicznego (ze strony klienta) i klucza prywatnego (ze strony serwera) wspólnie generują tajny klucz, za pomocą którego w dalszej kolejności będą realizować szyfrowanie.
To dość uproszczony schemat, aby stworzyć ogólne zrozumienie procesu. Do generowania sekretnego klucza używana jest skomplikowana i wieloetapowa technologia, inaczej mogłaby być złamana przez kogokolwiek.
Jak sprawdzić certyfikat SSL na stronie
Obecność lub brak certyfikatu jest bardzo łatwa do zauważenia. Jeśli certyfikat jest, w pasku adresu obok nazwy domeny będzie widoczna zamknięta kłódka i napis https. Jeśli certyfikat jest nieobecny, litery https będą przekreślone na czerwono, a obok domeny zobaczysz znak wykrzyknika w trójkącie lub przekreśloną kłódkę. W zależności od przeglądarki ikony mogą się różnić. Klikając na ikonę po lewej stronie domeny, dokładnie zrozumiesz, czy na stronie jest certyfikat, czy nie.
Ale jak dowiedzieć się, jak wiarygodny jest certyfikat i czy można ufać stronie, która go używa?
W tym celu można skorzystać z usług online:
Usługi są anglojęzyczne, ale można je tłumaczyć za pomocą wbudowanego tłumacza w Google Chrome. Dokonują one głębokiej analizy certyfikatu, sprawdzają poziom bezpieczeństwa, termin ważności i inne parametry.
Skorzystaliśmy z usługi SSL Shopper do sprawdzenia dwóch domen — strony Cityhost oraz zasobu, który działa na protokole http. Jak widać, w drugim przypadku usługa «narzeka», że certyfikat jest już dawno przeterminowany.
Rodzaje certyfikatów SSL
Certyfikaty mogą różnić się pod względem całego szeregu kryteriów.
Według typu weryfikacji
-
Z weryfikacją domeny (DV). Najprostszy i najczęściej spotykany rodzaj certyfikatu, ale ma najmniejsze zabezpieczenia. Aby go uzyskać, nie trzeba przechodzić poważnych procedur weryfikacyjnych, wystarczy potwierdzić prawo do domeny. Instalacja odbywa się bardzo szybko. Zalecany do instalacji na małych stronach bez wprowadzania danych przez użytkownika lub z formularzem kontaktowym, ale bez przeprowadzania poważnych operacji finansowych przez stronę.
-
Z weryfikacją firmy (OV). W tym przypadku będzie sprawdzana nie tylko domena, ale także rejestracja właściciela, potwierdzająca prawo do prowadzenia działalności gospodarczej. Należy przedstawić dokumenty potwierdzające rejestrację FOP z kierunkiem działalności, który odpowiada tematyce strony. Aby uzyskać taki certyfikat SSL, może być potrzebne do trzech dni, ale jest on bardziej wiarygodny i pozwala na dokonywanie zakupów online oraz przechowywanie w kontach użytkowników danych zabezpieczonych.
-
Z rozszerzoną weryfikacją (EV). Taki certyfikat może uzyskać tylko osoba prawna — przedsiębiorstwo lub firma. Należy przedstawić wszystkie dokumenty rejestracyjne i poczekać do dwóch tygodni. Używany do dużych projektów z elementem finansowym — stron banków, rynków, firm transportowych.
Według typu dystrybucji
-
Jednodomenowy rozprzestrzenia się tylko na jedną domenę lub subdomenę.
-
Certyfikat wielodomenowy SAN/UCC działa od razu dla kilku domen jednej firmy.
-
Wildcard (WC) chroni domenę i jej subdomeny, zarówno istniejące, jak i te, które będą stworzone w przyszłości.
Dodatkowe kryteria
-
Code Signing SSL (certyfikat dewelopera) — dla firm, które opracowują i sprzedają oprogramowanie
-
SGC — certyfikat z wymuszonym wysokim poziomem szyfrowania
-
IDN — certyfikaty z obsługą domen cyrylicznych
Wszystkie rodzaje łatwo się ze sobą łączą — na przykład może to być certyfikat wielodomenowy z weryfikacją organizacji i wysokim poziomem szyfrowania danych.
Jak kupić certyfikat SSL
Certyfikaty zaufania wydawane są przez wiele centrów certyfikacji. Wśród nich można wyróżnić Sectigo Limited, DigiCert Inc, Symantec, GeoTrust, RapidSSL, Thawte i inne. Ale nie trzeba się do nich zwracać bezpośrednio. Większość dostawców oferuje do taryf hostingowych cały zestaw certyfikatów do wyboru. Taka opcja jest nawet lepsza, ponieważ dostawca ma wystarczające doświadczenie, aby znaleźć niezawodne centrum certyfikacji i zaproponować najlepsze rozwiązanie.
Czynniki, które kształtują koszt certyfikatu:
-
Kwota odszkodowania, którą centrum certyfikacji gwarantuje wypłacić w przypadku wycieku danych
-
Metoda potwierdzenia (DV, OV, EV)
-
Dystrybucja (na jedną domenę/subdomenę lub kilka)
-
Poziom niezawodności (szyfrowania)
W zależności od tego cena certyfikatu SSL może wahać się od 350 UAH za rok do 12 000 UAH i więcej. Im wyższa cena — tym bardziej niezawodny certyfikat i wyższy poziom odpowiedzialności centrum certyfikacji za bezpieczeństwo danych. Najtańsze — z weryfikacją domeny. Po nich w cenie są certyfikaty z weryfikacją firmy, a najdroższe — z rozszerzoną weryfikacją.
Cityhost również oferuje możliwość zakupu certyfikatów SSL różnych poziomów ochrony. Można je zainstalować zarówno dla domeny zakupionej u nas, jak i używać dla domen zarejestrowanych u innej firmy.
Darmowy certyfikat — czy warto go brać?
Każdy właściciel strony może uzyskać certyfikat SSL za darmo. Najpopularniejszym centrum wydawania takich certyfikatów jest Let’s Encrypt. To organizacja non-profit, której celem jest uczynienie internetu bardziej bezpiecznym. Istnieje dzięki sponsorom, głównie producentom oprogramowania i innych produktów cyfrowych.
Darmowe certyfikaty mają istotne zalety: nie trzeba za nie płacić i są szybko instalowane automatycznie bez udziału centrum certyfikacji. Ale mają ograniczone możliwości.
Wady darmowych certyfikatów:
-
Nie gwarantują ochrony danych finansowych, brak wypłaty odszkodowania za ich wyciek.
-
Minimalny poziom ochrony. To najprostszy certyfikat z podstawową funkcją weryfikacji domeny.
-
Trzeba je często odnawiać (zwykle okres ważności wynosi 3 miesiące). Prawda, że dostawcy oferują funkcję automatycznego odnawiania, co ułatwia proces.
-
Brak wsparcia technicznego.
Ale mimo wszystkich tych wad, darmowe certyfikaty są zainstalowane na milionach stron. Dlaczego? Ponieważ to optymalne rozwiązanie dla małych wizytówek, blogów i innych zasobów, na których nie odbywają się operacje finansowe ani wprowadzanie danych poufnych. Ale jeśli masz sklep internetowy lub stronę, na której odwiedzający mają konta lub wypełniają formularze rejestracyjne — koniecznie zaopatrz się w płatny certyfikat.
W panelu zarządzania hostingiem Cityhost również istnieje możliwość zainstalowania darmowego certyfikatu SSL Let's Encrypt w jeden klik. W tym celu należy kliknąć zakładkę Hosting 2.0 w panelu zarządzania, a następnie przejść do sekcji «Zarządzanie» (przycisk obok nazwy domeny). W otwartym oknie należy kliknąć zakładkę SSL, gdzie najpierw włączyć Free SSL, a następnie — «Przekierowanie na https». Dlaczego włącza się przekierowanie — opowiemy poniżej.
Jak zainstalować certyfikat SSL i zrobić przekierowanie na https
Jeśli kupiłeś lub zamówiłeś darmowy certyfikat u swojego dostawcy, to automatycznie zostanie on przypisany do domeny. Ale jeśli został zakupiony w centrum certyfikacji lub na specjalnej usłudze, należy go zainstalować. Dzieje się to w sekcji SSL, do której ścieżka została opisana powyżej. Tylko teraz trzeba będzie kliknąć przycisk «Zainstaluj» obok pola «Dowolny certyfikat SSL».
Będzie trzeba osobno wprowadzić tekst samego certyfikatu i jego klucz prywatny, który również wygląda jak kod.
Po zainstalowaniu certyfikatu wersja http nie znika, nadal działa równolegle z https. Dlatego trzeba zrobić przekierowanie, aby klient zawsze trafiał na zabezpieczony kanał. Oto dlaczego włączamy opcję «Przekierowanie na https». Należy ją aktywować zawsze, niezależnie od tego, gdzie uzyskano certyfikat i ile on kosztuje.
Są też inne sposoby wykonania przekierowania: za pomocą tworzenia przekierowania w .htaccess lub specjalnych wtyczek, jeśli używasz CMS.
Nie zapominaj o wyszukiwarkach. Sprawdź, aby w usługach analitycznych i promocyjnych Google adres strony był podany z https, w przeciwnym razie będzie źle pozycjonowany.
Jaki certyfikat wybrać, kupić czy zamówić darmowy — wszystko zależy od specyfiki projektu. Najważniejsze, aby certyfikat SSL był obowiązkowo na stronie i był na czas odnawiany.
Podobał Ci się artykuł? Powiedz o nim znajomym: 
