HTTPS และใบรับรอง SSL: ทำให้เว็บไซต์ของคุณปลอดภัย (และทำไมคุณควร)

ใบรับรอง SSL มีไว้เพื่อพิสูจน์ตัวตนของเว็บไซต์ที่คุณส่งข้อมูลไป เพื่อให้แน่ใจว่าผู้คนจะไม่ใช้ใบรับรอง SSL ปลอมสำหรับโดเมนที่พวกเขาไม่สามารถควบคุมได้อย่างถูกต้องหน่วยงานผู้ออกใบรับรองจะตรวจสอบว่าบุคคลที่ขอใบรับรองนั้นเป็นเจ้าของชื่อโดเมนจริง ๆ โดยทั่วไปสิ่งนี้จะกระทำผ่านการตรวจสอบอีเมลอย่างรวดเร็วหรือการโทรศัพท์เช่นเดียวกับเมื่อเว็บไซต์ส่งอีเมลพร้อมลิงก์ยืนยันบัญชี สิ่งนี้เรียกว่า ตรวจสอบความถูกต้องของโดเมน ใบรับรอง SSL ประโยชน์ของสิ่งนี้คืออนุญาตให้ออกใบรับรอง SSL เกือบจะในทันที คุณอาจจะสามารถไปรับโดเมน SSL ที่ผ่านการตรวจสอบความถูกต้องในเวลาที่น้อยกว่าที่คุณอ่านโพสต์บล็อกนี้ ด้วยใบรับรอง SSL ที่ตรวจสอบความถูกต้องของโดเมนคุณจะได้รับกุญแจและความสามารถในการเข้ารหัสปริมาณการใช้งานเว็บไซต์ของคุณ

ข้อดีของการตรวจสอบความถูกต้องของโดเมน SSLใบรับรองคือพวกเขารวดเร็วง่ายและถูกรับ นี่คือข้อเสียของพวกเขา อย่างที่คุณสามารถจินตนาการได้มันง่ายกว่าที่จะประคองระบบอัตโนมัติมากกว่าการดำเนินการโดยมนุษย์คนหนึ่ง มันเหมือนกับว่าเด็กมัธยมปลายบางคนเดินเข้ามาใน DMV โดยบอกว่าเขาเป็นบารักโอบามาและต้องการรับบัตรประจำตัวที่ออกโดยรัฐบาล คนที่อยู่บนโต๊ะจะมองดูเขาแล้วโทรหา Feds (หรือถังขยะ) แต่ถ้ามันเป็นหุ่นยนต์ที่ทำงานตู้ถ่ายรูป ID เขาอาจมีโชค ในทำนองเดียวกันฟิชเชอร์สามารถรับ“ รหัสปลอม” สำหรับเว็บไซต์เช่น Paypal, Amazon หรือ Facebook โดยหลอกระบบตรวจสอบโดเมน ในปี 2009 Dan Kaminsky เผยแพร่ตัวอย่างของวิธีการหลอกลวง CA เพื่อรับใบรับรองที่จะทำให้เว็บไซต์ฟิชชิ่งดูเหมือนว่าเป็นการเชื่อมต่อที่ปลอดภัยและถูกกฎหมาย สำหรับมนุษย์การหลอกลวงนี้จะง่ายต่อการตรวจจับ แต่การตรวจสอบโดเมนอัตโนมัติในเวลานั้นขาดการตรวจสอบที่จำเป็นเพื่อป้องกันบางสิ่งเช่นนี้

เพื่อตอบสนองต่อช่องโหว่ของ SSL และใบรับรอง SSL ที่ตรวจสอบความถูกต้องของโดเมนอุตสาหกรรมจึงได้เปิดตัว การตรวจสอบเพิ่มเติม ใบรับรอง ในการรับใบรับรอง EV SSL บริษัท หรือองค์กรของคุณต้องผ่านการตรวจสอบอย่างเข้มงวดเพื่อให้แน่ใจว่าอยู่ในสถานะที่ดีกับรัฐบาลของคุณและควบคุมโดเมนที่คุณสมัครอย่างถูกต้อง การตรวจสอบเหล่านี้ต้องการองค์ประกอบของมนุษย์และใช้เวลานานกว่าและมีราคาแพงกว่า

ในบางอุตสาหกรรมจำเป็นต้องใช้ใบรับรอง EV แต่สำหรับคนอื่น ๆ ผลประโยชน์จะไปเท่าที่ผู้เข้าชมของคุณจะรับรู้ สำหรับผู้เข้าชมเว็บทุกวันความแตกต่างนั้นลึกซึ้ง นอกจากไอคอนรูปแม่กุญแจแถบที่อยู่จะเปลี่ยนเป็นสีเขียวและแสดงชื่อ บริษัท ของคุณ หากคุณคลิกเพื่อดูข้อมูลเพิ่มเติมคุณจะเห็นว่าตัวตนของ บริษัท ได้รับการยืนยันแล้วไม่ใช่เฉพาะเว็บไซต์

นี่คือตัวอย่างของไซต์ HTTPS ปกติ:

และนี่คือตัวอย่างของไซต์ HTTPS ใบรับรอง EV:

ใบรับรอง EV ขึ้นอยู่กับอุตสาหกรรมของคุณอาจไม่คุ้มค่า นอกจากนี้คุณต้องเป็นธุรกิจหรือองค์กรเพื่อรับสิทธิ์ แม้ว่า บริษัท ใหญ่ ๆ จะมีแนวโน้มที่จะได้รับการรับรอง EV แต่คุณจะสังเกตได้ว่าไซต์ HTTPS ส่วนใหญ่ยังคงมีรสชาติที่ไม่ใช่ EV อยู่ หากดีพอสำหรับ Google, Facebook และ Dropbox อาจเป็นการดีสำหรับคุณ

อีกสิ่งหนึ่ง: มีตัวเลือกกลางถนนที่เรียกว่า ตรวจสอบองค์กรแล้ว หรือ ตรวจสอบธุรกิจแล้ว ได้รับการรับรอง นี่เป็นการตรวจที่ละเอียดกว่าการตรวจสอบความถูกต้องของโดเมนโดยอัตโนมัติ แต่จะไม่ดำเนินการเท่าที่เป็นไปตามข้อบังคับของอุตสาหกรรมสำหรับใบรับรองการตรวจสอบความถูกต้องเพิ่มเติม (สังเกตว่าการตรวจสอบความถูกต้องแบบขยายนั้น การรับรอง OV หรือธุรกิจที่ตรวจสอบแล้วมีค่าใช้จ่ายมากขึ้นและใช้เวลานานขึ้น แต่จะไม่ให้แถบที่อยู่สีเขียวและข้อมูลยืนยันตัวตนของ บริษัท ตรงไปตรงมาฉันไม่สามารถคิดเหตุผลที่จะจ่ายค่าใบรับรอง OV หากคุณคิดได้โปรดบอกฉันด้วยความเห็น

SSL ที่ใช้ร่วมกันกับ SSL ส่วนตัว

โฮสต์เว็บบางแห่งเสนอบริการ SSL ที่ใช้ร่วมกันซึ่งมักจะแพงกว่า SSL ส่วนตัว นอกจากราคาแล้วข้อดีของ SSL ที่ใช้ร่วมกันก็คือคุณไม่จำเป็นต้องได้รับที่อยู่ IP ส่วนตัวหรือโฮสต์เฉพาะ ข้อเสียคือคุณจะไม่ใช้ชื่อโดเมนของคุณเอง ส่วนที่ปลอดภัยของเว็บไซต์ของคุณจะเป็นดังนี้:

https://www.hostgator.com/~yourdomain/secure.php

ตรงกันข้ามกับที่อยู่ SSL ส่วนตัว:

https://www.yourdomain.com/secure.php

สำหรับไซต์สาธารณะเช่นไซต์อีคอมเมิร์ซและไซต์เครือข่ายสังคมนี้เห็นได้ชัดว่าเป็นการลากเนื่องจากดูเหมือนว่าคุณถูกเปลี่ยนเส้นทางจากไซต์หลัก แต่สำหรับพื้นที่ที่ไม่ได้รับการเปิดเผยโดยบุคคลทั่วไปเช่นอวัยวะภายในของระบบจดหมายหรือพื้นที่ผู้ดูแลระบบดังนั้น SSL ที่ใช้ร่วมกันอาจเป็นข้อตกลงที่ดี

เชื่อถือผนึก

ผู้ออกใบรับรองหลายแห่งให้คุณประทับตราความน่าเชื่อถือบนหน้าเว็บของคุณหลังจากที่คุณลงทะเบียนสำหรับหนึ่งในใบรับรองของพวกเขา นี่จะให้ข้อมูลแบบเดียวกับการคลิกปุ่มล็อคในหน้าต่างเบราว์เซอร์ แต่จะมองเห็นได้ชัดเจนขึ้น ไม่จำเป็นต้องรวมถึงการประทับตราความน่าเชื่อถือและไม่ขยายความปลอดภัยของคุณ แต่ถ้ามันทำให้ผู้เยี่ยมชมของคุณรู้ว่าใครเป็นคนออกใบรับรอง SSL โดยไม่รู้ตัวให้ทิ้งมันไว้ที่นั่น

ใบรับรอง SSL แบบ Wildcard

ใบรับรอง SSL ตรวจสอบตัวตนของหนึ่งโดเมน. ดังนั้นหากคุณต้องการมี HTTPS ในหลาย subdomaings เช่น groovypost.com, mail.groovypost.com และ answer.groovypost.com คุณจะต้องซื้อใบรับรอง SSL ที่ต่างกันสามใบ เมื่อถึงจุดหนึ่งใบรับรองไวด์การ์ด SSL จะประหยัดมากขึ้น นั่นคือใบรับรองหนึ่งใบจะครอบคลุมหนึ่งโดเมนและโดเมนย่อยทั้งหมดเช่น * .groovypost.com

การรับประกัน

ไม่ว่า บริษัท จะดีแค่ไหนชื่อเสียงคือมีช่องโหว่ แม้แต่ CA ที่ไว้ใจได้ก็สามารถถูกแฮ็คเป้าหมายได้จากหลักฐานการละเมิดที่ VeriSign ที่ไม่ได้รับการรายงานกลับในปี 2010 นอกจากนี้สถานะของ CA ในรายการที่เชื่อถือได้สามารถถูกเพิกถอนได้อย่างรวดเร็วดังที่เราเห็นด้วย DigiNotar snafu .

เพื่อระงับความไม่สบายใจใด ๆ ที่มีต่อศักยภาพการกระทำที่สุ่มของ SSL debauchery ขณะนี้ CA หลายแห่งเสนอการรับประกัน ความคุ้มครองครอบคลุมตั้งแต่สองสามพันดอลลาร์ไปจนถึงกว่าหนึ่งล้านดอลลาร์และรวมถึงการสูญเสียที่เกิดจากการใช้ใบรับรองของคุณในทางที่ผิดหรืออุบัติเหตุอื่น ๆ ฉันไม่รู้ว่าการรับประกันเหล่านี้เพิ่มมูลค่าจริงหรือไม่หรือถ้าใครเคยชนะการเรียกร้องได้สำเร็จ แต่พวกเขาอยู่ที่นั่นเพื่อการพิจารณาของคุณ

ฟรีใบรับรอง SSL และใบรับรอง SSL ที่ลงชื่อด้วยตนเอง

มีใบรับรอง SSL ฟรีสองชนิดใช้ได้ ลงนามด้วยตนเองใช้เป็นหลักสำหรับการทดสอบส่วนตัวและสาธารณะเต็มเป่าออกใบรับรอง SSL ที่ออกโดยหน่วยงานรับรองที่ถูกต้อง ข่าวดีก็คือในปี 2018 มีตัวเลือกน้อยเพื่อรับฟรี 100% SSL 90 วันที่ถูกต้องใบรับรองจากทั้ง SSL สำหรับฟรีหรือเข้ารหัสของ Let 's SSL for Free นั้นเป็น GUI สำหรับ Let’s Encrypt API เป็นหลัก ข้อได้เปรียบของเว็บไซต์ SSL for Free นั้นใช้ง่ายเพราะมี GUI ที่ดี อย่างไรก็ตาม Let 's Encrypt นั้นดีเพราะคุณสามารถร้องขอ SSL certs จากพวกเขาโดยอัตโนมัติได้ เหมาะอย่างยิ่งหากคุณต้องการใบรับรอง SSL สำหรับเว็บไซต์ / เซิร์ฟเวอร์หลายแห่ง

ใบรับรอง SSL ที่ลงชื่อด้วยตนเองนั้นฟรีตลอดไป ด้วยใบรับรองที่ลงนามเองคุณคือ CA ของคุณเอง อย่างไรก็ตามเนื่องจากคุณไม่ได้อยู่ในกลุ่ม CA ที่เชื่อถือได้ซึ่งมีอยู่ในเว็บเบราว์เซอร์ผู้เยี่ยมชมจะได้รับคำเตือนว่าระบบปฏิบัติการไม่ได้รับอนุญาต ดังนั้นจึงไม่มีความมั่นใจว่าคุณคือคนที่คุณพูดว่าคุณ (มันคล้ายกับการออกบัตรประจำตัวรูปถ่ายและพยายามส่งต่อที่ร้านขายเหล้า) อย่างไรก็ตามประโยชน์ของใบรับรอง SSL ที่ลงชื่อด้วยตนเองคือสามารถเปิดใช้งานการเข้ารหัสสำหรับปริมาณการใช้งานเว็บ อาจเป็นการดีสำหรับการใช้งานภายในซึ่งคุณสามารถให้พนักงานของคุณเพิ่มองค์กรของคุณเป็น CA ที่เชื่อถือได้เพื่อกำจัดข้อความเตือนและทำงานบนการเชื่อมต่อที่ปลอดภัยผ่านอินเทอร์เน็ต

สำหรับคำแนะนำในการตั้งค่าใบรับรอง SSL ที่ลงชื่อด้วยตนเองตรวจสอบเอกสารประกอบสำหรับ OpenSSL (หรือหากมีความต้องการเพียงพอฉันจะเขียนบทแนะนำ)

ติดตั้งใบรับรอง SSL

เมื่อคุณซื้อใบรับรอง SSL แล้วจำเป็นต้องติดตั้งบนเว็บไซต์ของคุณ เว็บโฮสต์ที่ดีจะเสนอให้คุณทำเช่นนี้ บางคนอาจไปไกลถึงซื้อให้คุณ บ่อยครั้งนี่เป็นวิธีที่ดีที่สุดในการไปเพราะมันทำให้การเรียกเก็บเงินง่ายขึ้นและทำให้แน่ใจได้ว่ามีการตั้งค่าอย่างถูกต้องสำหรับเว็บเซิร์ฟเวอร์ของคุณ

ยังคุณมีตัวเลือกในการติดตั้งใบรับรอง SSL ที่คุณซื้อด้วยตัวคุณเอง หากคุณทำเช่นนั้นคุณอาจต้องการเริ่มปรึกษาฐานความรู้ของโฮสต์เว็บของคุณหรือเปิดตั๋วฝ่ายช่วยเหลือ พวกเขาจะแนะนำคุณไปยังคำแนะนำที่ดีที่สุดสำหรับการติดตั้งใบรับรอง SSL ของคุณ คุณควรศึกษาคำแนะนำจาก CA สิ่งเหล่านี้จะให้คำแนะนำที่ดีกว่าคำแนะนำทั่วไปที่ฉันสามารถให้คุณได้ที่นี่

คุณอาจต้องการตรวจสอบคำแนะนำต่อไปนี้สำหรับการติดตั้งใบรับรอง SSL:

• ติดตั้งใบรับรอง SSL และตั้งค่าโดเมนใน cPanel
• วิธีใช้ SSL ใน IIS (Windows Server)
• การเข้ารหัส Apache SSL / TLS

คำแนะนำทั้งหมดเหล่านี้จะเกี่ยวข้องกับการสร้างคำขอลงนามใบรับรอง SSL (CSR) ในความเป็นจริงคุณจะต้องมี CSR เพียงเพื่อออกใบรับรอง SSL อีกครั้งที่เว็บโฮสต์ของคุณสามารถช่วยคุณได้ สำหรับข้อมูล DIY ที่เฉพาะเจาะจงมากขึ้นในการสร้าง CSR ให้ดูบทความนี้จาก DigiCert

ข้อดีข้อเสียของ HTTPS

เราได้สร้างข้อดีของHTTPS: ความปลอดภัยความปลอดภัยความปลอดภัย สิ่งนี้นอกจากจะช่วยลดความเสี่ยงของการละเมิดข้อมูลแล้วยังช่วยเพิ่มความน่าเชื่อถือและเพิ่มความน่าเชื่อถือให้กับเว็บไซต์ของคุณ ลูกค้าที่มีความชำนาญอาจไม่สนใจสมัครใช้งานหากพวกเขาเห็น“ http: //” ในหน้าเข้าสู่ระบบ

อย่างไรก็ตามมีข้อเสียบางอย่างกับ HTTPS เมื่อพิจารณาถึงความจำเป็นของ HTTPS สำหรับเว็บไซต์บางประเภทมันสมเหตุสมผลมากกว่าที่จะคิดว่าเป็น "ข้อเสียปรากฏการณ์” มากกว่าเชิงลบ

• HTTPS มีค่าใช้จ่ายเงิน. สำหรับผู้เริ่มมีค่าใช้จ่ายในการซื้อและต่ออายุใบรับรอง SSL ของคุณเพื่อให้แน่ใจว่าถูกต้องทุกปี แต่ยังมี“ ข้อกำหนดของระบบ” บางอย่างสำหรับ HTTPS เช่นที่อยู่ IP เฉพาะหรือแผนการโฮสต์เฉพาะซึ่งอาจมีราคาสูงกว่าแพ็คเกจโฮสติ้งที่ใช้ร่วมกัน
• HTTPS อาจทำให้เซิร์ฟเวอร์ตอบสนองช้าลง มีสองประเด็นที่เกี่ยวข้องกับ SSL / TLSอาจทำให้ความเร็วในการโหลดหน้าเว็บของคุณช้าลง ขั้นแรกเพื่อเริ่มการสื่อสารกับเว็บไซต์ของคุณเป็นครั้งแรกเบราว์เซอร์ของผู้ใช้จะต้องผ่านกระบวนการจับมือซึ่งตีกลับไปที่เว็บไซต์ของหน่วยงานผู้ออกใบรับรองเพื่อตรวจสอบใบรับรอง หากเว็บเซิร์ฟเวอร์ของ CA กำลังซบเซาจะมีความล่าช้าในการโหลดหน้าเว็บของคุณ นี่เป็นสิ่งที่อยู่นอกเหนือการควบคุมของคุณ ประการที่สอง HTTPS ใช้การเข้ารหัสซึ่งต้องการพลังการประมวลผลมากขึ้น สิ่งนี้สามารถแก้ไขได้โดยปรับเนื้อหาของคุณให้เหมาะกับแบนด์วิดท์และอัพเกรดฮาร์ดแวร์บนเซิร์ฟเวอร์ของคุณ CloudFare มีบล็อกโพสต์ที่ดีเกี่ยวกับวิธีและเหตุผลที่ SSL อาจทำให้เว็บไซต์ของคุณช้าลง
• HTTPS อาจส่งผลต่อความพยายาม SEO เมื่อคุณเปลี่ยนจาก HTTP เป็น HTTPS คุณคือย้ายไปที่เว็บไซต์ใหม่ ตัวอย่างเช่น https://www.groovypost.com จะไม่เหมือนกับ http://www.groovypost.com สิ่งสำคัญคือต้องแน่ใจว่าคุณได้เปลี่ยนเส้นทางลิงก์เก่าของคุณและเขียนกฎที่เหมาะสมภายใต้ฮูดของเซิร์ฟเวอร์ของคุณเพื่อหลีกเลี่ยงการสูญเสียน้ำลิงค์อันมีค่าใด ๆ
• เนื้อหาแบบผสมสามารถขว้างธงสีเหลืองได้. สำหรับเบราว์เซอร์บางตัวถ้าคุณมีส่วนหลักหน้าเว็บโหลดจาก HTTPS แต่ภาพและองค์ประกอบอื่น ๆ (เช่นสไตล์ชีตหรือสคริปต์) โหลดจาก URL HTTP จากนั้นป๊อปอัปอาจปรากฏเตือนว่าหน้านั้นมีเนื้อหาที่ไม่ปลอดภัย แน่นอนว่ามี บาง เนื้อหาที่ปลอดภัยดีกว่าการไม่มีเลยแม้ว่าเนื้อหาจะไม่ส่งผลให้ป๊อปอัป แต่ก็อาจคุ้มค่าที่จะตรวจสอบให้แน่ใจว่าคุณไม่มี "เนื้อหาผสม" ในหน้าเว็บของคุณ
• บางครั้งการประมวลผลการชำระเงินของบุคคลที่สามง่ายกว่า. ไม่มีความละอายในการปล่อยให้ Google CheckoutPaypal หรือ Checkout โดย Amazon จัดการการชำระเงินของคุณ หากสิ่งที่กล่าวมาข้างต้นดูเหมือนจะทะเลาะกันมากเกินไปคุณสามารถให้ลูกค้าแลกเปลี่ยนข้อมูลการชำระเงินในเว็บไซต์ที่ปลอดภัยของ Paypal หรือเว็บไซต์ที่ปลอดภัยของ Google และช่วยตัวคุณเองให้เดือดร้อน

มีคำถามหรือความคิดเห็นอื่น ๆ เกี่ยวกับใบรับรอง HTTPS และ SSL / TLS หรือไม่ ให้ฉันได้ยินในความคิดเห็น