Что такое SSL-сертификат и для чего он нужен?

Оглавление

1. Как работают сертификаты?
   • Как устанавливается защищенное соединение
2. Зачем нужен SSL-сертификат?
3. Влияние SSL-сертификата на работу сайта
4. Разновидности SSL-сертификатов
   • По способу проверки
   • Количество доменов
   • Стоимость и трудозатраты
5. Как получить SSL-сертификат
6. Как узнать, есть ли у сайта сертификат
7. Вывод

Интернет набит разнообразными сайтами. Цели у них отличаются, но так или иначе они конкурируют друг с другом за внимание людей. Помимо интереса к начинке и удобства использования есть еще один важный для пользователя параметр — безопасность.

Из-за него пришлось отказаться от http, как от способа соединения посетитель-сервер. Потому что при таком общении нельзя быть уверенным, что сообщения не перехватят.

В наши дни есть расширение этого протокола. Называется оно https, где последняя “s” — от “secure” (безопасное). Защищает конфиденциальность пользователей при передаче данных.

Как работает:

• Шифрование не дает прочитать третьим лицам содержание сообщения.
• Хэш позволяет проверить, что данные не были изменены в процессе передачи.
• Цифровая подпись и система открытых ключей подтверждают, что общение идет напрямую, без посредников.

Такой способ защиты все еще называют SSL, хотя в действительности настоящий

Secure Sockets Layer устарел в начале 2000 х. Теперь используют Transport Layer Security, но под старым именем. Это сейчас норма, даже для специалистов IT. Хотя современные алгоритмы — это TLS 1.2 и 1.3.

Как узнать, есть ли защита и можно ли ей доверять? Для этого существуют сертификаты SSL. Они подтверждают, что сайт безопасен: шифр не поддастся третьим лицам. То есть даже перехватив информацию, они с ней ничего сделать не смогут.

Как работают сертификаты?

Доступ к передаваемой по каналу информации закрывают SSL/TLS алгоритмы. Поэтому извне невозможно украсть или поменять данные.

Сертификаты нужны для подключения к защищенному каналу. Они — звенья цепочки доверия, которую проверяет браузер, прежде чем пустить пользователя на страницу.

Сертификат подтверждает, что за сайт поручились. Компания, их выдающая, передает серверу шифр и тот используется при общении с пользователями.

Цепочка доверия должна быть непрерывной. Но почему мы верим тому, кто дал сертификат? За него тоже кто-то поручился.

Но есть компании в самом начале цепочки. За них не может поручиться никто. Они сами себе выпустили сертификат безопасности. Им поисковик доверяет, только если они есть в его реестре проверенных источников.

Если сертификат выпущен самостоятельно, но в реестре его нет, то сайт считается ненадежным. То есть это не многим лучше, чем отсутствие безопасного подключения.

Как устанавливается защищенное соединение

Есть два типа шифров. Основной — это пара симметричных ключей, она создается при каждом подключении пользователя к сайту заново. Она как раз и делает процесс безопасным: позволяет кодировать и читать сообщения.

А договориться с сервером о таком одинаковом ключе можно за счет пары асимметричных — это другой тип шифра. Первый из ключей универсален для всех посетителей сайта — это “открытый”. Именно он высвечивается вместе с сертификатом.

Второй — “закрытый”, хранящийся на сервере. Сообщение, зашифрованное первым, можно прочитать только вторым и наоборот. Но такое общение требует больших мощностей и времени.

В результате образуется канал с уникальной для этой сессии парой симметричных ключей. То есть:

• Клиент общается напрямую с сервером.
• Никто не может вмешаться в передачу информации извне.
• При следующем подключении пользователя ключ будет сменен — так никто не узнает, как шло шифрование.

Зачем нужен SSL-сертификат?

Он показывает, что домен заботится о защите подключения и за качество этой защиты поручились.

Поручительства составляют цепочку: организации выдают друг другу сертификаты — и так вплоть до последнего, самоподписанного. Если что-то не так — будет предупреждение о небезопасности от браузера или запрет доступа.

Какую информацию дает сертификат:

• Кто поручился: центры сертификации бывают разные. Одни надежны, другие нет.
• Кому выдан: это может быть домен или организация, причем с разным качеством подтверждения.
• Срок действия: сертификат должен быть рабочим. Нельзя использовать один и тот же ключ постоянно. Сроки годности варьируются от трех месяцев до двух лет в зависимости от типа защиты.

Чем дольше не меняется закрытый ключ, тем больше вероятность, что его узнают третьи лица (к примеру, взломав сайт). Спасает только регулярная смена ключей.

Влияние SSL-сертификата на работу сайта

На число отказов: если вы не используете безопасный протокол или у вас сертификат больше не действителен, браузер выдаст предупреждение или не пустит пользователя на сайт. Это — одна из причин большого количества отказов.

На ранжирование: из-за ограничений доступа к сайту снизятся поведенческие показатели. В то же время, работа по https сама по себе — фактор ранжирования. Без безопасности не рассчитывайте на хорошие позиции в выдаче.

Платежные системы можно подключать только на хорошо защищенных сайтах. Должны быть качественные алгоритмы шифрования с хорошей безопасностью.

Разновидности SSL-сертификатов

По способу проверки

Таблица 1. По способу проверки

Количество доменов

Стандарт: один сертификат — один домен, без каких-либо субдоменов. Во многих случаях этого достаточно, но если ваш сайт имеет сложную структуру, то выгоднее будут другие варианты.

Если вы хотите защитить все поддомены сразу, то воспользуйтесь Wildcard.

Для работы с несколькими доменными именами, в том числе расположенными на разных серверах, пригодятся мультидоменные сертификаты. При их оформлении напишите полный список доменов с вариантами субдоменов.

Стоимость и трудозатраты

Мы уже говорили про то, что самоподписанные сертификаты не считаются хорошей защитой и в большинстве случаев бесполезны. Они бесплатны, но им не доверяют. Значит, свое назначение они выполняют плохо.

Подтвержденные сертификаты выдаются специальной конторой (ей доверяет браузер или он доверяет тем, кто дал этой конторе сертификат). В любом случае они способны сделать безопасным подключение и убедить в этом поисковик. Несомненно, они выигрывают в сравнении с предыдущими.

Такие сертификаты бывают бесплатным и платными.

Первые — ненадежны. Подтверждение только на уровне DV, иногда с мультидоменными возможностями. Ими обеспечиваемого уровня безопасности недостаточно для организации безопасных платежей. Максимум это сгодится для сайта-визитки или маленького личного сайта без обратной связи.

Для остального бесплатные сертификаты недостаточно хороши. Экономьте при создании сайта на другом, но не ставьте под угрозу безопасности данных ваших пользователей.

Платные сертификаты могут стоить очень по-разному. Цена зависит как от их функционала, так и от конторы, которая их выдает.

Организации предлагают поддержку специалистов и возможность получения консультации при установке сертификатов и неполадках. Некоторые дают гарантию. Она покрывает долю ущерба в случае, если защита дала сбой и пострадали клиенты.

Как получить SSL-сертификат

Краткий план:

1. Выберете необходимый уровень защиты.
2. Закажите сертификат через хостинг-провайдера или специализированную контору.
3. Установите сертификат.
4. Перенастройте все ссылки на https через CMS.
5. Не забудьте про .htaccess и robots.txt. В них нужно исправить все ссылки на новый протокол.
6. Оповестите поисковики о переезде сайта. Такая возможность есть в панелях Вебмастеров.

Защиту нужно обновлять. Не забывайте об этом. Когда сертификат закончится, ваш сайт будет снова небезопасен.

Как узнать, есть ли у сайта сертификат

• Браузер предупредит об угрозе, если нет защиты или она больше не работает.
• Буква “s” в конце названия протокола https протокола укажет на защищенность соединения.
• Значок слева от адреса — закрытый замок. Кликнув на него, можно посмотреть сертификат самого сайта и всю цепочку доверия. Там же отображается дата конца защиты и информация об организации.

Вывод

SSL — это набор инструментов шифрования. Он не универсальный, начинка может отличаться. Поэтому, выбирая сертификат проверяйте его совместимость с необходимым функционалом.

Знак замка — это норма. Посетители не готовы рисковать своими данными даже ради полезного контента или уникального товара. Сделайте всё от вас зависящее, чтобы внушить им уверенность.