HTTPS- en SSL-certificaten: maak uw website veilig (en waarom u zou moeten)

Ongeacht wat voor soort online bedrijf of service u uitvoert, u moet ervoor zorgen dat privégegevens beveiligd zijn met HTTPS- en SSL-certificaten. Hier is onze complete gids.

Als het gaat om het verzenden van persoonlijke informatievia internet - of het nu gaat om contactinformatie, inloggegevens, accountinformatie, locatie-informatie of iets anders dat kan worden misbruikt - het publiek is over het algemeen ronduit paranoïde over hackers en identiteitsdieven. En terecht. De angst dat uw informatie gestolen, geknoeid of verduisterd kan worden is verre van irrationeel. De krantenkoppen over lekken en inbreuken op de beveiliging van de afgelopen decennia bewijzen dit. Maar ondanks deze angst blijven mensen inloggen om hun bankzaken, winkelen, journaling, dating, socialiseren en andere persoonlijke en professionele zaken op het web te doen. En er is één klein ding dat hen het vertrouwen geeft om dit te doen. Ik zal het je laten zien:

Hoewel niet iedereen begrijpt hoe het werkt,dat kleine hangslot in de adresbalk signaleert webgebruikers dat ze een vertrouwde verbinding hebben met een legitieme website. Als bezoekers dat niet in de adresbalk zien wanneer ze uw website openen, zult u hun zaak niet krijgen - en zouden ze dat ook niet moeten doen.

Om dat kleine hangslot voor de adresbalk voor uw website te krijgen, hebt u een SSL-certificaat nodig. Hoe krijg je er een? Lees verder om erachter te komen.

Artikeloverzicht:

Wat is SSL / TLS?
Hoe HTTPS te gebruiken?
Wat is een SSL-certificaat en hoe krijg ik er een?
Winkelgids voor SSL-certificaten
- Certificeringsinstantie
- Domeinvalidatie versus uitgebreide validatie
- Gedeelde SSL versus privé SSL
- Vertrouw op zeehonden
- Wildcard SSL-certificaten
- garanties
- Gratis SSL-certificaten en zelf-ondertekende SSL-certificaten
Een SSL-certificaat installeren
HTTPS voors en tegens

Wat is SSL / TLS?

Op internet worden gegevens overgedragen met behulp van het Hypertext Transfer Protocol. Daarom hebben alle webpagina-URL's 'http: //' of 'https://" voor hen.

Wat is het verschil tussen http en https? Die extra kleine S heeft grote implicaties: beveiliging.

Laat het me uitleggen.

HTTP is de "taal" die uw computer en deserver gebruiken om met elkaar te praten. Deze taal wordt universeel begrepen, wat handig is, maar het heeft ook nadelen. Wanneer gegevens via internet tussen u en een server worden doorgegeven, worden deze onderweg gestopt voordat de eindbestemming wordt bereikt. Dit brengt drie grote risico's met zich mee:

Dat iemand misschien afluisteren tijdens uw gesprek (een soort van digitale telefoontap).
Dat iemand misschien impersonate één (of beide) van de partijen aan beide uiteinden.
Dat iemand misschien knoeien waarbij de berichten worden overgedragen.

Hackers en eikels gebruiken een combinatie van het bovenstaandevoor een aantal oplichting en overvallen, waaronder phishing-plooien, man-in-the-middle-aanvallen en goede ouderwetse advertenties. Schadelijke aanvallen kunnen zo eenvoudig zijn als het opsporen van Facebook-gegevens door niet-gecodeerde cookies te onderscheppen (afluisteren), of ze kunnen geavanceerder zijn. Je zou bijvoorbeeld kunnen denken dat je tegen je bank zei: "Breng $ 100 over naar mijn internetprovider," maar iemand in het midden zou het bericht kunnen wijzigen om te lezen: "Gelieve over te dragen $ 100 al mijn geld naar mijn ISP Peggy in Siberië"(Geknoei met gegevens en nabootsing van identiteit).

Dus dat zijn de problemen met HTTP. Om deze problemen op te lossen, kan HTTP worden gelaagd met een beveiligingsprotocol, wat resulteert in HTTP Secure (HTTPS). Meestal wordt de S in HTTPS geleverd door het Secure Sockets Layer (SSL) -protocol of het nieuwere Transport Layer Security (TLS) -protocol. Bij implementatie biedt HTTPS bidirectioneel encryptie (om afluisteren te voorkomen), server authenticatie (om imitatie te voorkomen) en bericht authenticatie (om geknoei met gegevens te voorkomen).

Hoe HTTPS te gebruiken

Net als een gesproken taal werkt HTTPS alleen als beidepartijen kiezen ervoor om het te spreken. Aan de clientzijde kan de keuze voor het gebruik van HTTPS worden gemaakt door 'https' in de adresbalk van de browser in te voeren vóór de URL (typ bijvoorbeeld https: // www in plaats van http://www.facebook.com). Facebook.com), of door een extensie te installeren die HTTPS automatisch forceert, zoals HTTPS Everywhere voor Firefox en Chrome. Wanneer uw webbrowser HTTPS gebruikt, ziet u een hangslotpictogram, groene browserbalk, duim omhoog of een ander geruststellend teken dat uw verbinding met de server veilig is.

Om HTTPS te gebruiken, moet de webserver echter welondersteun het. Als u een webmaster bent en HTTPS aan uw webbezoekers wilt aanbieden, hebt u een SSL-certificaat of TLS-certificaat nodig. Hoe krijg je een SSL- of TLS-certificaat? Blijf lezen.

Verder lezen: bij sommige populaire web-apps kunt u HTTPS kiezen in uw gebruikersinstellingen. Lees onze beschrijvingen op Facebook, Gmail en Twitter.

Wat is een SSL-certificaat en hoe krijg ik er een?

Om HTTPS te gebruiken, moet uw webserver hebbeneen SSL-certificaat of TLS-certificaat geïnstalleerd. Een SSL / TLS-certificaat is een soort foto-ID voor uw website. Wanneer een browser die HTTPS gebruikt uw website bezoekt, voert deze een "handshake" uit, waarbij de clientcomputer om het SSL-certificaat vraagt. Het SSL-certificaat wordt vervolgens gevalideerd door een vertrouwde certificeringsinstantie (CA), die controleert of de server is wie hij zegt te zijn. Als alles uitcheckt, krijgt uw webbezoeker het geruststellende groene vinkje of slotpictogram. Als er iets misgaat, krijgen ze een waarschuwing van de webbrowser dat de identiteit van de server niet kon worden bevestigd.

Winkelen voor een SSL-certificaat

Als het gaat om het installeren van een SSL-certificaat op uw website, zijn er een hele reeks parameters om uit te kiezen. Laten we de belangrijkste bespreken:

Certificeringsinstantie

De certificeringsinstantie (CA) is het bedrijfdie uw SSL-certificaat uitgeeft en degene is die uw certificaat valideert telkens wanneer een bezoeker naar uw website komt. Hoewel elke SSL-certificaatprovider zal concurreren op prijs en functies, is het belangrijkste om te overwegen bij het controleren van certificaatautoriteiten of ze al dan niet certificaten hebben die vooraf zijn geïnstalleerd op de populairste webbrowsers. Als de certificaatautoriteit die uw SSL-certificaat afgeeft niet in die lijst staat, krijgt de gebruiker een waarschuwing dat het beveiligingscertificaat van de site niet wordt vertrouwd. Dit betekent natuurlijk niet dat uw website onwettig is - het betekent alleen dat uw CA (nog) niet in de lijst staat. Dit is een probleem omdat de meeste gebruikers de waarschuwing niet lezen of de niet-herkende CA onderzoeken. Ze klikken waarschijnlijk gewoon weg.

Gelukkig staat de lijst met vooraf geïnstalleerde CA's op degrote browsers zijn behoorlijk groot. Het bevat enkele grote merknamen en minder bekende en meer betaalbare CA's. Namen van huishoudens zijn Verisign, Go Daddy, Comodo, Thawte, Geotrust en Entrust.

U kunt ook kijken in de instellingen van uw eigen browser om te zien welke certificeringsinstanties vooraf zijn geïnstalleerd.

Voor Chrome gaat u naar Instellingen -> Geavanceerde instellingen weergeven ... -> Certificaten beheren.
Voor Firefox doet u Opties -> Geavanceerd -> Certificaten bekijken.
Voor IE, Internetopties -> Inhoud -> Certificaten.
Ga voor Safari naar Finder en kies Ga -> Hulpprogramma's -> KeyChain Access en klik op Systeem.

Bekijk deze thread voor een snelle referentie, waarin de acceptabele SSL-certificaten voor Google Checkout worden vermeld.

Domeinvalidatie versus uitgebreide validatie

	Typische uitgiftetijd	Kosten	Adresbalk
Domein validatie	Bijna onmiddellijk	Laag	Normale HTTPS (hangslotpictogram)
Organisatie validatie	Een paar dagen	midden	Normale HTTPS (hangslotpictogram)
Uitgebreide validatie	Een week of meer	hoog	Groene adresbalk, bedrijfs-ID verificatie-informatie

</ Strong></ P>
Een SSL-certificaat is bedoeld om de identiteit te bewijzenvan de website waarnaar u informatie verzendt. Om ervoor te zorgen dat mensen geen valse SSL-certificaten afsluiten voor domeinen die zij niet rechtmatig beheren, valideert een certificeringsinstantie dat de persoon die het certificaat aanvraagt inderdaad de eigenaar van de domeinnaam is. Meestal gebeurt dit via een snelle e-mail of telefoongesprekvalidatie, vergelijkbaar met wanneer een website u een e-mail stuurt met een accountbevestigingslink. Dit wordt een genoemd domein gevalideerd SSL-certificaat. Het voordeel hiervan is dat SSL-certificaten vrijwel onmiddellijk kunnen worden uitgegeven. Je zou waarschijnlijk een domein-gevalideerd SSL-certificaat kunnen krijgen in minder tijd dan het kostte om dit blogbericht te lezen. Met een domein-gevalideerd SSL-certificaat krijgt u het hangslot en de mogelijkheid om het verkeer van uw website te coderen.
De voordelen van een domein-gevalideerde SSLcertificaat is dat ze snel, gemakkelijk en goedkoop te krijgen zijn. Dit is ook hun nadeel. Zoals u zich kunt voorstellen, is het eenvoudiger om een geautomatiseerd systeem te misleiden dan een systeem dat wordt uitgevoerd door levende mensen. Het is een beetje alsof een middelbare schooljongen de DMV binnenliep en zei dat hij Barack Obama was en een door de overheid uitgegeven identiteitsbewijs wilde krijgen. de persoon aan de balie keek hem een keer aan en belde de Feds (of de gekke bak). Maar als het een robot was met een foto-ID-kiosk, zou hij misschien wat geluk hebben. Op een vergelijkbare manier kunnen phishers 'nep-ID's' krijgen voor websites zoals Paypal, Amazon of Facebook door domeinvalidatiesystemen te misleiden. In 2009 publiceerde Dan Kaminsky een voorbeeld van een manier om CA's op te lichten om certificaten te krijgen waardoor een phishing-website eruit zou zien als een veilige, legitieme verbinding. Voor een mens zou deze zwendel gemakkelijk te herkennen zijn. Maar de geautomatiseerde domeinvalidatie ontbrak destijds de nodige controles om zoiets te voorkomen.
In reactie op de kwetsbaarheden van SSL en domein-gevalideerde SSL-certificaten heeft de industrie de Uitgebreide validatie certificaat. Om een EV SSL-certificaat te krijgen, moet uw bedrijf of organisatie grondig worden gecontroleerd om ervoor te zorgen dat het goed staat bij uw overheid en rechtmatig het domein controleert waarvoor u een aanvraag indient. Deze controles, onder andere, vereisen een menselijk element, en duren dus langer en zijn duurder.
In sommige industrieën is een EV-certificaat vereist. Maar voor anderen gaat het voordeel alleen zover als wat uw bezoekers zullen herkennen. Voor dagelijkse webbezoekers is het verschil subtiel. Naast het hangslotsymbool wordt de adresbalk groen en wordt de naam van uw bedrijf weergegeven. Als u klikt voor meer informatie, ziet u dat de identiteit van het bedrijf is geverifieerd, niet alleen de website.
Hier is een voorbeeld van een normale HTTPS-site:
En hier is een voorbeeld van een HTTPS-site voor een EV-certificaat:
Afhankelijk van uw branche, een EV-certificaatis het misschien niet waard. Bovendien moet u een bedrijf of organisatie zijn om er een te krijgen. Hoewel grote bedrijven trending zijn naar EV-certificering, zult u merken dat de meeste HTTPS-sites nog steeds de niet-EV-smaak hebben. Als het goed genoeg is voor Google, Facebook en Dropbox, is het misschien goed genoeg voor jou.
Nog een ding: er is een middenweg optie genaamd een organisatie gevalideerd of bedrijf gevalideerd certificering. Dit is een grondiger controle dan de geautomatiseerde domeinvalidatie, maar het gaat niet zo ver als het voldoen aan de branchevoorschriften voor een Extended Validation-certificaat (merk op hoe Extended Validation wordt gekapitaliseerd en "organisatorische validatie" niet?). Een door de OV of het bedrijf gevalideerde certificering kost meer en duurt langer, maar het geeft je niet de groene adresbalk en de bedrijfsidentiteit geverifieerde info. Eerlijk gezegd kan ik geen reden bedenken om te betalen voor een OV-certificaat. Als je er een kunt bedenken, informeer me dan alsjeblieft in de reacties.
Gedeelde SSL versus privé SSL
Sommige webhosts bieden een gedeelde SSL-service, dieis vaak goedkoper dan een privé SSL. Anders dan de prijs, is het voordeel van een gedeelde SSL dat u geen privé-IP-adres of dedicated host nodig heeft. Het nadeel is dat u uw eigen domeinnaam niet mag gebruiken. In plaats daarvan zal het beveiligde gedeelte van uw site zoiets zijn als:
https://www.hostgator.com/~yourdomain/secure.php
Vergelijk dat met een privé SSL-adres:
https://www.yourdomain.com/secure.php
Voor openbare sites, zoals e-commercesitesen sociale netwerksites, dit is duidelijk een belemmering, omdat het lijkt alsof je bent omgeleid vanaf de hoofdsite. Maar voor gebieden die gewoonlijk niet door het grote publiek worden bekeken, zoals de binnenkant van een e-mailsysteem of een beheerdersgebied, kan een gedeelde SSL een goede deal zijn.
Vertrouw op zeehonden
Bij veel certificeringsinstanties kunt u eenvertrouwenszegel op uw webpagina nadat u zich heeft aangemeld voor een van hun certificaten. Dit geeft vrijwel dezelfde informatie als klikken op het hangslot in het browservenster zou doen, maar met een grotere zichtbaarheid. Het opnemen van een vertrouwenszegel is niet vereist, noch vergroot het uw veiligheid, maar als het uw bezoekers de warme fuzzies geeft om te weten wie het SSL-certificaat heeft uitgegeven, gooi het dan in elk geval daar.
Wildcard SSL-certificaten
Een SSL-certificaat verifieert de identiteit van eendomein. Dus als u HTTPS op meerdere subdomeinen wilt hebben, bijvoorbeeld groovypost.com, mail.groovypost.com en antwoorden.groovypost.com, moet u drie verschillende SSL-certificaten kopen. Op een gegeven moment wordt een wildcard SSL-certificaat voordeliger. Dat wil zeggen, één certificaat voor één domein en alle subdomeinen, d.w.z. * .groovypost.com.
garanties
Hoe lang een bedrijf ook goed isreputatie is, er zijn kwetsbaarheden. Zelfs vertrouwde CA's kunnen door hackers worden aangevallen, zoals blijkt uit de inbreuk op VeriSign die in 2010 niet werd gemeld. Bovendien kan de status van een CA op de vertrouwde lijst snel worden ingetrokken, zoals we zagen met de DigiNotar snafu in 2011. Dingen gebeuren .
Om eventuele ongerustheid over het potentieel voor te verlichtendergelijke willekeurige handelingen van SSL-losbandigheid, bieden veel CA's nu garanties. De dekking varieert van een paar duizend dollar tot meer dan een miljoen dollar en omvat verliezen als gevolg van misbruik van uw certificaat of andere ongelukken. Ik heb geen idee of deze garanties echt waarde toevoegen of niet, of dat iemand ooit met succes een claim heeft gewonnen. Maar ze zijn er voor uw overweging.
Gratis SSL-certificaten en zelf-ondertekende SSL-certificaten
Er zijn twee soorten gratis SSL-certificatenbeschikbaar. Een zelfondertekend, voornamelijk gebruikt voor privétesten en volledig publiek geconfronteerd met SSL Certs uitgegeven door een geldige Certificat Authority. Het goede nieuws is dat er in 2018 een paar opties zijn om 100% gratis, geldige 90 dagen SSL-certificaten te krijgen van zowel SSL gratis als Let's Encrypt. SSL gratis is in de eerste plaats een GUI voor de Let’s Encrypt API. Het voordeel van de SSL for Free-site is dat deze eenvoudig te gebruiken is, omdat deze een mooie GUI heeft. Let's Encrypt is echter leuk, omdat u het aanvragen van SSL-certificaten bij hen volledig kunt automatiseren. Ideaal als u SSL-certificaten nodig hebt voor meerdere websites / servers.
Een zelfondertekend SSL-certificaat is voor altijd gratis. Met een zelfondertekend certificaat bent u uw eigen CA. Omdat u echter niet tot de vertrouwde CA's behoort die in webbrowsers zijn ingebouwd, krijgen bezoekers een waarschuwing dat de autoriteit niet door het besturingssysteem wordt herkend. Als zodanig is er echt geen zekerheid dat je bent wie je zegt dat je bent (het is een beetje alsof je jezelf een identiteitsbewijs met foto verstrekt en deze probeert af te geven bij de slijterij). Het voordeel van een zelfondertekend SSL-certificaat is echter dat het codering voor webverkeer mogelijk maakt. Het kan goed zijn voor intern gebruik, waarbij u uw personeel uw organisatie kunt laten toevoegen als een vertrouwde CA om van het waarschuwingsbericht af te komen en te werken aan een veilige verbinding via internet.
Raadpleeg de documentatie voor OpenSSL voor instructies over het instellen van een zelfondertekend SSL-certificaat. (Of, als er voldoende vraag is, zal ik een tutorial schrijven.)
Een SSL-certificaat installeren
Nadat u uw SSL-certificaat heeft gekocht, gaat umoet u het op uw website installeren. Een goede webhost biedt aan dit voor u te doen. Sommigen gaan zelfs zo ver als het voor u kopen. Vaak is dit de beste manier, omdat het facturering vereenvoudigt en ervoor zorgt dat het correct is ingesteld voor uw webserver.
Toch heb je altijd de optie om een te installerenSSL-certificaat dat u zelf hebt gekocht. Als u dat doet, wilt u misschien beginnen met het raadplegen van de kennisbank van uw webhost of door een helpdeskticket te openen. Ze verwijzen u naar de beste instructies voor het installeren van uw SSL-certificaat. Raadpleeg ook de instructies van de CA. Deze geven u betere begeleiding dan enig generiek advies dat ik u hier kan geven.
Misschien wilt u ook de volgende instructies bekijken voor het installeren van een SSL-certificaat:
Installeer een SSL-certificaat en stel het domein in in cPanel
Hoe SSL te implementeren in IIS (Windows Server)
Apache SSL / TLS-codering
Al deze instructies hebben betrekking op decreatie van een SSL Certificate Signing Request (CSR). U hebt eigenlijk alleen een CSR nodig om een SSL-certificaat te krijgen. Nogmaals, uw webhost kan u hierbij helpen. Bekijk dit artikel van DigiCert voor meer specifieke doe-het-zelfinformatie over het maken van een CSR.
Voors en tegens van HTTPS
We hebben de voordelen vanHTTPS: beveiliging, beveiliging, beveiliging. Dit vermindert niet alleen het risico van een datalek, het geeft ook vertrouwen en verhoogt de reputatie van uw website. Slimme klanten nemen misschien niet eens de moeite om zich aan te melden als ze een 'http: //' op de inlogpagina zien.
Er zijn echter enkele nadelen aan HTTPS. Gezien de noodzaak van HTTPS voor bepaalde typen websites, is het logischer om deze te beschouwen als 'considerations 'in plaats van negatieven.
HTTPS kost geld. Om te beginnen zijn er de aanschafkosten enuw SSL-certificaat vernieuwen om de geldigheid van jaar tot jaar te garanderen. Maar er zijn ook bepaalde 'systeemvereisten' voor HTTPS, zoals een specifiek IP-adres of een specifiek hostingplan, die duurder kunnen zijn dan een gedeeld hostingpakket.
HTTPS kan de serverreactie vertragen. Er zijn twee problemen met SSL / TLS diekan de laadsnelheid van uw pagina vertragen. Eerst moet de browser van de gebruiker, om voor de eerste keer met uw website te communiceren, het handshake-proces doorlopen, dat terugkeert naar de website van de certificeringsinstantie om het certificaat te verifiëren. Als de webserver van de CA traag is, zal het laden van uw pagina vertraging oplopen. Dit is grotendeels buiten je controle. Ten tweede maakt HTTPS gebruik van codering, wat meer verwerkingskracht vereist. Dit kan worden opgelost door uw inhoud te optimaliseren voor bandbreedte en de hardware op uw server te upgraden. CloudFare heeft een goed blogbericht over hoe en waarom SSL uw website kan vertragen.
HTTPS kan invloed hebben op SEO-inspanningen Wanneer u overschakelt van HTTP naar HTTPS; je bentverhuizen naar een nieuwe website. Https://www.groovypost.com is bijvoorbeeld niet hetzelfde als http://www.groovypost.com. Het is belangrijk om ervoor te zorgen dat u uw oude links hebt omgeleid en de juiste regels hebt geschreven onder de motorkap van uw server om te voorkomen dat u kostbare linkensap verliest.
Gemengde inhoud kan een gele vlag werpen. Voor sommige browsers, als u het grootste deel van hebteen webpagina die is geladen vanuit HTTPS, maar afbeeldingen en andere elementen (zoals stylesheets of scripts) die zijn geladen vanuit een HTTP-URL; vervolgens kan er een pop-up verschijnen met een waarschuwing dat de pagina niet-beveiligde inhoud bevat. Natuurlijk hebben sommige beveiligde inhoud is beter dan niets hebben, ook al resulteert dit niet in een pop-up. Maar toch kan het de moeite waard zijn om ervoor te zorgen dat er geen 'gemengde inhoud' op uw pagina's staat.
Soms is het gemakkelijker om een externe betalingsprocessor te krijgen. Het is geen schande om Google Checkout te laten,Paypal of Checkout door Amazon verwerken uw betalingen. Als al het bovenstaande te veel lijkt om te ruziën, kunt u uw klanten betalingsinformatie laten uitwisselen op de beveiligde site van Paypal of de beveiligde site van Google en uzelf de moeite besparen.
Heeft u andere vragen of opmerkingen over HTTPS- en SSL / TLS-certificaten? Laat het me horen in de reacties.