Certyfikaty HTTPS i SSL: Zabezpiecz swoją stronę internetową (i dlaczego powinieneś)

Bez względu na rodzaj prowadzonej działalności lub usługi online musisz upewnić się, że prywatne dane są bezpieczne dzięki certyfikatom HTTPS i SSL. Oto nasz kompletny przewodnik.

Jeśli chodzi o wysyłanie danych osobowychprzez Internet - czy to dane kontaktowe, dane logowania, dane konta, informacje o lokalizacji lub cokolwiek innego, co może być nadużywane - społeczeństwo jest w zasadzie paranoikiem na temat hakerów i złodziei tożsamości. I słusznie tak. Strach przed kradzieżą, manipulacją lub przywłaszczeniem informacji jest daleki od irracjonalnego. Dowodzą tego nagłówki o przeciekach i naruszeniach bezpieczeństwa w ciągu ostatnich kilku dekad. Ale pomimo tego strachu ludzie nadal logują się, aby robić bankowość, robić zakupy, dziennikarze, randki, kontakty towarzyskie i inne osobiste i profesjonalne interesy w Internecie. I jest jedna drobna rzecz, która daje im pewność, aby to zrobić. Pokażę ci to:

Chociaż nie wszyscy rozumieją, jak to działa,ta mała kłódka na pasku adresu sygnalizuje użytkownikom sieci, że mają zaufane połączenie z legalną stroną internetową. Jeśli odwiedzający nie widzą tego na pasku adresu, gdy podciągają Twoją witrynę, nie dostaniesz - i nie powinieneś - ich firmy.

Aby uzyskać tę małą kłódkę paska adresu dla swojej witryny, potrzebujesz certyfikatu SSL. Jak je zdobyć? Czytaj dalej, aby się dowiedzieć.

Zarys artykułu:

Co to jest SSL / TLS?
Jak korzystać z HTTPS?
Co to jest certyfikat SSL i jak go uzyskać?
Przewodnik zakupów certyfikatów SSL
- Urząd certyfikacji
- Walidacja domeny a walidacja rozszerzona
- Wspólny SSL a prywatny SSL
- Pieczęcie zaufania
- Certyfikaty SSL wieloznaczne
- Gwarancje
- Darmowe certyfikaty SSL i certyfikaty SSL z podpisem własnym
Instalowanie certyfikatu SSL
Zalety i wady HTTPS

Co to jest SSL / TLS?

W Internecie dane są przesyłane przy użyciu protokołu przesyłania hipertekstu. Dlatego wszystkie adresy URL stron internetowych mają „http: //” lub „https://" przed nimi.

Jaka jest różnica między http a https? Ta bardzo mała litera S ma duże implikacje: bezpieczeństwo.

Pozwól mi wyjaśnić.

HTTP jest „językiem” używanym przez komputer iserwer używa do komunikowania się ze sobą. Ten język jest powszechnie rozumiany, co jest wygodne, ale ma również swoje wady. Gdy dane są przesyłane między tobą a serwerem przez Internet, po drodze zatrzymają się, zanim dotrą do miejsca docelowego. Stwarza to trzy duże zagrożenia:

Że ktoś może podsłuchiwać podczas rozmowy (coś w rodzaju podsłuchu cyfrowego).
Że ktoś może podszywać się jedna (lub obie) strony na obu końcach.
Że ktoś może majstrować z przesyłanymi wiadomościami.

Hakerzy i szarpnięcia używają kombinacji powyższychza wiele oszustw i napadów, w tym oszukańcze ataki, ataki typu man-in-the-middle oraz dobre, staromodne reklamy. Szkodliwe ataki mogą być tak proste, jak wykrywanie poświadczeń Facebooka przez przechwytywanie niezaszyfrowanych plików cookie (podsłuch), lub mogą być bardziej wyrafinowane. Na przykład możesz pomyśleć, że mówisz swojemu bankowi: „Prześlij 100 USD mojemu dostawcy usług internetowych”, ale ktoś pośrodku może zmienić wiadomość i przeczytać: „Prześlij 100 USD wszystkie moje pieniądze do mój dostawca usług internetowych Peggy na Syberii”(Manipulowanie danymi i podszywanie się).

Takie są problemy z HTTP. Aby rozwiązać te problemy, HTTP można nakładać na warstwy za pomocą protokołu bezpieczeństwa, co daje HTTP Secure (HTTPS). Najczęściej S w HTTPS jest zapewniany przez protokół Secure Sockets Layer (SSL) lub nowszy protokół Transport Layer Security (TLS). Po wdrożeniu HTTPS oferuje dwukierunkowy szyfrowanie (aby zapobiec podsłuchowi), serwer poświadczenie (aby zapobiec podszywaniu się) i uwierzytelnianie wiadomości (aby zapobiec manipulowaniu danymi).

Jak korzystać z HTTPS

Podobnie jak język mówiony, HTTPS działa tylko wtedy, gdy jedno i drugiepartie decydują się mówić. Po stronie klienta można wybrać HTTPS, wpisując „https” w pasku adresu przeglądarki przed adresem URL (np. Zamiast wpisywać http://www.facebook.com, wpisz https: // www. facebook.com) lub instalując rozszerzenie, które automatycznie wymusza HTTPS, takie jak HTTPS Everywhere dla Firefox i Chrome. Gdy Twoja przeglądarka korzysta z HTTPS, zobaczysz ikonę kłódki, zielony pasek przeglądarki, kciuki w górę lub inny uspokajający znak, że twoje połączenie z serwerem jest bezpieczne.

Jednak aby użyć HTTPS, serwer WWW musiWspieraj to. Jeśli jesteś webmasterem i chcesz zaoferować użytkownikom HTTPS, potrzebujesz certyfikatu SSL lub certyfikatu TLS. Jak uzyskać certyfikat SSL lub TLS? Czytaj dalej.

Dalsza lektura: Niektóre popularne aplikacje internetowe pozwalają wybrać HTTPS w ustawieniach użytkownika. Przeczytaj nasze artykuły na Facebooku, Gmailu i Twitterze.

Co to jest certyfikat SSL i jak go uzyskać?

Aby korzystać z HTTPS, twój serwer musi miećzainstalowany certyfikat SSL lub certyfikat TLS. Certyfikat SSL / TLS jest jak dowód tożsamości ze zdjęciem dla Twojej witryny. Gdy przeglądarka korzystająca z HTTPS uzyska dostęp do Twojej strony, wykona „uścisk dłoni”, podczas którego komputer kliencki prosi o certyfikat SSL. Certyfikat SSL jest następnie sprawdzany przez zaufany urząd certyfikacji (CA), który sprawdza, czy serwer jest tym, za kogo się podaje. Jeśli wszystko się sprawdzi, Twój użytkownik otrzyma uspokajający zielony znacznik wyboru lub ikonę blokady. Jeśli coś pójdzie nie tak, otrzymają ostrzeżenie z przeglądarki, że nie można potwierdzić tożsamości serwera.

Kupowanie certyfikatu SSL

Jeśli chodzi o instalację certyfikatu SSL na swojej stronie, istnieje wiele parametrów do wyboru. Omówmy najważniejsze:

Urząd certyfikacji

Urząd certyfikacji (CA) to firmawystawiający certyfikat SSL i weryfikujący go za każdym razem, gdy odwiedzający wejdzie na Twoją stronę. Podczas gdy każdy dostawca certyfikatu SSL będzie konkurował ceną i funkcjami, najważniejszą rzeczą do rozważenia podczas sprawdzania urzędów certyfikacji jest to, czy mają certyfikaty, które są wstępnie zainstalowane w najpopularniejszych przeglądarkach internetowych. Jeśli urzędu certyfikacji wystawiającego certyfikat SSL nie ma na tej liście, użytkownik otrzyma ostrzeżenie, że certyfikat bezpieczeństwa witryny nie jest zaufany. Oczywiście nie oznacza to, że Twoja witryna jest nielegalna - oznacza tylko, że Twojego urzędu certyfikacji nie ma (jeszcze) na liście. Jest to problem, ponieważ większość użytkowników nie zawraca sobie głowy czytaniem ostrzeżenia lub badaniem nierozpoznanego urzędu certyfikacji. Prawdopodobnie po prostu klikną.

Na szczęście lista wstępnie zainstalowanych urzędów certyfikacji wgłówne przeglądarki są dość spore. Obejmuje niektóre duże marki, a także mniej znane i tańsze CA. Nazwiska domowe obejmują Verisign, Go Daddy, Comodo, Thawte, Geotrust i Entrust.

Możesz także sprawdzić ustawienia własnej przeglądarki, aby zobaczyć, które urzędy certyfikacji są wstępnie zainstalowane.

W przypadku Chrome przejdź do Ustawienia -> Pokaż ustawienia zaawansowane… -> Zarządzaj certyfikatami.
W przeglądarce Firefox wykonaj Opcje -> Zaawansowane -> Wyświetl certyfikaty.
Dla IE Opcje internetowe -> Treść -> Certyfikaty.
W przeglądarce Safari przejdź do Findera i wybierz Idź -> Narzędzia -> KeyChain Access i kliknij System.

W celu szybkiego zapoznania się z tym wątkiem, który zawiera listę dopuszczalnych certyfikatów SSL dla usługi Google Checkout.

Walidacja domeny a walidacja rozszerzona

	Typowy czas emisji	Koszt	Pasek adresu
Walidacja domeny	Prawie natychmiast	Niska	Normalny HTTPS (ikona kłódki)
Walidacja organizacji	Parę dni	Środek	Normalny HTTPS (ikona kłódki)
Rozszerzona walidacja	Tydzień lub dłużej	Wysoki	Zielony pasek adresu, informacje weryfikujące identyfikator firmy

</strong></p>
Certyfikat SSL ma na celu potwierdzenie tożsamościwitryny, do której wysyłasz informacje. Aby upewnić się, że ludzie nie wyciągają fałszywych certyfikatów SSL dla domen, których nie kontrolują zgodnie z prawem, urząd certyfikacji sprawdzi, czy osoba wnioskująca o certyfikat jest rzeczywiście właścicielem nazwy domeny. Zazwyczaj odbywa się to poprzez szybką weryfikację adresu e-mail lub połączenia telefonicznego, podobnie jak wtedy, gdy witryna wysyła wiadomość e-mail z linkiem do potwierdzenia konta. To się nazywa domena zweryfikowana Certyfikat SSL. Zaletą tego jest to, że umożliwia niemal natychmiastowe wydawanie certyfikatów SSL. Prawdopodobnie możesz udać się i uzyskać certyfikat SSL zweryfikowany w domenie w krótszym czasie niż przeczytanie tego posta na blogu. Dzięki zweryfikowanemu w domenie certyfikatu SSL otrzymujesz kłódkę i możliwość szyfrowania ruchu w Twojej witrynie.
Zalety protokołu SSL z walidacją domenyzaświadczenie jest takie, że są szybkie, łatwe i tanie. To także ich wada. Jak możesz sobie wyobrazić, łatwiej jest sfałszować zautomatyzowany system niż ten obsługiwany przez żywe istoty ludzkie. To tak, jakby jakieś dziecko z liceum weszło do DMV, mówiąc, że jest Barackiem Obamą i chce uzyskać wydany przez rząd dowód tożsamości. osoba przy biurku rzuciła na niego okiem i zadzwoniła do federalnych (lub do loony bin). Ale gdyby to był robot pracujący w kiosku ze zdjęciem, może mieć trochę szczęścia. W podobny sposób phisherzy mogą uzyskać „fałszywe identyfikatory” dla stron takich jak Paypal, Amazon czy Facebook, oszukując systemy sprawdzania poprawności domen. W 2009 r. Dan Kaminsky opublikował przykład sposobu oszukiwania urzędów certyfikacji w celu uzyskania certyfikatów, które sprawiłyby, że witryna phishingowa wyglądałaby jak bezpieczne, legalne połączenie. Dla człowieka to oszustwo byłoby łatwe do wykrycia. Ale w automatycznej weryfikacji domeny w tym czasie brakowało niezbędnych kontroli, aby temu zapobiec.
W odpowiedzi na luki w zabezpieczeniach SSL i zweryfikowanych domenowo certyfikatów SSL, przemysł wprowadził Rozszerzona walidacja certyfikat. Aby uzyskać certyfikat EV SSL, firma lub organizacja musi przejść rygorystyczną weryfikację, aby upewnić się, że jest w dobrej formie z rządem i prawidłowo kontroluje domenę, o którą się ubiegasz. Kontrole te wymagają między innymi elementu ludzkiego, a zatem trwają dłużej i są droższe.
W niektórych branżach wymagany jest certyfikat EV. Ale dla innych korzyści sięgają tylko tego, co rozpoznają odwiedzający. Dla zwykłych użytkowników sieci różnica jest subtelna. Oprócz ikony kłódki pasek adresu zmienia kolor na zielony i wyświetla nazwę Twojej firmy. Jeśli klikniesz, aby uzyskać więcej informacji, zobaczysz, że tożsamość firmy została zweryfikowana, a nie tylko strona internetowa.
Oto przykład zwykłej witryny HTTPS:
A oto przykład witryny HTTPS z certyfikatem EV:
W zależności od branży certyfikat EVmoże nie być tego warte. Ponadto musisz być firmą lub organizacją, aby je zdobyć. Chociaż duże firmy dążą do uzyskania certyfikatu EV, zauważysz, że większość witryn HTTPS nadal ma smak inny niż EV. Jeśli jest wystarczająco dobry dla Google, Facebooka i Dropbox, być może jest wystarczająco dobry dla Ciebie.
Jeszcze jedno: istnieje środek opcji drogi o nazwie an zatwierdzona organizacja lub firma zatwierdzona orzecznictwo. Jest to dokładniejsza weryfikacja niż zautomatyzowana weryfikacja domeny, ale nie idzie ona tak daleko, jak spełnienie przepisów branżowych dotyczących certyfikatu Extended Validation (zwróć uwagę, jak to się dzieje, że jest to wielkie litery, a „walidacja organizacyjna” nie?). Certyfikacja OV lub firmy kosztuje więcej i trwa dłużej, ale nie daje zielonego paska adresu ani informacji weryfikujących tożsamość firmy. Szczerze mówiąc, nie mogę wymyślić powodu, by zapłacić za certyfikat OV. Jeśli możesz pomyśleć o jednym, proszę oświeć mnie w komentarzach.
Wspólny SSL a prywatny SSL
Niektóre hosty internetowe oferują wspólną usługę SSL, którajest często tańsze niż prywatny SSL. Poza ceną zaletą współdzielonego protokołu SSL jest to, że nie trzeba uzyskiwać prywatnego adresu IP ani dedykowanego hosta. Minusem jest to, że nie możesz używać własnej nazwy domeny. Zamiast tego bezpieczna część witryny będzie wyglądać tak:
https://www.hostgator.com/~yourdomain/secure.php
Porównaj to z prywatnym adresem SSL:
https://www.yourdomain.com/secure.php
W przypadku witryn publicznych, takich jak witryny e-commercei serwisach społecznościowych, jest to oczywiście utrudnienie, ponieważ wygląda na to, że zostałeś przekierowany z głównej strony. Ale w obszarach, które zwykle nie są oglądane przez ogół społeczeństwa, takich jak wnętrze systemu pocztowego lub obszaru administratora, współużytkowany protokół SSL może być dobrym rozwiązaniem.
Pieczęcie zaufania
Wiele urzędów certyfikacji umożliwia umieszczeniezaufaj pieczęci na swojej stronie po zarejestrowaniu się w jednym z ich certyfikatów. Daje to prawie takie same informacje, jak kliknięcie kłódki w oknie przeglądarki, ale z lepszą widocznością. Dołączenie pieczęci zaufania nie jest wymagane, ani nie zwiększa twojego bezpieczeństwa, ale jeśli daje odwiedzającym ciepłe gadżety, wiedząc, kto wystawił certyfikat SSL, to w każdym razie wyrzuć go tam.
Certyfikaty SSL wieloznaczne
Certyfikat SSL weryfikuje jego tożsamośćdomena. Tak więc, jeśli chcesz mieć HTTPS na wielu poddomenach - np. Groovypost.com, mail.groovypost.com i answer.groovypost.com - musisz kupić trzy różne certyfikaty SSL. W pewnym momencie wieloznaczny certyfikat SSL staje się bardziej ekonomiczny. Oznacza to, że jeden certyfikat obejmuje jedną domenę i wszystkie subdomeny, tj. * .Groovypost.com.
Gwarancje
Bez względu na to, jak długo firma jest dobrareputacja jest, istnieją luki. Hakerzy mogą atakować nawet zaufane urzędy certyfikacji, o czym świadczy naruszenie w VeriSign, które nie zostało zgłoszone w 2010 r. Ponadto status urzędu certyfikacji na zaufanej liście można szybko cofnąć, jak widzieliśmy w przypadku DigiNotar snafu w 2011 r. Rzeczy się zdarzają .
Aby złagodzić niepokój związany z możliwościątakie losowe działania rozpusty SSL, wiele urzędów certyfikacji oferuje teraz gwarancje. Zakres ubezpieczenia wynosi od kilku tysięcy dolarów do ponad miliona dolarów i obejmuje straty wynikające z niewłaściwego wykorzystania certyfikatu lub innych zdarzeń losowych. Nie mam pojęcia, czy gwarancje te rzeczywiście wnoszą wartość dodaną, czy też nie, czy ktokolwiek kiedykolwiek wygrał roszczenie. Ale są tam do rozważenia.
Darmowe certyfikaty SSL i certyfikaty SSL z podpisem własnym
Istnieją dwa rodzaje bezpłatnych certyfikatów SSLdostępny. Samopodpisany, używany głównie do prywatnych testów i pełnoprawnych publicznych certyfikatów SSL wystawionych przez ważny urząd certyfikacji. Dobra wiadomość jest taka, że w 2018 roku istnieje kilka opcji, aby uzyskać 100% darmowych, ważnych 90-dniowych certyfikatów SSL zarówno z SSL za darmo, jak i zaszyfrujmy. SSL za darmo to przede wszystkim GUI interfejsu API Let's Encrypt. Zaletą witryny SSL za darmo jest prosta obsługa, ponieważ ma ładny interfejs GUI. Let's Encrypt jest jednak przyjemne, ponieważ możesz w pełni zautomatyzować żądania od nich certyfikatów SSL. Idealny, jeśli potrzebujesz certyfikatów SSL dla wielu stron / serwerów.
Samopodpisany certyfikat SSL jest zawsze bezpłatny. Dzięki samopodpisanemu certyfikatowi jesteś własnym urzędem certyfikacji. Ponieważ jednak nie należysz do zaufanych urzędów certyfikacji wbudowanych w przeglądarki internetowe, użytkownicy otrzymają ostrzeżenie, że system nie rozpoznaje uprawnień. W związku z tym naprawdę nie ma pewności, że jesteś tym, za kogo się podajesz (to coś w rodzaju wystawienia dokumentu tożsamości ze zdjęciem i próby przekazania go w sklepie monopolowym). Zaletą samopodpisanego certyfikatu SSL jest jednak to, że umożliwia szyfrowanie ruchu sieciowego. Może to być przydatne do użytku wewnętrznego, gdzie możesz poprosić swoich pracowników o dodanie organizacji jako zaufanego urzędu certyfikacji, aby pozbyć się komunikatu ostrzegawczego i pracować nad bezpiecznym połączeniem przez Internet.
Aby uzyskać instrukcje dotyczące konfigurowania samopodpisanego certyfikatu SSL, sprawdź dokumentację OpenSSL. (Lub, jeśli jest wystarczające zapotrzebowanie, napiszę samouczek).
Instalowanie certyfikatu SSL
Po zakupie certyfikatu SSL, tymusisz zainstalować go na swojej stronie. Dobry hosting zaoferuje to za Ciebie. Niektórzy mogą nawet posunąć się do zakupu dla ciebie. Często jest to najlepszy sposób, ponieważ upraszcza fakturowanie i zapewnia prawidłowe skonfigurowanie serwera WWW.
Mimo to zawsze masz opcję instalacjiCertyfikat SSL, który kupiłeś samodzielnie. Jeśli to zrobisz, możesz zacząć korzystać z bazy wiedzy swojego usługodawcy internetowego lub otworzyć bilet pomocy technicznej. Przekierują Cię do najlepszych instrukcji dotyczących instalowania certyfikatu SSL. Należy również zapoznać się z instrukcjami dostarczonymi przez właściwy organ. To da ci lepsze wskazówki niż jakakolwiek ogólna rada, którą mogę ci tutaj dać.
Możesz także sprawdzić następujące instrukcje dotyczące instalowania certyfikatu SSL:
Zainstaluj certyfikat SSL i skonfiguruj domenę w cPanel
Jak zaimplementować SSL w IIS (Windows Server)
Szyfrowanie Apache SSL / TLS
Wszystkie te instrukcje dotycząutworzenie żądania podpisania certyfikatu SSL (CSR). W rzeczywistości potrzebujesz CSR, aby uzyskać certyfikat SSL. Znowu twój hosting może ci w tym pomóc. Bardziej szczegółowe informacje na temat tworzenia CSR dla majsterkowiczów można znaleźć w tym piśmie DigiCert.
Plusy i minusy HTTPS
Ustaliliśmy już mocno zaletyHTTPS: bezpieczeństwo, ochrona, bezpieczeństwo. Nie tylko zmniejsza to ryzyko naruszenia danych, ale także budzi zaufanie i podnosi reputację Twojej witryny. Doświadczeni klienci mogą nawet nie zawracać sobie głowy rejestracją, jeśli zobaczą „http: //” na stronie logowania.
Istnieją jednak pewne wady HTTPS. Biorąc pod uwagę konieczność stosowania HTTPS w przypadku niektórych rodzajów witryn, sensowniej jest myśleć o nich jako „Consideracje ”zamiast negatywów.
HTTPS kosztuje. Na początek jest koszt zakupu iodnawianie certyfikatu SSL w celu zapewnienia ważności z roku na rok. Istnieją jednak pewne „wymagania systemowe” dla HTTPS, takie jak dedykowany adres IP lub dedykowany plan hostingowy, które mogą być droższe niż udostępnianie pakietu hostingowego.
HTTPS może spowolnić odpowiedź serwera. Są dwa problemy związane z SSL / TLS, któremoże spowolnić prędkość ładowania strony. Po pierwsze, aby rozpocząć komunikację z witryną po raz pierwszy, przeglądarka użytkownika musi przejść proces uzgadniania, który odsyła z powrotem do witryny urzędu certyfikacji w celu zweryfikowania certyfikatu. Jeśli serwer internetowy urzędu certyfikacji działa zbyt wolno, nastąpi opóźnienie w ładowaniu strony. Jest to w dużej mierze poza twoją kontrolą. Po drugie, HTTPS wykorzystuje szyfrowanie, które wymaga większej mocy obliczeniowej. Można temu zaradzić, optymalizując zawartość pod kątem przepustowości i aktualizując sprzęt na serwerze. CloudFare ma dobry post na blogu o tym, jak i dlaczego SSL może spowolnić twoją stronę.
HTTPS może wpływać na działania SEO Podczas przejścia z HTTP na HTTPS; ty jesteśPrzeprowadzka do nowej strony internetowej. Na przykład https://www.groovypost.com nie będzie taki sam jak http://www.groovypost.com. Ważne jest, aby upewnić się, że przekierowałeś stare linki i zapisałeś odpowiednie reguły pod maską swojego serwera, aby uniknąć utraty cennego soku z linków.
Mieszana treść może rzucić żółtą flagę. W przypadku niektórych przeglądarek, jeśli masz główną częśćstrona ładowana z HTTPS, ale obrazy i inne elementy (takie jak arkusze stylów lub skrypty) ładowane z adresu URL HTTP, wówczas może pojawić się wyskakujące okienko z ostrzeżeniem, że strona zawiera treści niezabezpieczone. Oczywiście mając trochę bezpieczna treść jest lepsza niż jej brak, mimo że ta ostatnia nie powoduje wyskakującego okienka. Mimo to warto jednak upewnić się, że na stronach nie ma żadnych „mieszanych treści”.
Czasami łatwiej jest uzyskać zewnętrzny procesor płatności. Nie ma wstydu, pozwalając Google Checkout,Paypal lub Checkout by Amazon obsługują twoje płatności. Jeśli wszystkie powyższe wydają się zbyt trudne do rozwiązania, możesz pozwolić swoim klientom wymieniać informacje o płatnościach na bezpiecznej stronie Paypal lub bezpiecznej stronie Google i zaoszczędzić sobie kłopotów.
Masz inne pytania lub uwagi dotyczące certyfikatów HTTPS i SSL / TLS? Pozwólcie mi to usłyszeć w komentarzach.