Tarvitsenko SSL-sertifikaatin ja miten se saadaan

Artikkelin on valmistanut toimittaja Victoria Fedoseenko ISPsystem.

Vuodesta 2014 lähtien Google on kehottanut sivustojen omistajia liittämään turvallisen yhteyden asentamalla SSL / TLS-sertifikaatin. Mutta kaikki eivät ole samaa mieltä. Tarkastellaan kaikkia hyviä ja huonoja puolia ja kerro, miten se saadaan.

Google vaatii https-palvelua

HTTPS otettiin Internet-standardeihin käyttöön vuonna 2000. Mutta aiheen huippu oli vuoden 2013 lopussa - vuoden 2014 alussa. Sitten oli uutisia Googlen aikomuksesta harkita HTTPS: ää hakutuloksissa. Elokuussa 2014 yhtiö vahvisti huhut julkaisemalla artikkelin ylläpitäjien blogiin. Sillä oli selkeä viesti: HTTPS on sijoitustekijä, koska se takaa tiedonsiirron turvallisuuden.

Web-ylläpitäjien ja sivustojen omistajien yhteisölle Google-uutiset olisi pitänyt olla merkki: jos haluat olla ongelman yläosassa, liitä turvallinen yhteys. Mutta oli varauksia: vaikka tekijä otetaan huomioon alle 1 prosentissa kaikista pyynnöistä, ja vaikka siinä on vähemmän painoa kuin esimerkiksi sisällön ainutlaatuisuus. Vaikka sanottiin, että ajan myötä tekijälle voidaan antaa suurempi merkitys, massan siirtyminen HTTPS: ään ei tapahtunut.

Myöhemmin yhtiö alkoi toimia Google Chromen kautta.

  • Tammikuusta 2017 alkaen selain alkoi merkitä HTTP-sivuja, jotka keräävät salasanoja ja luottokorttitietoja vaarattomiksi.
  • Lokakuussa 2017 julkaistiin Chrome 62, joka pitää HTTP-sivuja turvallisina, keräämällä tietoja - sähköpostiosoitteita, kirjautumisia jne. Ja inkognito-tilassa - yleensä kaikki sivustot, joissa ei ole SSL: ää.
  • Heinäkuussa 2018 julkaistaan ​​Chrome 68, joka juhlii kaikki HTTP-sivustot ovat epäluotettavia. Tutkimukset ovat osoittaneet, että ihmiset eivät huomaa, että tällaisia ​​varoituksia ei ole olemassa tai että se on täysin sokea. Heinäkuusta merkintä näyttää tältä:

Yleensä siirtyminen HTTPS: ään siirtyy CA / Browser Forumista, joka sisältää sertifikaattiviranomaiset, selaimen päättäjät ja muut sovellukset, jotka toimivat SSL / TLS: n kanssa.

Muodollisuus tai välttämättömyys

Maaliskuussa 2019 Google Chrome on käytössä 48,2% runet-käyttäjistä, joten ylläpitäjien on otettava huomioon Google. Monet heistä eivät kuitenkaan ole samaa mieltä IT-jättiläisestä.

Tärkeimmät väitteet "vastaan":

  1. Kaikki Internet-sivut eivät sisällä tai kerää arkaluonteisia tietoja, joiden kuuntelu voi olla tuskallista vierailijoille;
  2. HTTPS: n vaikutus sivujen sijoitukseen hakuun näyttää olevan merkityksetön;
  3. HTTPS-yhteys edellyttää SSL / TLS-sertifikaatin hankkimista, jonka vuoksi jotkut ihmiset ajattelevat toisen rahan puristamista.

Siksi monet ylläpitäjät sivuuttavat yksinkertaisesti yrityksen suositukset.

Googlein väitteet

Koska HTTPS on välttämätön vain sivustoille, jotka käsittelevät arkaluonteisia tietoja, on harhaa. Joten ajattele Googlea. Tässä ovat tärkeimmät argumentit.

turvallisuus

Tietojen katkaiseminen on vaarallista. Kukin suojaamaton HTTP-pyyntö saattaa paljastaa käyttäjien etuja ja käyttäytymistä koskevia tietoja. Yhdistämällä toimet eri sivustoille hyökkääjät tekevät johtopäätöksiä käyttäytymisestään ja aikomuksistaan ​​ja paljastavat myös heidän persoonallisuutensa.

Vielä yksi asia. Sivuston ja käyttäjän välisessä yhtey- dessä hyökkääjä ei voi vain varastaa, vaan myös korvata tiedot. Se olisi ikään kuin postimies avaisi kirjeet ja kirjoitti ne uudelleen. Hakkerit lisäävät viruksia HTTP-sivuille, mainostavat porno-sivustoja tai laittomia tuotteita. Käyttäjä katsoo, että tämä on sivustosi. HTTPS suojaa vastaavia tarinoita vastaan.

Seuraa trendejä

Pöytäkirjaa tarvitaan "progressiivisissa web-sovelluksissa" - sivustoissa, jotka toimivat työpöydällä tavallisina verkkosivuina, sekä mobiililaitteissa tai tableteissa sovelluksina. Ne ovat luotettavia, latautuvat nopeasti, toimivat offline-tilassa.

Siksi Google uskoo, että HTTPS on Internetin tulevaisuus. Vuodesta 2015 lähtien sitä voidaan antaa ilmaiseksi Let's Encrypt - sertifiointiviranomaisen, jonka sponsoroivat Google ja muut yritykset, avulla.

tulokset

SSL on tarpeen, jos:

  • kerää luottamuksellisia käyttäjätietoja (salasanat, pankkikorttitiedot);
  • haluavat poistaa osan asiakkaiden vastalauseista ennen ostamista;
  • Et halua, että petostajat hyötyvät sivustosi haavoittuvuudesta;
  • työskentely SEO ja kaikki on tärkeää sinulle, jopa vähäiset tekijät kasvaa liikkeeseen.

Kun muodostat yhteyden SSL-sertifikaattiin, voi ilmetä vaikeuksia:

  • Hakutulosten väliaikainen pudotus. Indeksointirobotti havaitsee resurssin, joka lähettää tietoja käyttäen kahta eri protokollaa kahtena eri sivustona. Siksi siirtyminen HTTPS: ään voi vähentää sivuston liikennettä hakusta. Jos noudatat "Yandexin" ja Googlen suosituksia, ongelman asemat palautetaan.
  • Lisääntynyt liikenne. Salaus lisää lähetettyjen tietojen määrää. Useimmat palveluntarjoajat tarjoavat kuitenkin isännöintiä ilman rajoituksia siirretyn liikenteen määrälle, joten siirtyminen kalliimpaan tariffiin ei todennäköisesti ole tarpeen.

SSL-varmenteen valitseminen

SSL-varmenteita on useita. Olemme jo kirjoittaneet lisää niistä, joten otamme teoksen. Valinta riippuu siitä, onko sivusto luonnollisen tai oikeushenkilön omistuksessa, sekä sivustojen ja aliverkkotunnusten lukumäärästä.

Sivuston omistaja

Omistaja määrittää, missä määrin sivusto tarvitsee siirtää SSL-varmenteen saamiseksi.

Tyypistä riippumatta SSL-sertifikaatti suorittaa ensisijaisen tehtävän: salaa lähetetyt tiedot ja poistaa turvallisen yhteyden ilmoituksen.

Fyysinen henkilö

Jos resurssi on yksilön omistuksessa, siihen voidaan asentaa vain todentaminen (DV) -tyyppinen todistus. Tämä todistus vahvistaa verkkotunnuksen omistusoikeuden eikä mitään muuta. Varmistaaksesi, tarvitset sähköpostia verkkotunnuksessa. Vapaat DV-sertifikaatit antavat salatun luotettavan keskuksen.

organisaatio

Jos yritys omistaa sivuston, voi olla useita vaihtoehtoja:

  • Yrityksen tai organisaation käyntikorttipaikka. Sivusto ei kerää maksutietoja. On vain ilmoitettava. Tällöin todistus, jolla on validointitaso Domain Validation, on sopiva. Se salaa dataa, poistaa selaimen "epävarmaksi" sanotun tynkin, ja se on niin.
  • Pankkien, maksujärjestelmien, verkkokauppojen tai medioiden sivustot. Sivusto kerää rahaa tai tietoja, jotka antavat pääsyn rahaa. Jotta pääset käsiksi rahoihin, petokset voivat kopioida sen. Siksi tarvitsemme sertifikaatin, jossa on todistus organisaatiosta - Extended Validation (EV). Sen voi hankkia vain sivuston todellinen organisaatio-omistaja, sen nimi ja tyyppi ilmoitetaan todistuksessa. Vihreä palkki, jossa on yrityksen nimi, näkyy selainpalkissa.
  • Pieni verkkokauppa, hyväntekeväisyysjärjestön sivusto, foorumi. Sivusto ei ole mielenkiintoinen petoksille, mutta asiakkaat saattavat haluta selvittää organisaation olemassaolon. Täällä tarvitaan sertifikaatti, jossa on organisaation vahvistaminen - Organisation Validation (OV). Organisaation nimi näkyy sertifikaatissa, vihreä lukko ilmestyy selaimen riville.

SSL-varmenteiden läsnäolo ei näytä vain Google Chromea. Sitä näyttää myös Yandex Browser, Microsoft Edge, Firefox, Safari, Opera.

Sivustojen ja aliverkkotunnusten lukumäärä

  • Yksi sivusto ja useita aliverkkotunnuksia (Wildcard, WC) - * bestsite.ru, * foorumi. bestsite.ru, * blog.bestsite.ru jne.
  • Useat sivustot (Multi Domain, MD) - * bestsite.ru, * bestsite.com, * perfectsite.ru. Jos sivustoja on kaksi tai kolme, on kannattavampaa ostaa useita SSL: ää yhden toimialueen tuella: asennusta ja uusimista on vaikeampaa, mutta se on useita kertoja halvempaa.

SSL-hinta riippuu sen tyypistä. Halvimmat sertifikaatit (1 000 ruplaa) - DV yhdessä verkkotunnuksessa. Kallein (22 tuhatta ruplaa) - monialue, jossa organisaatio on laajennettu.

Sertifiointikeskuksen valitseminen

Menit läpi edellä mainitut kohdat ja osoittautui, että tarvitset monen toimialueen SSL-sertifikaatin OV-tarkastustasolla. On edelleen valittava, mistä ostaa. SSL-ongelman tunnistuskeskukset (CA). Ne vahvistavat salausavainten aitouden sähköisten allekirjoitustodistusten avulla.

Luettelo kaikista luotetuista sertifiointiviranomaisista on julkaistu CA / Browser Forumin verkkosivuilla. 10 parasta SSL-numerokeskusta voi katsella w3tech.com-sivustolla. Käyttäjän näkökulmasta sertifiointikeskusten välillä on vain yksi merkittävä ero - SSL-varmenteiden hinta. Kokemuksemme perusteella voimme tehdä muutamia kommentteja, mutta tutkimusta ei tueta. Varo, nämä ovat vain ajatuksemme.

Hinta ei ole indikaattori

SSL-varmenteilla ei ole sama kuin leivän tai koneen kanssa: kalliimpi ei tarkoita parempaa laatua. Kaikki luotettavat sertifiointikeskukset myöntävät SSL-sertifikaatit vakiintuneiden standardien mukaisesti, joten ei ole mitään järkeä maksaa ylimääräistä merkkiä. Suuri hintaero selittyy todennäköisemmin sertifiointikeskusten markkinointipolitiikalla: joku on suunnattu yritysasiakkaille, joku on kiinnostunut vain länsimarkkinoista, ja joku haluaa myydä niin paljon kuin mahdollista ja vähentää siten hintaa mahdollisimman vähän. Siksi on järkevää valita hinta. On myös viisasta käyttää hintavertailuun välittäjäsivustoja (kuten LeaderTelecom, FirstSSL tai ISPsystem): usein SSL-sertifikaatit ovat halvempia kuin suoramyyjät.

Tuotemerkki ei takaa luotettavuutta

Sertifiointiviranomainen voi menettää luottamuksensa tai yksinkertaisesti hajota. Tämä on jo tapahtunut. Tässä tapauksessa merkittävä nimi ei takaa mitään. Äskettäin Symantecin SSL-sertifikaattiyritys on menettänyt uskottavuutensa. Tässä tapauksessa Symantec, joka on yksi ohjelmistojen tuotannon johtajista, jatkoi toimintaansa. Symantecin sertifikaattien ostajat eivät ole menettäneet rahaa: joulukuussa 2017 Symantec SSL on luovuttanut DigiCert SSL: n. Niitä voidaan edelleen ostaa ja asentaa.

Comodo Huomautus

Toinen huomautus kokemuksistamme. Tänään Comodo on maailman suosituin sertifiointikeskus. Tämä CA myöntää sertifikaatit nopeasti, tässä yksi halvimmista varmenteista ja nopeaa liikkeeseenlasku. Samalla sertifikaatit, joilla on organisaation vahvistaminen tai laajennettu varmentaminen, annetaan vasta DUNS-numeron oston jälkeen. Tämän vuoksi todistus on useita kertoja kalliimpaa. Muulla CA: lla ei ole tällaista vaatimusta.

Ehkä on muitakin tuntemattomia piirteitä. Jos sinulla on jotain sanottavaa sertifiointikeskusten eroista - kirjoita kommentteihin, keskustelemme.

SSL-varmenteen saaminen

Vastaanottoprosessi riippuu ostopaikasta. Universaali tarina näyttää tältä:

  1. Valitse välittäjän tai TC: n sivustolla SSL.
  2. Anna tarvittavat tiedot. Pakollinen: verkkotunnus ja sähköpostiosoite, yhteyshenkilön puhelinnumero. DV-varmenteille tämä riittää. OV: lle tai EV: lle tarvitset tietoja ja asiakirjoja, jotka vahvistavat organisaation laillisen olemassaolon ja ilmoitetun toiminnan noudattamisen (TIN, ote rekisteristä, mainitaan julkisesti saatavilla olevissa viitteissä kuten nalog.ru tai yellowpages.com ja muut).
  3. Hanki sähköpostiviestiin aktivointiviesti, seuraa linkkiä.
  4. Pass-vahvistus (20 minuutista useisiin päiviin tai jopa viikkoihin, SSL-tyypin mukaan). Tällä hetkellä varmentaja voi pyytää lisätietoja.
  5. Hanki postitodistustiedostoja. Set.

SSL: n asentaminen

SSL-varmenne asennetaan Web-palvelimen määritystiedostoihin (Apache tai Nginx). Sertifiointiviranomainen lähettää asennusohjeet. Prosessi yksinkertaistuu, jos käytät verkkopalvelimen ohjauspaneelia - ISPmanager, CPanel, Plesk ja muut. Asennusohjeet löytyvät paneelin kehittäjän ohjeista.

Kun olet määrittänyt SSL-sertifikaatin, sinun on ymmärrettävä hakukoneet. Lisää ensin Yandex.Webmasterin sivustojen luetteloon uusi yhteyskäytäntö, jonka sivusto on käytettävissä, ja määritä sivuston peili Yandex-suositusten mukaisesti. Kun olet lisännyt uuden osoitteen Google-hakukonsoliin, kuten Google suosittelee. Määritä verkkopalvelimen ohjauspaneelissa oleva uudelleenohjaus HTTP: stä HTTPS: ään.

Loading...

Jätä Kommentti