Πιστοποιητικά HTTPS και SSL: Κάντε την ιστοσελίδα σας ασφαλή (και γιατί πρέπει)

Ανεξάρτητα από τον τύπο της online επιχείρησης ή της υπηρεσίας που εκτελείτε, πρέπει να διασφαλίσετε ότι τα ιδιωτικά δεδομένα είναι ασφαλή με τα πιστοποιητικά HTTPS και SSL. Εδώ είναι ο πλήρης οδηγός μας.

Όταν πρόκειται για την αποστολή προσωπικών πληροφοριώνμέσω του Διαδικτύου, είτε πρόκειται για πληροφορίες επικοινωνίας, για διαπιστευτήρια σύνδεσης, πληροφορίες λογαριασμού, πληροφορίες τοποθεσίας ή οτιδήποτε άλλο μπορεί να καταστρατηγηθεί - το κοινό είναι εν γένει παρανοϊκό για τους χάκερ και τους κλέφτες ταυτότητας. Και δικαίως. Ο φόβος ότι οι πληροφορίες σας ενδέχεται να κλαπούν, να αλλοιώνουν ή να καταχρώνται είναι τελείως παράλογη. Οι τίτλοι σχετικά με διαρροές και παραβιάσεις ασφαλείας τις τελευταίες δεκαετίες το αποδεικνύουν. Αλλά παρά τον φόβο αυτό, οι άνθρωποι συνεχίζουν να κάνουν τραπεζικές συναλλαγές, ψώνια, περιοδικό, χρονολόγηση, κοινωνικοποίηση και άλλες προσωπικές και επαγγελματικές επιχειρήσεις στο διαδίκτυο. Και υπάρχει ένα μικρό πράγμα που τους δίνει την εμπιστοσύνη να το κάνουμε αυτό. Θα σας το δείξω:

Παρόλο που δεν όλοι καταλαβαίνουν πώς λειτουργεί,αυτό το μικρό λουκέτο στη γραμμή διευθύνσεων σηματοδοτεί στους χρήστες του Διαδικτύου ότι έχουν μια αξιόπιστη σύνδεση με έναν νόμιμο ιστότοπο. Εάν οι επισκέπτες δεν βλέπουν ότι στη γραμμή διευθύνσεων όταν τραβούν την ιστοσελίδα σας, δεν θα - και δεν θα έπρεπε - να πάρουν την επιχείρησή τους.

Για να αποκτήσετε το μικρό λουκέτο της γραμμής διεύθυνσης για τον ιστότοπό σας, χρειάζεστε ένα πιστοποιητικό SSL. Πώς μπορείτε να πάρετε ένα; Διαβάστε παρακάτω για να μάθετε.

Σύντομο άρθρου:

Τι είναι το SSL / TLS;
Πώς να χρησιμοποιήσετε το HTTPS;
Τι είναι το Πιστοποιητικό SSL και πώς μπορώ να πάρω ένα;
Οδηγός αγορών πιστοποιητικών SSL
- Αρχή έκδοσης πιστοποιητικών
- Επικύρωση τομέα έναντι εκτεταμένης επικύρωσης
- Κοινόχρηστο SSL έναντι ιδιωτικού SSL
- Εμπιστευτικές σφραγίδες
- Πιστοποιητικά SSL μπαλαντέρ
- Εγγυήσεις
- Δωρεάν πιστοποιητικά SSL και πιστοποιητικά SSL με αυτόνομη υπογραφή
Εγκατάσταση πιστοποιητικού SSL
HTTPS πλεονεκτήματα και μειονεκτήματα

Τι είναι το SSL / TLS;

Στον ιστό, τα δεδομένα μεταφέρονται χρησιμοποιώντας το πρωτόκολλο μεταφοράς υπερκειμένου. Αυτός είναι ο λόγος για τον οποίο όλες οι διευθύνσεις URL ιστοσελίδων έχουν "http: //" ή "httpμικρό://" μπροστα τους.

Ποια είναι η διαφορά μεταξύ http και https; Αυτό το επιπλέον S έχει μεγάλες συνέπειες: Ασφάλεια.

ΑΣΕ με να εξηγήσω.

Το HTTP είναι η "γλώσσα" που ο υπολογιστής σας και οχρήση του διακομιστή για να μιλήσετε μεταξύ τους. Αυτή η γλώσσα είναι καθολικά κατανοητή, η οποία είναι βολική, αλλά έχει και τα μειονεκτήματά της. Όταν μεταφέρονται δεδομένα μεταξύ εσάς και ενός διακομιστή μέσω του Διαδικτύου, θα κάνουν κάποιες στάσεις στην πορεία πριν φτάσετε στον τελικό προορισμό του. Αυτό δημιουργεί τρεις μεγάλους κινδύνους:

Αυτό μπορεί να γίνει κάποιος αφουγκράζομαι στη συνομιλία σας (κάτι σαν ψηφιακή υποκλοπή).
Αυτό μπορεί να γίνει κάποιος υποδύομαι ένα (ή και τα δύο) από τα μέρη σε κάθε άκρο.
Αυτό μπορεί να γίνει κάποιος tamper με τα μηνύματα που μεταφέρονται.

Οι χάκερ και οι τσιράκια χρησιμοποιούν ένα συνδυασμό των παραπάνωγια μια σειρά από απάτες και θύματα, συμπεριλαμβανομένων των ατυχημάτων phishing, των επιθέσεων "man-in-the-middle" και της καλής ντεμοντέ διαφήμισης. Οι κακόβουλες επιθέσεις θα μπορούσαν να είναι τόσο απλές όσο να εξαπλώνονται τα διαπιστευτήρια του Facebook παρεμποδίζοντας τα κρυπτογραφημένα μπισκότα (υποκλοπή) ή θα μπορούσαν να είναι πιο εξελιγμένα. Για παράδειγμα, θα μπορούσατε να σκεφτείτε ότι είπατε στην τράπεζά σας: "Μεταφέρετε $ 100 στον ISP μου", αλλά κάποιος στη μέση θα μπορούσε να αλλάξει το μήνυμα για να διαβάσει: "Παρακαλώ μεταφέρετε $ 100 όλα τα χρήματά μου προς το ISP μου Peggy στη Σιβηρία"(Αλλοίωση δεδομένων και πλαστοπροσωπία).

Έτσι, αυτά είναι τα προβλήματα με το HTTP. Για την επίλυση αυτών των προβλημάτων, το HTTP μπορεί να τοποθετηθεί με ένα πρωτόκολλο ασφαλείας, με αποτέλεσμα το HTTP Secure (HTTPS). Συνηθέστερα, το S στο HTTPS παρέχεται από το πρωτόκολλο Secure Sockets Layer (SSL) ή από το πρωτόκολλο πρωτοκόλλου Security Layer Transport (TLS). Όταν αναπτυχθεί, το HTTPS προσφέρει αμφίδρομη κρυπτογράφηση (για την αποτροπή της υποκλοπής), υπηρέτης αυθεντικοποίηση (για την αποτροπή της πλαστοπροσωπίας) και πιστοποίηση ταυτότητας μηνύματος (για την αποφυγή παραβιάσεων δεδομένων).

Πώς να χρησιμοποιήσετε το HTTPS

Όπως μια ομιλούμενη γλώσσα, το HTTPS λειτουργεί μόνο εάν και οι δύοτα μέρη επιλέγουν να τα μιλήσουν. Από την πλευρά του πελάτη, η επιλογή χρήσης του HTTPS μπορεί να γίνει πληκτρολογώντας το "https" στη γραμμή διευθύνσεων του προγράμματος περιήγησης πριν από τη διεύθυνση URL (π.χ. αντί για πληκτρολόγηση http://www.facebook.com, πληκτρολογήστε https: // www. facebook.com) ή με την εγκατάσταση μιας επέκτασης που αναγκάζει αυτόματα το HTTPS, όπως το HTTPS Everywhere για Firefox και Chrome. Όταν το πρόγραμμα περιήγησης ιστού σας χρησιμοποιεί HTTPS, θα δείτε ένα εικονίδιο λουκέτου, πράσινη γραμμή προγράμματος περιήγησης, μπράβο ή κάποιο άλλο καθησυχαστικό σημάδι ότι η σύνδεσή σας με το διακομιστή είναι ασφαλή.

Ωστόσο, για να χρησιμοποιήσετε το HTTPS, ο διακομιστής ιστού πρέπειυποστηρίξτε το. Εάν είστε webmaster και θέλετε να προσφέρετε το HTTPS στους επισκέπτες του ιστού σας, τότε θα χρειαστείτε ένα πιστοποιητικό SSL ή ένα πιστοποιητικό TLS. Πώς αποκτάτε πιστοποιητικό SSL ή TLS; Συνέχισε να διαβάζεις.

Περαιτέρω ανάγνωση: Ορισμένες δημοφιλείς εφαρμογές ιστού σάς επιτρέπουν να επιλέξετε το HTTPS στις ρυθμίσεις χρηστών σας. Διαβάστε τις αναφορές μας στο Facebook, το Gmail και το Twitter.

Τι είναι το Πιστοποιητικό SSL και πώς μπορώ να πάρω ένα;

Για να χρησιμοποιήσετε το HTTPS, ο διακομιστής ιστού πρέπει να έχειπιστοποιητικό SSL ή πιστοποιητικό TLS. Ένα πιστοποιητικό SSL / TLS είναι σαν ένα αναγνωριστικό φωτογραφίας για τον ιστότοπό σας. Όταν ένα πρόγραμμα περιήγησης που χρησιμοποιεί HTTPS αποκτά πρόσβαση στην ιστοσελίδα σας, θα πραγματοποιήσει μια "χειραψία", κατά την οποία ο υπολογιστής-πελάτης ζητάει το πιστοποιητικό SSL. Στη συνέχεια, το πιστοποιητικό SSL επικυρώνεται από μια αξιόπιστη αρχή πιστοποιητικού (CA), η οποία επιβεβαιώνει ότι ο διακομιστής είναι ποιος λέει ότι είναι. Εάν όλα τα check out, ο επισκέπτης ιστού σας παίρνει το καθησυχαστικό πράσινο σημάδι ελέγχου ή εικονίδιο κλειδώματος. Εάν κάτι πάει στραβά, θα λάβουν μια προειδοποίηση από το πρόγραμμα περιήγησης στο Web, δηλώνοντας ότι η ταυτότητα του διακομιστή δεν μπορεί να επιβεβαιωθεί.

Αγοράστε ένα πιστοποιητικό SSL

Όταν πρόκειται να εγκαταστήσετε ένα πιστοποιητικό SSL στην ιστοσελίδα σας, υπάρχει μια πληθώρα παραμέτρων για να αποφασίσετε. Ας δούμε το πιο σημαντικό:

Αρχή έκδοσης πιστοποιητικών

Η αρχή πιστοποίησης (CA) είναι η εταιρείαπου εκδίδει το πιστοποιητικό SSL και είναι αυτό που θα επικυρώνει το πιστοποιητικό σας κάθε φορά που ένας επισκέπτης έρχεται στον ιστότοπό σας. Ενώ κάθε πάροχος πιστοποιητικών SSL θα ανταγωνιστεί σε τιμές και χαρακτηριστικά, το νούμερο ένα πράγμα που πρέπει να λάβετε υπόψη όταν εξετάζετε τις αρχές πιστοποιητικών είναι αν έχουν ή όχι πιστοποιητικά που είναι προ-εγκατεστημένα στα πιο δημοφιλή προγράμματα περιήγησης ιστού. Εάν η αρχή έκδοσης πιστοποιητικών που εκδίδει το πιστοποιητικό SSL δεν βρίσκεται σε εκείνη τη λίστα, τότε θα σας ζητηθεί από τον χρήστη να ειδοποιήσει ότι το πιστοποιητικό ασφαλείας του ιστότοπου δεν είναι αξιόπιστο. Φυσικά, αυτό δεν σημαίνει ότι ο ιστότοπός σας είναι παράνομος - σημαίνει απλώς ότι η ΑΠ σας δεν είναι στη λίστα (ακόμα). Αυτό είναι ένα πρόβλημα επειδή οι περισσότεροι χρήστες δεν θα ασχοληθούν με την ανάγνωση της προειδοποίησης ή την έρευνα της μη αναγνωρισμένης ΑΠ. Θα κάνουν πιθανώς απλά κλικ μακριά.

Ευτυχώς, ο κατάλογος των προεγκατεστημένων CAs στοτα μεγάλα προγράμματα περιήγησης είναι αρκετά μεγάλα. Περιλαμβάνει μερικά μεγάλα εμπορικά σήματα καθώς και λιγότερο γνωστά και πιο προσιτά CAs. Τα νοικοκυριά περιλαμβάνουν Verisign, Go Daddy, Comodo, Thawte, Geotrust και Entrust.

Μπορείτε επίσης να δείτε τις ρυθμίσεις του προγράμματος περιήγησης που χρησιμοποιείτε, για να δείτε ποιες αρχές πιστοποιητικών έρχονται προεγκατεστημένες.

Για το Chrome, μεταβείτε στις Ρυθμίσεις -> Εμφάνιση σύνθετων ρυθμίσεων… -> Διαχείριση πιστοποιητικών.
Για τον Firefox, κάντε Επιλογές -> Για προχωρημένους -> Προβολή Πιστοποιητικών.
Για IE, Επιλογές Διαδικτύου -> Περιεχόμενο -> Πιστοποιητικά.
Για το Safari, μεταβείτε στο Finder και επιλέξτε Go -> Utilities -> KeyChain Access και κάντε κλικ στο System.

Για γρήγορη αναφορά, ρίξτε μια ματιά σε αυτό το νήμα, το οποίο παραθέτει τα αποδεκτά πιστοποιητικά SSL για το Google Checkout.

Επικύρωση τομέα έναντι εκτεταμένης επικύρωσης

	Τυπικός χρόνος έκδοσης	Κόστος	Γραμμή διεύθυνσης
Επικύρωση τομέα	Σχεδόν αμέσως	Χαμηλός	Κανονικό HTTPS (εικονίδιο λουκέτου)
Επικύρωση οργανισμού	Λίγες ημέρες	Στα μέσα	Κανονικό HTTPS (εικονίδιο λουκέτου)
Εκτεταμένη επικύρωση	Μια εβδομάδα ή περισσότερο	Υψηλός	Πράσινη γραμμή διευθύνσεων, στοιχεία επαλήθευσης ταυτότητας εταιρείας

</ strong></ p>
Ένα πιστοποιητικό SSL προορίζεται να αποδείξει την ταυτότητατου ιστότοπου στον οποίο στέλνετε πληροφορίες. Για να διασφαλιστεί ότι οι άνθρωποι δεν λαμβάνουν πλαστά πιστοποιητικά SSL για τομείς που δεν ελέγχουν σωστά, μια αρχή έκδοσης πιστοποιητικών θα επιβεβαιώσει ότι το άτομο που ζητά το πιστοποιητικό είναι όντως ο κάτοχος του ονόματος τομέα. Συνήθως, αυτό γίνεται μέσω γρήγορης επικύρωσης email ή τηλεφωνικής κλήσης, όπως όταν ένας ιστότοπος σάς στέλνει ένα email με έναν σύνδεσμο επιβεβαίωσης λογαριασμού. Αυτό ονομάζεται a επικυρωμένος τομέας Πιστοποιητικό SSL. Το πλεονέκτημα αυτού είναι ότι επιτρέπει την έκδοση πιστοποιητικών SSL σχεδόν αμέσως. Θα μπορούσατε πιθανώς να πάρετε και να αποκτήσετε πιστοποιητικό SSL επικυρωμένου τομέα σε λιγότερο χρόνο από ό, τι χρειάστηκε για να διαβάσετε αυτήν την ανάρτηση ιστολογίου. Με πιστοποιητικό SSL επικυρωμένου τομέα, έχετε το λουκέτο και τη δυνατότητα κρυπτογράφησης της επισκεψιμότητας του ιστότοπού σας.
Τα πλεονεκτήματα ενός επικυρωμένου τομέα SSLΤο πιστοποιητικό είναι ότι είναι γρήγορο, εύκολο και φθηνό. Αυτό είναι και το μειονέκτημά τους. Όπως μπορείτε να φανταστείτε, είναι ευκολότερο να συνηθίσετε ένα αυτοματοποιημένο σύστημα από ένα σύστημα που λειτουργεί από ζωντανά ανθρώπινα όντα. Είναι κάπως σαν κάποιο παιδί από το γυμνάσιο να μπαίνει στο DMV λέγοντας ότι ήταν ο Μπαράκ Ομπάμα και ήθελε να πάρει πιστοποιητικό ταυτότητας. το άτομο στο γραφείο θα τον κοίταζε και θα καλούσε τους Feds (ή τον κάλαμο). Αλλά αν ήταν ένα ρομπότ που λειτουργούσε ένα περίπτερο ταυτότητας με φωτογραφία, μπορεί να έχει κάποια τύχη. Με παρόμοιο τρόπο, οι ψαράδες μπορούν να πάρουν «ψεύτικα αναγνωριστικά» για ιστότοπους όπως Paypal, Amazon ή Facebook, εξαπατώντας συστήματα επικύρωσης τομέα. Το 2009, ο Dan Kaminsky δημοσίευσε ένα παράδειγμα τρόπου απάτης σε CA για τη λήψη πιστοποιητικών που θα κάνουν έναν ιστότοπο ηλεκτρονικού ψαρέματος να φαίνεται σαν να ήταν μια ασφαλής, νόμιμη σύνδεση. Για έναν άνθρωπο, αυτή η απάτη θα ήταν εύκολο να εντοπιστεί. Ωστόσο, η αυτοματοποιημένη επικύρωση τομέα δεν είχε τους απαραίτητους ελέγχους για να αποφευχθεί κάτι τέτοιο.
Σε απόκριση στις ευπάθειες των πιστοποιητικών SSL και επικυρωμένων τομέων SSL, ο κλάδος εισήγαγε το Εκτεταμένη επικύρωση πιστοποιητικό. Για να αποκτήσετε πιστοποιητικό EV SSL, η εταιρεία ή ο οργανισμός σας πρέπει να υποβληθούν σε αυστηρό έλεγχο για να διασφαλιστεί ότι είναι σε καλή κατάσταση με την κυβέρνησή σας και ελέγχει σωστά τον τομέα για τον οποίο υποβάλλετε αίτηση. Αυτοί οι έλεγχοι, μεταξύ άλλων, απαιτούν ανθρώπινο στοιχείο και συνεπώς χρειάζονται περισσότερο χρόνο και είναι πιο ακριβοί.
Σε ορισμένες βιομηχανίες, απαιτείται πιστοποιητικό EV. Αλλά για άλλους, το όφελος φτάνει μόνο στο σημείο που θα αναγνωρίσουν οι επισκέπτες σας. Για τους καθημερινούς επισκέπτες του διαδικτύου, η διαφορά είναι λεπτή. Εκτός από το εικονίδιο λουκέτου, η γραμμή διευθύνσεων γίνεται πράσινη και εμφανίζει το όνομα της εταιρείας σας. Εάν κάνετε κλικ για περισσότερες πληροφορίες, βλέπετε ότι η ταυτότητα της εταιρείας έχει επαληθευτεί, όχι μόνο ο ιστότοπος.
Ακολουθεί ένα παράδειγμα ενός κανονικού ιστότοπου HTTPS:
Ακολουθεί ένα παράδειγμα ιστότοπου HTTPS πιστοποιητικού EV:
Ανάλογα με τον κλάδο σας, ένα πιστοποιητικό EVίσως δεν αξίζει τον κόπο. Επιπλέον, πρέπει να είστε επιχείρηση ή οργανισμός για να αποκτήσετε ένα. Παρόλο που οι μεγάλες εταιρείες τείνουν προς την πιστοποίηση EV, θα παρατηρήσετε ότι η πλειονότητα των ιστότοπων HTTPS εξακολουθούν να έχουν τη γεύση χωρίς EV. Εάν είναι αρκετά καλό για το Google, το Facebook και το Dropbox, ίσως είναι αρκετά καλό για εσάς.
Ένα ακόμη πράγμα: υπάρχει μια μέση της επιλογής δρόμου που ονομάζεται επικυρωμένος οργανισμός ή επικύρωση επιχείρησης πιστοποίηση. Αυτό είναι μια πιο διεξοδική εξέταση από την αυτόματη επικύρωση τομέα, αλλά δεν πλησιάζει τους κανονισμούς του κλάδου για ένα πιστοποιητικό εκτεταμένης επικύρωσης (παρατηρήστε πώς κεφαλαιοποιείται η εκτεταμένη επικύρωση και η "επικύρωση οργανισμού" δεν είναι;). Η επικύρωση OV ή επιχείρησης κοστίζει περισσότερο και διαρκεί περισσότερο, αλλά δεν θα σας δώσει την πράσινη γραμμή διευθύνσεων και τις επαληθευμένες πληροφορίες ταυτότητας εταιρείας. Ειλικρινά, δεν μπορώ να σκεφτώ έναν λόγο για να πληρώσω ένα πιστοποιητικό OV. Εάν μπορείτε να σκεφτείτε ένα, παρακαλώ φωτίστε με στα σχόλια.
Κοινόχρηστο SSL έναντι ιδιωτικού SSL
Ορισμένοι οικοδεσπότες Ιστού προσφέρουν μια κοινή υπηρεσία SSL, η οποίαείναι συχνά πιο προσιτό από ένα ιδιωτικό SSL. Εκτός από την τιμή, το πλεονέκτημα ενός κοινόχρηστου SSL είναι ότι δεν χρειάζεται να αποκτήσετε ιδιωτική διεύθυνση IP ή αποκλειστικό κεντρικό υπολογιστή. Το μειονέκτημα είναι ότι δεν χρειάζεται να χρησιμοποιήσετε το δικό σας όνομα τομέα. Αντ 'αυτού, το ασφαλές τμήμα του ιστότοπού σας θα είναι κάτι σαν:
https://www.hostgator.com/~yourdomain/secure.php
Αντίθεση σε μια ιδιωτική διεύθυνση SSL:
https://www.yourdomain.com/secure.php
Για δημόσιους ιστότοπους, όπως ιστότοπους ηλεκτρονικού εμπορίουκαι ιστότοπους κοινωνικής δικτύωσης, αυτό είναι προφανώς μια έλξη, καθώς φαίνεται ότι έχετε ανακατευθυνθεί από τον κύριο ιστότοπο. Όμως, για περιοχές που συνήθως δεν βλέπονται από το ευρύ κοινό, όπως είναι τα αστέρια ενός συστήματος αλληλογραφίας ή μιας περιοχής διαχειριστή, τότε ένα κοινόχρηστο SSL μπορεί να είναι μια καλή συμφωνία.
Εμπιστευτικές σφραγίδες
Πολλές αρχές έκδοσης πιστοποιητικών σάς επιτρέπουν να τοποθετήσετεσφραγίδα εμπιστοσύνης στην ιστοσελίδα σας αφού εγγραφείτε σε ένα από τα πιστοποιητικά τους. Αυτό δίνει σχεδόν τις ίδιες πληροφορίες όπως κάνοντας κλικ στο λουκέτο στο παράθυρο του προγράμματος περιήγησης, αλλά με μεγαλύτερη ορατότητα. Η συμπερίληψη μιας σφραγίδας εμπιστοσύνης δεν απαιτείται, ούτε ενισχύει την ασφάλειά σας, αλλά εάν δίνει στους επισκέπτες σας τα θερμά ασαφή γνωρίζοντας ποιος εξέδωσε το πιστοποιητικό SSL, με κάθε τρόπο, το ρίξτε εκεί.
Πιστοποιητικά SSL μπαλαντέρ
Ένα πιστοποιητικό SSL επαληθεύει την ταυτότητα ενόςτομέα. Επομένως, εάν θέλετε να έχετε HTTPS σε πολλούς υποτομείς - π.χ. groovypost.com, mail.groovypost.com και Answers.groovypost.com - θα πρέπει να αγοράσετε τρία διαφορετικά πιστοποιητικά SSL. Σε ένα ορισμένο σημείο, ένα πιστοποιητικό μπαλαντέρ SSL γίνεται πιο οικονομικό. Δηλαδή, ένα πιστοποιητικό που καλύπτει έναν τομέα και όλους τους υποτομείς, δηλαδή, * .groovypost.com.
Εγγυήσεις
Ανεξάρτητα από το πόσο μακροχρόνια είναι καλή μια εταιρείαη φήμη είναι, υπάρχουν ευπάθειες. Ακόμη και αξιόπιστες CA μπορούν να στοχευτούν από χάκερ, όπως αποδεικνύεται από την παραβίαση στο VeriSign που δεν αναφέρθηκε το 2010. Επιπλέον, η κατάσταση μιας CA στην αξιόπιστη λίστα μπορεί γρήγορα να ανακληθεί, όπως είδαμε με το DigiNotar snafu το 2011. Τα πράγματα συμβαίνουν .
Για να μετριάσετε οποιαδήποτε ανησυχία για το ενδεχόμενο γιατέτοιες τυχαίες πράξεις ακολασίας SSL, πολλές ΑΠ προσφέρουν τώρα εγγυήσεις. Η κάλυψη κυμαίνεται από μερικές χιλιάδες δολάρια έως πάνω από ένα εκατομμύριο δολάρια και περιλαμβάνει απώλειες που προκύπτουν από την κατάχρηση του πιστοποιητικού σας ή άλλων ατυχημάτων. Δεν έχω ιδέα αν αυτές οι εγγυήσεις έχουν πραγματικά αξία ή όχι, ή αν κάποιος έχει κερδίσει ποτέ αξίωση. Αλλά είναι εκεί για να το σκεφτείτε.
Δωρεάν πιστοποιητικά SSL και πιστοποιητικά SSL με αυτόνομη υπογραφή
Υπάρχουν δύο είδη δωρεάν πιστοποιητικών SSLδιαθέσιμος. Αυτο-υπογεγραμμένο, που χρησιμοποιείται κυρίως για ιδιωτικές δοκιμές και για πλήρες κοινό SSL Certs που εκδίδεται από έγκυρη Αρχή Πιστοποίησης. Τα καλά νέα είναι ότι, το 2018, υπάρχουν μερικές επιλογές για να λάβετε 100% δωρεάν, έγκυρα πιστοποιητικά SSL 90 ημερών και από τα δύο SSL δωρεάν ή ας κρυπτογραφήσουμε. Το SSL για δωρεάν είναι κυρίως ένα GUI για το Let’s Encrypt API. Το πλεονέκτημα του SSL για δωρεάν ιστότοπο είναι ότι είναι απλό στη χρήση καθώς διαθέτει ένα ωραίο GUI Ας κρυπτογραφήσουμε, ωστόσο, είναι ωραίο καθώς μπορείτε να αυτοματοποιήσετε πλήρως ζητώντας πιστοποιητικά SSL από αυτούς. Ιδανικό εάν χρειάζεστε πιστοποιητικά SSL για πολλούς ιστότοπους / διακομιστές.
Ένα αυτο-υπογεγραμμένο πιστοποιητικό SSL είναι δωρεάν για πάντα. Με ένα αυτο-υπογεγραμμένο πιστοποιητικό, είστε η δική σας ΑΠ. Ωστόσο, επειδή δεν είστε μεταξύ των αξιόπιστων ΑΠ που είναι ενσωματωμένα σε προγράμματα περιήγησης ιστού, οι επισκέπτες θα λάβουν μια προειδοποίηση ότι η αρχή δεν αναγνωρίζεται από το λειτουργικό σύστημα. Ως εκ τούτου, δεν υπάρχει καμία διαβεβαίωση ότι είστε αυτοί που λέτε ότι είστε (είναι σαν να εκδίδετε τον εαυτό σας ένα φωτογραφικό αναγνωριστικό και να προσπαθείτε να το μεταβιβάσετε στο κάβα). Το όφελος ενός αυτο-υπογεγραμμένου πιστοποιητικού SSL, ωστόσο, είναι ότι επιτρέπει την κρυπτογράφηση για την κυκλοφορία Ιστού. Μπορεί να είναι καλό για εσωτερική χρήση, όπου μπορείτε να κάνετε το προσωπικό σας να προσθέσει τον οργανισμό σας ως αξιόπιστη αρχή για να απαλλαγείτε από το προειδοποιητικό μήνυμα και να εργαστείτε σε μια ασφαλή σύνδεση μέσω του Διαδικτύου.
Για οδηγίες σχετικά με τη ρύθμιση ενός αυτο-υπογεγραμμένου πιστοποιητικού SSL, ανατρέξτε στην τεκμηρίωση για το OpenSSL. (Ή, εάν υπάρχει αρκετή ζήτηση, θα συντάξω ένα σεμινάριο.)
Εγκατάσταση πιστοποιητικού SSL
Μόλις αγοράσετε το πιστοποιητικό SSL, εσείςπρέπει να το εγκαταστήσετε στον ιστότοπό σας. Ένας καλός οικοδεσπότης Ιστού θα προσφέρει κάτι τέτοιο για εσάς. Κάποιοι μπορεί ακόμη και να το αγοράσουν για εσάς. Συχνά, αυτός είναι ο καλύτερος τρόπος να πάει, καθώς απλοποιεί τη χρέωση και διασφαλίζει ότι έχει ρυθμιστεί σωστά για τον διακομιστή ιστού σας.
Ωστόσο, έχετε πάντα την επιλογή να εγκαταστήσετε έναΠιστοποιητικό SSL που αγοράσατε μόνοι σας. Εάν το κάνετε αυτό, ίσως θελήσετε να αρχίσετε να συμβουλεύεστε τη βάση γνώσεων του οικοδεσπότη Ιστού σας ή ανοίγοντας ένα εισιτήριο υποστήριξης. Θα σας καθοδηγήσουν στις καλύτερες οδηγίες για την εγκατάσταση του πιστοποιητικού SSL. Θα πρέπει επίσης να συμβουλευτείτε τις οδηγίες που παρέχονται από την ΑΠ. Αυτά θα σας δώσουν καλύτερη καθοδήγηση από οποιαδήποτε γενική συμβουλή που μπορώ να σας δώσω εδώ.
Ίσως θέλετε επίσης να δείτε τις ακόλουθες οδηγίες για την εγκατάσταση πιστοποιητικού SSL:
Εγκαταστήστε ένα πιστοποιητικό SSL και ρυθμίστε τον τομέα στο cPanel
Τρόπος εφαρμογής SSL σε IIS (Windows Server)
Κρυπτογράφηση Apache SSL / TLS
Όλες αυτές οι οδηγίες θα περιλαμβάνουν τοδημιουργία αιτήματος υπογραφής πιστοποιητικού SSL (CSR). Στην πραγματικότητα, θα χρειαστείτε μια CSR μόνο για να εκδώσετε ένα πιστοποιητικό SSL. Και πάλι, ο οικοδεσπότης Ιστού σας μπορεί να σας βοηθήσει με αυτό. Για πιο συγκεκριμένες πληροφορίες DIY σχετικά με τη δημιουργία CSR, ρίξτε μια ματιά σε αυτήν την εγγραφή από την DigiCert.
Πλεονεκτήματα και μειονεκτήματα του HTTPS
Έχουμε ήδη καθορίσει σταθερά τα πλεονεκτήματα τουHTTPS: ασφάλεια, ασφάλεια, ασφάλεια. Αυτό όχι μόνο μετριάζει τον κίνδυνο παραβίασης δεδομένων, ενσταλάζει επίσης την εμπιστοσύνη και προσθέτει φήμη στον ιστότοπό σας. Οι έξυπνοι πελάτες ενδέχεται να μην ενοχλούν καν την εγγραφή τους εάν βλέπουν ένα "http: //" στη σελίδα σύνδεσης.
Υπάρχουν, ωστόσο, ορισμένα μειονεκτήματα στο HTTPS. Δεδομένης της αναγκαιότητας του HTTPS για συγκεκριμένους τύπους ιστότοπων, είναι πιο λογικό να το θεωρούμε ως "μειονεκτήματαδιαφωνίες »και όχι αρνητικά.
Το HTTPS κοστίζει χρήματα. Για αρχάριους, υπάρχει το κόστος αγοράς καιανανέωση του πιστοποιητικού SSL για να εξασφαλιστεί η ισχύς από έτος σε έτος. Ωστόσο, υπάρχουν επίσης ορισμένες "απαιτήσεις συστήματος" για HTTPS, όπως μια αποκλειστική διεύθυνση IP ή ένα ειδικό πρόγραμμα φιλοξενίας, το οποίο μπορεί να είναι πιο ακριβό από ένα κοινόχρηστο πακέτο φιλοξενίας.
Το HTTPS ενδέχεται να επιβραδύνει την απόκριση του διακομιστή. Υπάρχουν δύο ζητήματα που σχετίζονται με το SSL / TLSμπορεί να επιβραδύνει τις ταχύτητες φόρτωσης της σελίδας σας. Πρώτον, για να ξεκινήσει η επικοινωνία με τον ιστότοπό σας για πρώτη φορά, το πρόγραμμα περιήγησης του χρήστη πρέπει να περάσει από τη διαδικασία χειραψίας, η οποία επιστρέφει στον ιστότοπο της αρχής έκδοσης πιστοποιητικών για να επαληθεύσει το πιστοποιητικό. Εάν ο διακομιστής ιστού της ΑΠ είναι αργός, θα υπάρξει καθυστέρηση στη φόρτωση της σελίδας σας. Αυτό είναι σε μεγάλο βαθμό πέρα από τον έλεγχό σας. Δεύτερον, το HTTPS χρησιμοποιεί κρυπτογράφηση, η οποία απαιτεί περισσότερη ισχύ επεξεργασίας. Αυτό μπορεί να αντιμετωπιστεί βελτιστοποιώντας το περιεχόμενό σας για εύρος ζώνης και αναβαθμίζοντας το υλικό στον διακομιστή σας. Το CloudFare έχει μια καλή ανάρτηση ιστολογίου για το πώς και γιατί το SSL μπορεί να επιβραδύνει τον ιστότοπό σας.
Το HTTPS μπορεί να επηρεάσει τις προσπάθειες SEO Όταν κάνετε μετάβαση από HTTP σε HTTPS. είσαιμετάβαση σε έναν νέο ιστότοπο. Για παράδειγμα, το https://www.groovypost.com δεν θα είναι το ίδιο με το http://www.groovypost.com. Είναι σημαντικό να διασφαλίσετε ότι έχετε ανακατευθύνει τους παλιούς συνδέσμους σας και έχετε γράψει τους κατάλληλους κανόνες κάτω από το κάλυμμα του διακομιστή σας, για να αποφύγετε την απώλεια χυμού πολύτιμων συνδέσμων.
Το μικτό περιεχόμενο μπορεί να φέρει κίτρινη σημαία. Για ορισμένα προγράμματα περιήγησης, εάν έχετε το κύριο μέρος τουμια ιστοσελίδα που φορτώνεται από HTTPS, αλλά εικόνες και άλλα στοιχεία (όπως φύλλα στυλ ή σενάρια) που φορτώνονται από μια διεύθυνση URL HTTP, τότε ενδέχεται να εμφανιστεί ένα αναδυόμενο παράθυρο που προειδοποιεί ότι η σελίδα περιλαμβάνει μη ασφαλές περιεχόμενο. Φυσικά, έχοντας μερικοί Το ασφαλές περιεχόμενο είναι καλύτερο από το να μην έχει κανένα, παρόλο που το τελευταίο δεν οδηγεί σε αναδυόμενο παράθυρο. Ωστόσο, ίσως αξίζει να βεβαιωθείτε ότι δεν έχετε "μικτό περιεχόμενο" στις σελίδες σας.
Μερικές φορές είναι πιο εύκολο να αποκτήσετε έναν τρίτο επεξεργαστή πληρωμών. Δεν υπάρχει ντροπή να αφήσετε το Google Checkout,Το Paypal ή το Checkout από την Amazon χειρίζονται τις πληρωμές σας. Εάν όλα τα παραπάνω μοιάζουν υπερβολικά για να ταιριάζουν, μπορείτε να αφήσετε τους πελάτες σας να ανταλλάξουν πληροφορίες πληρωμής στον ασφαλή ιστότοπο του Paypal ή στον ασφαλή ιστότοπο της Google και να εξοικονομήσετε προβλήματα.
Έχετε άλλες ερωτήσεις ή σχόλια σχετικά με τα πιστοποιητικά HTTPS και SSL / TLS; Επιτρέψτε μου να το ακούσω στα σχόλια.