Навіщо потрібен SSL-сертифікат?

Значок замка в адресному рядку виглядає маленьким, але за ним стоїть механізм, що визначає надійність вашого сайту. SSL-сертифікат (сьогоднішня назва — TLS) шифрує трафік між браузером і сервером і доводить, що адреса, до якої ви підключаєтеся, справді є цією адресою. Ця стаття розглядає, що саме захищає сертифікат, які типи і коли потрібні та що слід зробити після встановлення.

SSL забезпечує три речі

• Конфіденційність: Дані форм, паролі, сесійні cookie та платіжні дані передаються в зашифрованому вигляді; той, хто втрутиться, побачить лише беззмістовний потік даних.
• Цілісність: Якщо дані змінено в дорозі, з’єднання розривається. У сторінку, що надходить вашому відвідувачу, неможливо вставити рекламу чи шкідливий код.
• Ідентичність: Сертифікат видає центр сертифікації після перевірки власника доменного імені. Браузер попереджає, коли його перенаправляють на підроблений сервер.

Чому HTTPS тепер обов’язковий?

Браузери позначають сайти без сертифіката як «Не захищено»; це попередження відлякує насамперед відвідувача, який збирається заповнити форму. Пошукові системи використовують зашифроване з’єднання як сигнал ранжування. Швидкі протоколи, як-от HTTP/2 і HTTP/3, працюють у браузерах лише через HTTPS; тобто шифрування водночас означає швидкість. На сайті, що приймає платежі, має систему членства або збирає персональні дані, SSL — не вибір, а обов’язок.

Типи сертифікатів

Сила шифрування не залежить від типу; і DV-, і EV-сертифікат забезпечують однаковий захист тими самими алгоритмами. Різниця в тому, скільки інформації про ідентичність бачать браузер і відвідувач.

Чи достатньо безкоштовного сертифіката?

Для більшості сайтів — так. Центри сертифікації, як-от Let's Encrypt™, видають DV-сертифікати безкоштовно й автоматично. У хостинг-пакетах Türkbil сертифікат встановлюється сам, щойно доменне ім’я прив’язано до облікового запису, і автоматично продовжується до закінчення строку; вам нічого робити не потрібно. На платний сертифікат переходять організації, які хочуть бачити назву компанії в сертифікаті, або компанії, чий платіжний провайдер вимагає OV/EV.

Контрольний список переходу на HTTPS

1. Перенаправте весь трафік на HTTPS. Кожен запит, що надходить через http://, має повертатися з кодом 301 на зашифровану адресу; сайт не повинен залишатися відкритим одночасно через HTTP і HTTPS.
2. Приберіть змішаний контент. Якщо на сторінці залишилося зображення, скрипт або файл стилів, що завантажується через http://, браузер не покаже замок.
3. Оновіть канонічну адресу. Повідомте адресу з HTTPS пошуковій системі, у карті сайту та в тегах для поширення в соцмережах.
4. Увімкніть заголовок HSTS. Він каже браузеру: «ніколи більше не підключайся до цього сайту через HTTP»; захищає й запити після першого візиту.
5. Стежте за продовженням. Навіть за налаштованого автоматичного продовження прострочений сертифікат — одна з найчастіших причин перебоїв; занесіть дату закінчення в календар.

Поширені запитання

Чи сповільнює SSL сайт?

Ні. На сучасних процесорах витрати на шифрування настільки малі, що їх неможливо виміряти; завдяки HTTP/2 і HTTP/3, які працюють через HTTPS, сайт здебільшого відкривається швидше.

Чи використовує SSL електронна пошта?

Так. З’єднання IMAP, POP3 і SMTP також шифруються сертифікатом; у поштовому клієнті потрібно тримати увімкненою опцію «SSL/TLS».

Що станеться, якщо строк дії сертифіката закінчиться?

Браузер показує повноекранне попередження безпеки, і більшість відвідувачів на сайт не заходить. Тому автоматичне продовження і відстеження дати закінчення так само важливі, як і сам сертифікат.

Підсумок: SSL — не «додаткова функція», а базовий шар сайту. Оскільки його можна встановити безкоштовно й автоматично, сьогодні не залишилося жодних підстав публікувати сайт без сертифіката.