Нужен ли обычному сайту или блогу SSL сертификат – INFO-EFFECT
На чтение 3 мин. Опубликовано
Привет ! Сегодня я решил разобрать один очень волнующий многих вопрос – Нужен ли обычному сайту или блогу SSL сертификат ? Согласитесь этот вопрос многих волнует, особенно после того как компания Google заявила, что сайты без SSL будут помечаться как небезопасные. И большинство тут же побежало покупать себе защитный сертификат, даже не подумав, а нужен ли он ему.
Я приведу вам в пример пару очень влиятельных сайтов, это и станет моим ответом на данный вопрос. Смотрите далее и вы сами всё поймёте.
Для начала разберём официальный сайт Сбербанка России. Зайдите на него. Вверху в поле браузера мы сразу видим, что данный сайт не имеет SSL сертификата. Нажмите по значку с восклицательным знаком, рядом с URL адресом.
Далее, в открывшемся окне вверху вы можете прочитать – Подключение к сайту не защищено. Не сообщайте этому сайту конфиденциальную информацию (например, пароли и номера банковских карт). К ней могут получить доступ злоумышленники.
Согласитесь, странно видеть такую информацию на сайте Банка России.
Теперь перейдите на страницу входа в Сбербанк Онлайн, нажав на соответствующую вкладку вверху справа.
Как мы видим, здесь естественно есть, не просто ссл сертификат, а самый крутой защитный ssl сертификат. Заметьте данная страница, это не просто вход на какой-то там сайт, блог, форум и т.д. Это страница входа в личный кабинет Банка России. Здесь защита информации просто обязана быть.
Какой делаем вывод из всего увиденного выше ?
Обычному сайту или блогу SSL сертификат НЕ НУЖЕН !
Сами подумайте, неужели такая акула как Сбербанк забыла установить на своём обычном сайте, где просто указана информация, защиту. Нет. Она там просто не нужна. Это просто бессмысленно. Пользователь не оставляет там никакие данные. Делайте выводы сами.
Теперь зайдите на ещё один очень крупный и влиятельный сайт – Интернет-магазин М-видео. Здесь вы видим тоже самое, у сайта нет сертификата безопасности.
Переходим на страницу любого товара, здесь тоже нет SSL.
Далее, переходим на страницу оформления заказа. А вот здесь, естественно, имеется сертификат безопасности.
Если в интернет-магазине есть оплата с помощью банковской карты, то данная страница должна быть защищена на 100%.
Как мы видим, когда пользователь заходит на сайт Сбербанка или М-видео, просто прочитать информацию или посмотреть товары, то защита там не нужна. Зачем она там ? Что защищать ?
Вот в принципе и всё. Теперь я думаю вы точно поймёте, нужен вам SSL сертификат или нет.
Да, вот ещё что, Google заявил, что наличие или отсутствие сертификата будет влиять на ранжировании сайтов в поисковой выдаче. Данный факт будет иметь всего 1% из 100% при определении места сайта в выдаче поиска гугл. Поэтому, не думайте, что если вы поставили на свой Блог, который имеет только форму обратной связи или форму входа, защиту SSL, ваши позиции в поиске тут же вырастут. Нет, не вырастут, если вы надеетесь только на это.
Как сделать интернет-магазин на WordPress.
Как сделать сайт для продажи авто на WordPress.
Как сделать сайт объявлений на WordPress.
Супер плагины WordPress более 500 смотри Здесь.
Супер плагины Woocommerce более 100 смотри Здесь.
Остались вопросы ? Напиши комментарий ! Удачи !
«Зачем мне нужен SSL-сертификат? можно без него?» – Яндекс.Знатоки
Да вы можете обойтись без ssl сертификата для своего сайта. Сайты работающие по http протоколу продолжат работать и в будущем.
Однако, если вы не будете устанавливать на свой сай ssl сертификат, у вашего сайта могут возникнуть проблемы!
Во первых: работа сайта по протоколу https ( а именно для этого и необходим ssl сертификат ) позволяет снизить риск перехвата персональных данных пользователей и передачи этой информации третьим лицам (логины, пароли, номера банковских карт и т. д.), а также подмены информации на самом сайте (например, подмены вашей рекламы на рекламу злоумышленника.
Во вторых: Работа по безопасному протоколу https уже сейчас является одним из факторов ранжирования сайтов. А в ближайшем будущем например Гугл, вообще, заявляет, что сайтам работающим, даже, и по протоколу https, но отдающем «смешанное» содержание — не место в поисковой выдаче! То есть ВООБЩЕ!
Вот цитата: «»Сегодня мы объявляем, что Chrome постепенно начнет гарантировать, что https:// pages может загружать только безопасные https:// subresources. В серии шагов, описанных ниже, мы начнем блокировать смешанный контент (небезопасные http:// subresources на https:// pages) по умолчанию. «»
Так что то не то что»топовых» позиций, а и вообще присутствия вашего сайта! в будущем, в выдаче некоторых поисковиков вам не видать! Особенно это касается новых сайтов.
В выдаче Яндекса, пока что, присутствуют сайты которые не работают по протоколу https, однако как будут в дальнейшем ранжироваться такие сайты известно только Яндексу!
Ну и в третьих в браузерах Моззила и Хром, в адресной строке, сайты работающие по «старинке» маркируются как небезопасные!
Согласитесь — доверия пользователей это не прибавит.
В связи с вышеизложенным я считаю, что вопрос даже так и не стоит: Надо ли переходить на работу по протоколу https и, соответственно, зачем мне нужен ssl сертификат?
А стоит вопрос как и где выбрать ssl сертификат и каким образом перевести свой сай на работу по https протоколу.
А вот тут возможны варианты : )
Ведь сертификат можно приобрести не только за деньги, но и получить безплатно! И установить его на сайт можно своими силами. Хотя повозится придётся, конечно!
Для тех кто уже морально готов к переводу своего сайта на работу по безопасному протоколу будет полезна серия статей — уроков на тему: Безопасный протокол https
В статьях подробно освещается весь процес перевода сайта на работу по безопасному протоколу:
Цифровые SSL сертификаты. Разновидности, как выбрать? / TutHost corporate blog / Habr
Существует достаточно много цифровых сертификатов, каждый из которых служит для своих целей. Самые распространенный тип сертификатов это естественно SSL сертификаты, которые также имеют несколько подвидов. Также существуют Code Signing сертификаты, Website Anti Malware Scanner сертификаты и Unified Communications сертификаты.Поскольку мы занимаемся продажей всех видов сертификатов, то накопилось некоторое количество опыта по сертификатам и знаний как правильно подобрать нужный сертификат для конкретной ситуации. Постараюсь в нескольких постах поделиться этой информацией.
Так что если у вас стоит задача поднять защищенное https соединение для вашего сайта, то в этом посте я постараюсь раскрыть все тонкости и особенности SSL сертификатов, чтобы сделать правильный выбор было проще.
Начнем с самых распространенных SSL сертификатов.
SSL сертификаты самый распространенный на данный момент тип сертификатов в Интернет. Чаще всего они используются в интернет-магазинах, то есть на сайтах, где есть функция заказа и где клиент вводит свои персональные данные. Для того, чтобы эти данные в момент передачи из браузера на сервер невозможно было перехватить используется специальный протокол HTTPS, который шифрует все передаваемые данные.
Для того, чтобы активировать возможность работы протокола HTTPS как раз и нужны цифровые SSL сертификаты (также потребуется выделенный IP для конкретного сайта).
Что такое SSL сертификат?
Как получить SSL сертификат?
Самый простой и бесплатный способ — это использовать, так называемый, самоподписной сертификат (self-signed), который можно сгенерировать прямо на веб-сервере. К слову во всех самых популярных панелях управления хостингом (Cpanel, ISPmanager, Directadmin) эта возможность доступна по умолчанию, поэтому техническую сторону процесса создания сертификата мы сейчас опустим.
Плюс самоподписного сертификата — это его цена, точнее ее отсутствие, так как вы не платите ни копейки, за такой сертификат. А вот из минусов — это то, что на такой сертификат все браузеры будут выдавать ошибку, с предупреждением, что сайт не проверен.
То есть для служебных целей и для внутреннего использования такие сертификаты подходят, а вот для публичных сайтов, а тем более для сайтов, которые продают услуги, такие сертификаты противопоказаны. Посудите сами, хотели бы вы, чтобы ваш клиент при заказе услуги увидел вот такую ошибку на весь экран? Как показывает практика, большинство клиентов такая страничка вводит в ступор и отбивает желание продолжать заказ дальше.
Почему же браузеры выдают такое предупреждение для самоподписных сертификатов и как этого избежать? Чтобы ответить на этот вопрос потребуется немного рассказать про сами принципы работы SSL сертификатов.
По какому принципу работает SSL сертификат?
Итак для того, чтобы получить SSL сертификат самое первое, что нужно сделать, это сформировать специальный запрос на выпуск сертификата, так называемый (Certificate Signing Request). При формировании этого запроса вам будет задан ряд вопросов, для уточнения деталей о вашем домене и вашей компании. После завершения ваш веб сервер создаст 2 типа криптографических ключей — приватный ключ и публичный ключ.
Вот пример такого запроса:
——BEGIN CERTIFICATE REQUEST——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——END CERTIFICATE REQUEST——
Данные которые содержатся в этом ключе можно легко проверить с помощью сервисов CSR Decoder. Как пример: CSR Decoder 1 или CSR Decoder 2. Второй сервис выдает больше информации о CSR и проверяет ее на валидность, поле Signature в результатах проверки.
Если мы вставим такой запрос в форму для его расшифровки, то увидим, какие данные содержатся в публичном ключе.
CSR Information:
Common Name: tuthost.ua — доменное имя, которое мы защищаем таким сертификатом
Organization: TutHost — название организации, которой принадлежит домен
Organization Unit: Hosting department — подразделение организации
Locality: Kiev — город, где находится офис организации
State: Kiev — область или штат
Country: UA — двухбуквенный код, страны офиса.
Email: [email protected] — контактный email технического администратора или службы поддержки
Важный момент — обратите внимание на поле Country — формат этого поля подразумевает только двухбуквенный код по стандарту ISO 3166-1, если вы не уверены в коде вашей страны, то проверить его можно например тут: Таблица ISO-3166-1. Я обращаю внимание на это поле, потому, что самая частая ошибка у наших клиентов при генерации запроса CSR — это неправильный код страны. И как следствие с такой CSR произвести выпуск сертификата невозможно.
После того как CSR сгенерирован вы можете приступать к оформлению заявки на выпуск сертификата. Во время этого процесса центр сертификации (CA — Certification Authority) произведет проверку введенных вами данных, и после успешной проверки выпустит SSL сертификат с вашими данными и даст возможность вам использовать HTTPS. Ваш сервер автоматически сопоставит выпущенный сертификат, со сгенерированным приватным ключем. Это означает, что вы готовы предоставлять зашифрованное и безопасное соединение между вашим сайтом и браузером клиентов.
Какие данные содержит в себе SSL сертификат?
В сертификате хранится следующая информация:
- полное (уникальное) имя владельца сертификата
- открытый ключ владельца
- дата выдачи ssl сертификата
- дата окончания сертификата
- полное (уникальное) имя центра сертификации
- цифровая подпись издателя
Что такое центры сертификации (CA)?
Это организация, которая обладает правом выдачи цифровых сертификатов. Она производит проверку данных, содержащихся в CSR, перед выдачей сертификата. В самых простых сертификатах проверяется только соотвествие доменного имени, в самых дорогих производится целый ряд проверок самой организации, которая запрашивает сертификат. Об этом мы поговорим ниже.
Так вот, разница между самоподписными бесплатным и платными сертификатами, выданными центром сертификации как раз и заключается в том, что данные в сертификате проверены центром сертификации и при использовании такого сертификата на сайте ваш посетитель никогда не увидит огромную ошибку на весь экран.
Говоря в общем, SSL сертификаты содержат и отображают (как минимум одно из) ваше доменное имя, ваше название организации, ваш адрес, город и страницу. Также сертификат всегда имеет дату окончания и данные о центре сертификации, ответственного за выпуск сертификата. Браузер подключается к защищенному сайту, получает от него SSL сертификат и делает ряд проверок: он не просрочен ли сертификат, потом он проверяет, выпущен ли сертификат известным ему центром сертификации (CA) используется ли сертификат на сайте, для которого он был выпущен.
Если один из этих параметров не проходит проверку, браузер отображает предупреждение посетителю, чтобы уведомить, что этот сайт не использует безопастное соединение SSL. Он предлагает покинуть сайт или продолжить просмотр, но с большой осторожностью. Это последнее, что вы должны увидеть ваши потенциальные клиенты.
Центров сертификации существует достаточно много, вот перечень самых популярных:
Comodo — работает с 1998 штабквартира в Jersey City, New Jersey, США.
Geotrust — основан в 2001, в 2006 продан Verisign, штабквартира Mountain View, California, США
Symantec — бывший Verisign в состав которого входит и Geotrust. Купил всех в 2010 году.
Thawte — основан в 1995, продан Verisign в 1999.
Trustwave — работает с 1995, штабквартира Chicago, Illinois, США.
Как видим самый крупный игрок на рынке SSL сертификатов это Symantec, который владеет тремя крупнейшими центрами сертификации — Thawte, Verisgin и Geotrust.
Есть ли разница в каком центре сертификации заказывать сертификат?
Основное отличие между разными центрами сертификации — в цене сертификатов и в том, в каком количестве браузеров установлен их корневой сертификат. Ведь если в браузере нет корневного сертификата этого центра сертификации, то посетитель с таким браузером все равно получит ошибку при входе на сайт с сертификатом от такого центра.
Что касается перечисленных выше центров сертификации, то их корневые сертификаты установлены в, пожалуй, 99,99% всех существующих браузеров.
Чтобы проверить, корневые сертификаты каких центров сертификации установлены в вашем браузере, достаточно в настройках вашего браузера найти такую опцию. (В Chrome Настройки -> показать дополнительные настройки -> управление сертификатами -> Доверенные корневые центры сертификации). В Chrome установлено более 50 таких корневых сертификатов.
Важный момент — частенько у клиентов возникала ситуация, когда SSL сертификат на серверe установлен, но при заходе на сайт браузер все равно выдает ошибку. Такая ситуация может возникнуть или из-за отсутствия в файле ca-bundle.crt корневого сертификата центра выдавшего сертификат или из-за того, что корневой сертификат устарел. Корневые сертификаты также имеют свой срок действия (в браузерах они обновляются при обновлении браузера).
С июля 2010 года сертификационные центры перешли на использование ключей 2048bit RSA Keys, поэтому для корректной работы всех новых сертификатов необходимо устанавливать новые корневые сертификаты.
Если новые корневые сертификаты не установлены — это может вызвать проблемы с корректной установкой сертификата и распознаванием его некоторыми из браузеров.
Ссылки на странички центров сертификации, где можно скачать новые корневые сертификаты даны ниже.
RapidSSL Certificate
GeoTrust SSL Certificates
Thawte SSL Certificates
VeriSign SSL Certificates
Покупать сертификаты напрямую у центров сертификации невыгодно, так как цена для конечных пользователей у них существенно выше, чем для партнеров, к тому, же если вам нужно закрыть такую покупку в бухгалтерии, то с этим тоже будут сложности. Выгоднее всего покупать такие сертификаты через партнеров. Партнеры закупают сертификаты оптом и имеют специальные цены, что позволяет продавать сертификаты намного дешевле, чем напрямую в центре сертификации.
Итак мы вплотную подошли к видам SSL сертификатов.
Какие виды SSL сертификатов существуют?
Между собой сертификаты отличаются свойствами и уровнем валидации.
Типы сертификатов по типу валидации
- Сертификаты, которые подтверждают только доменное имя (Domain Validation — DV).
- Сертификаты, которые подтверждают домен и организацию (Organization Validation — OV).
- Сертификаты, с расширенной проверкой (Extendet Validation — EV).
Разберемся с ними по порядку:
Сертификаты, подтверждающие только домен
Это самые простые сертификаты, это ваш выбор если сертификат вам нужен срочно, так как выпускаются они автоматически и моментально.
При проверке такого сертификата отсылается письмо со специальной ссылкой, по которой нужно кликнуть, чтобы подтвердить выпуск сертификата.
Важный момент, что это письмо может быть отправлено только на так называемый approver email, который вы указываете при заказе сертификата. И к адресу approver email есть определенные требования, он должен быть либо в том же домене для которого вы заказываете сертификат, либо он должен быть указан в whois домена.
Если вы указываете email в том же домене, что и сертификат, то указывать любой emal тоже нельзя, он должен соответствовать одному из шаблонов:
admin@
administrator@
hostmaster@
postmaster@
webmaster@
Еще один Важный момент: иногда сертификаты с моментальным выпуском попадают на дополнительную ручную проверку Центром сертификации, сертификаты для проверки выбираются случайным образом. Так что всегда стоит помнить, что есть небольшой шанс, что ваш сертификат будет выпущен не моментально.
Сертификаты SSL с валидацией домена выпускаются, когда центр сертификации проверил, что заявитель имеет права на указанное доменное имя. Проверка информации об организации не проводится и никакая информация об организации в сертификате не отображается.
Сертификаты с валидацией организации.
В таком сертификате уже будет указано название организации. Такой сертификат частное лицо получить не может. Срок выдачи таких сертификатов как правило от 3 до 10 рабочих дней, зависит от центра сертификации.
Процесс выдачи сертификатов OV
После получения запроса на выпуск сертификата с проверкой организации центр сертификации производит проверку, реально ли существует такая организация, как указано в CSR и принадлежит ли ей указанный домен.
Что проверяется в таких случаях?
У разных центров сертификации проверка несколько отличается, поэтому приведу общий список пунктов, которые могут быть проверены или запрошены:
- Наличие организации в международных желтых страницах — проверяется не всеми центрами сертифации
- Наличие в whois домена названия вашей организации — а вот это уже проверят обязательно, и если такое название там не указано от вас скорей всего затребуют гарантийное письмо, в котором нужно указать, что домен действительно принадлежит организации, иногда могут затребовать подтверждение от регистратора
- Свидетельство о государственной регистрации — требуют все реже, чаще сейчас производится проверка через специальные компании, которые производят проверку существования организации по своим каналам. Например для Украины вас могут проверить по базе ЕДРПОУ
- Счет от телефонной компании, в которой содержится название вашей организации и ваш номер телефона, указанный в заказе — таким образом проверяется валидность вашего телефона. Требуют все реже.
- Проверочный звонок — все чаще правильность телефона проверяют осуществляя звонок, на номер телефона, указанный вами в заказе. При звонке спросят сотрудника, указанного в административном контакте. Не у всех центров сертификации есть русскоговорящие сотрудники, поэтому предупредите человека, который отвечает на телефон, что возможен звонок от англоязычной компании.
Сертификаты с расширенной проверкой.
Это самые дорогие сертификаты и получить их сложнее всего. В таких сертификатах есть так называемый «green bar» — то есть при входе не сайт, где установлен такой сертификат в адресной строке браузера посетителя появится зеленая строка, в которой будет указано название организации, получившей сертификат.
Вот как это выглядит на сайте у Thawte.
Такие сертификаты обладают наибольшим уровнем доверия, среди продвинутых посетителей вашего сайта, поскольку сертификат указывает, что компания реально существует, прошла полную проверку и сайт действительно принадлежит ей.
SSL cертификаты с расширенной проверкой (EV) выпускаются только когда центр сертификации (CA) выполняет две проверки, чтобы убедиться, что организация имеет право использовать определенный домен плюс центр сертификации выполняет тщательную проверку самой организации. Процесс выпуска сертификатов EV стандартизирован и должен строго соотвествовать правилам EV, которые были созданы на специализированном форуме CA/Browser Forum в 2007 году. Там указаны необходимые шаги, которые центр сертификации должен выполнить перед выпуском EV сертификата:
- Должен проверить правовую, физическую и операционную деятельности субъекта.
- Должен убедиться, что организация соответствует официальным документам.
- Необходимо убедиться, что организация имеет исключительное право на использование домена, указанного в сертификате EV.
- Необходимо убедиться, что организация полностью авторизована для выпуска EV сертификата.
Список того, что конкретно будут проверять такой же как и для сертификатов с проверкой организации.
EV сертификаты используются для всех типов бизнеса, в том числе для государственных и некоммерческих организаций. Для выпуска необходимо 10-14 дней.
Вторая часть правил актуальная для центра сертификации и описывает критерии, которым центр сертификации должен соответствовать перед тем, как получить разрешение на выпуск EV сертификата. Она называется, EV правила аудита, и каждый год происходит проверка на соответствие этим правилам.
Типы SSL сертификатов по своим свойствам.
Обычные SSL сертификаты
Тут все понятно, это сертификаты, которые выпускаются автоматически и подтверждают только домен. Подходят для всех сайтов.
Цена: от 20$ в год
SGC сертификаты
Сертификаты с поддержкой повышения уровня шифрования. Актуально для очень старых браузеров, которые поддерживали только 40 или 56 бит шифрование. При использовании этого сертификата уровень шифрования принудительно повышается до 128 бит.
За все время у нас не купили не одного такого сертификата. Мое мнение, что они уже не нужны, разве что для внутреннего использования в больших корпорациях, где сохранилось очень старое железо.
Цена: от 300 $ в год.
Wildcard сертификаты
Нужны в том случае, когда вам кроме основного домена нужно обеспечить шифрование также на всех поддоменах одного домена. Например: есть домен domain.com и вам нужно установить такой же сертификат на support.domain.com, forum.domain.com и billing.domain.com
Совет: посчитайте количество поддоменов, на которые нужен сертификат, иногда бывает выгодней купить отдельно несколько обычных сертификатов.
Цена: от 180$ в год. Как видите, если у вас меньше 9 поддоменов, то дешевле купить обычный сертификат, хотя в использовании будет удобней один wildcard.
SAN сертификаты
Пригодится, если вы хотите использовать один сертификат для нескольких разных доменов, размещенных на одном сервере. Обычно в такой сертификат входит 5 доменов и их количество можно увеличивать с шагом в 5.
Цена: от 395 $ в год
EV сертификаты
Это те самые сертификаты с расширенной проверки и зеленой строкой в браузере, о которых мы говорили выше. Получить их может только юридическое лицо, коммерческая, некоммерческая или государственная организация.
Цена: от 250 $ в год.
Сертификаты c поддержкой IDN
Как правило, не у всех центров сертификации указана эта опция в описании сертификата, но не все сертификаты поддерживаются работу с IDN доменами. Поэтому я просто приведу здесь список сертификатов, у которых есть такая поддержка:
- Thawte SSL123 Certificate
- Thawte SSL Web Server
- Symantec Secure Site
- Thawte SGC SuperCerts
- Thawte SSL Web Server Wildcard
- Thawte SSL Web Server with EV
- Symantec Secure Site Pro
- Symantec Secure Site with EV
- Symantec Secure Site Pro with EV
Как выбрать самый дешевый сертификат?
У Geotrust самые дешевые SAN сертификаты. Сертификаты с валидацией только сайта, а также wildcard выгоднее всего у RapidSSL. EV сертификаты самые дешевые также у Geotrust. SGC сертификаты есть только у Thawte и Verisign, но у Thawte дешевле.
Чем еще отличаются сертификаты между собой
- Скоростью выпуска. Быстрее всего выпускаются сертификаты с валидацией только домена, дольше всего с EV валидацией, от 7 рабочих дней.
- Количество перевыпусков сертификата — у большинства центров сертификации неограниченно. Требуется, если допустили ошибку в данных об организации.
- Гарантия — для некоторых сертификатов есть гарантия от 10.000 $. Это гарантия скорее не для покупателя сертификата, а для посетителя сайта, где установлен сертификат. В случае если посетитель сайта с таким сертификатом пострадает от фрауда и потеряет деньги, то центр сертификации обязуется их ему компенсировать до суммы указанной в гарантии. То есть центр сертификации как бы дает гарантию на свои сертификаты и что их невозможно установить на «левый» домен. На практике такие случае мне не известны поэтому на этот параметр можно не обращать внимание.
- Бесплатный тестовый период — из платных сертификатов есть у symantec secure site, geotrust rapidssl, comodo positive ssl, thawte ssl web server. Также можете для тестов использовать бесплатные сертификаты: StartSSL™ Free
- Возврат средств — есть почти у всех сертификатов в течении 30 дней, хотя бывают и сертификаты без периода moneyback
Полезные утилиты:
- OpenSSL — самая распространенная утилита для генерации открытого ключа (запроса на сертификат) и закрытого ключа.
http://www.openssl.org/ - CSR Decoder — утилита для проверки CSR и данных, которые в нем содержаться, рекомендую использовать перед заказом сертификата.
CSR Decoder 1 или CSR Decoder 2 - DigiCert Certificate Tester — утилита для проверки корректно самого сертификата
http://www.digicert.com/help/?rid=011592
http://www.sslshopper.com/ssl-checker.html
В следующих частях постараюсь рассказать про остальные виды сертификатов.
P.S. с удовольствием отвечу на любые вопросы связанные с выбором SSL сертификата в комментариях.
P.P.S. Желающие получить 30% скидку на ssl сертификаты — пишите в личку.
Update: Важный момент — некоторые сертификаты умеют работать на доменах с www и без www, то есть для защиты www.domain.com и domain.com достаточно одного сертификата, но заказывать его нужно на www.domain.com
Актуально для сертификатов:
• RapidSSL
• QuickSSL Premium
• True BusinessID
• True BusinessID with EV
Зачем нужен ssl сертификат, и стоит ли переводить сайт на https
В последнее время все чаще говорят о подключение ssl сертификата для сайта так как новостные агенства то и дело печатают статьи о том, что google будет выше ранжировать сайты с ssl, яндекс якобы рекомендует подключить ssl, а браузер мозила вообще готовит обновление которое будет выдавать людям сообщение о том, что они пытаются посетить не безопасный сайт и их данные могут быть похищены или использованы злоумышленниками в своих целях. Конечно же читая все это огромное количество людей уже начинают подключать ssl сертификаты к своим сайтам и главный вопрос, не поторопились ли они?
Что такое ssl — это технология которая позволяет шифровать данные которые передаются с Вашего сайта до клиента и уже на стороне клиента они расшифровываются. В sll сертификатах бывают разные уровни шифрования. SSL бывают как бесплатные так и платные. Лично на мой взгляд лучше брать платные у надежных компаний которые зарекомендовали себя годами. SSL сертификаты бывают как для одного домена и его невозможно цеплять к поддоменам, так и такие, что его можно подключать к любому поддомену Вашего основного домена.
Конечно подключение SSL к сайту делает его более защищенным, но главный вопрос Вам есть, что защищать? К примеру наш сайт без сертификата так как ни какие данные клиенты у нас на сайте не оставляют, а в случае заказа услуг на нашем сайте они всего лишь выбирают услугу и переходят на выбранную платежную систему которая имеет ssl сертификат и когда там уже клиент вводит свои платежные данные они передаются системе оплаты или платежному агрегатору и обратно в зашифрованном виде. Соответственно клиент может не бояться, что какие либо данные могут быть похищены.
Так же подумайте если у Вас большой сайт который имеет кучу информации при переходе на ssl его адрес станет с https и соответственно главное зеркало сайта будет именно https и для поисковых систем это другой сайт. Для того, то бы все Ваши страницы переиндексировались Вам придется поменять главное зеркало в кабинетах web мастеров, в файле robots.txt, а так же сделать правильные редиректы в .htaccess и даже при правильном соблюдении всех этих этапов перехода на https нет ни какой гарантии, что Ваш сайт не рухнет по позициям.
По мимо того, что ssl сертификат позволяет Вам сделать безопасную передачу данных, он так же несет нагрузку на хостинг так как происходит шифрование данных.
Мы прочитали целую кучу статей о том как люди переводили свои сайты на https и так же сделали анализ сайтов наших клиентов которые перевели на https, и в поисковой выдаче за 4 месяца нет ни каких изменений. Сайтам которые переводили мы повезло и изменений в поисковой выдаче не произошло, но читали были и такие сайты которые в яндексе рухнули вниз. Соответственно толку от подключения ssl сертификата нет ни какого по крайнем мере в нынешние времена. Конечно может быть в дальнейшем действительно сайты на ssl сертификатах будут подниматься выше в поисковой выдаче, но опять же это глупо так как есть куча сайтов которым ssl вообще не нужен так как у них нет ни регистрации ни платежей и т.п. Может быть перевести всех на ssl чей то бизнес план?))))
Сделаем вывод.
Лично мое мнение, что ssl сертификат в данное время нужен сайтам которые собирают конфидециальные данные клиентов, платежные системы и агрегаторы. Так же если у Вас новый сайт и Вы его только открываете подключить ssl можно, что бы уже иметь сайт с https и именно его раскручивать с нуля.
Так же имейте в виду что на многих виртуальных хостингах Вы можете столкнуться с проблемой подключения ssl сертификата из-за того, что не имеете доступа к настройкам web сервера, а хостинг провайдер подключает криво, что возникает циклическая переадресация.
Если у Вас возникнут вопросы пишите нам.
CENTER — Часто задаваемые вопросы о SSL-сертификатах
Сертификат может подтверждать наличие прав управления доменом, то есть удостоверять только домен. Такие сертификаты относятся к категории DV (Domain Validation). Просмотрев сертификат DV, пользователь может убедиться, что он действительно находится на том сайте, адрес которого введен в строке браузера, то есть что при доступе к сайту пользователь не был перенаправлен злоумышленниками на подложный веб-ресурс. Однако сертификат не содержит информации о том, кому принадлежит сайт — в сертификате не будут указаны сведения о его владельце. Это обусловлено тем, что для получения сертификата его заказчику не требуется предоставлять документальное подтверждение своих идентификационных данных. Следовательно, они могут быть вымышленными (например, заказчик сертификата может выдать себя за другое лицо).
Сертификат может подтверждать наличие прав управления доменным именем и существование организации, у которой есть эти права, то есть удостоверять домен и его владельца. Такие сертификаты относятся к категории OV (Organization Validation). Просмотрев сертификат OV, пользователь может убедиться, что он действительно находится на том сайте, адрес которого введен в строке браузера, а также определить, кому принадлежит этот сайт. Для выпуска данного сертификата его заказчик должен документально подтвердить свои идентификационные данные.
Отдельные виды сертификатов, удостоверяющих и домен, и его владельца, выпускаются после расширенной проверки их заказчиков — тем самым исключается возможность предоставления заказчиками подложных данных для получения сертификатов. Такие сертификаты относятся к категории EV (Extended Validation). При доступе к сайтам, на которых установлены сертификаты EV, строка браузера окрашивается в зеленый цвет, что служит однозначным индикатором надежности ресурса для пользователя.
Особый вид сертификатов — Сертификаты для разработчиков (Code Signing). Сертификат подтверждает подлинность программ при их загрузке, целостность их содержимого и надежность источника продукта. Технология цифровой подписи подтверждает уникальность программ, которые вы скачиваете в сети и гарантирует, что файлы не были модифицированы.
SSL-сертификат для сайта: зачем нужен, какой выбрать, где взять
Сайты без SSL-сертификата ругают браузеры — «небезопасен», понижают в выдаче поисковые системы. Почему так строго? Потому что SSL-сертификат — это гарантия безопасности для интернет-пользователей, без него злоумышленники могут похитить конфиденциальные данные.
Зачем защищать данные
В сети, как и в обычной жизни, есть злоумышленники, которые могут украсть важную информацию — любые данные, которые вы оставляете на сайтах. И данные о заказах, и личные сообщения или записи, и суперконфеденциальные данные, потерять которые не просто неприятно.
Например, скан паспорта — получив его, злоумышленник сможет использовать в преступных схемах: от оформления микрозайма до фирмы-однодневки или договора купли-продажи на подставное лицо. Или CVC-код от банковской карты: вместе с ним злоумышленник получит неограниченный доступ к счёту.
Есть как минимум два способа похитить данные:
Подобрать логин, пароль и проникнуть в базу данных сайта.
Защититься от этого просто: можно придумать максимально сложный пароль, использовать двухфакторную авторизацию, отслеживать сессии. Обычно достаточно усложнить пароль.
Перехватить данные, которые вводит и отправляет посетитель сайта.
Для этого злоумышленнику достаточно получить доступ к тому потоку информации, который проходит между браузером пользователя и сайтом. Единственный способ защитить данные от перехвата — зашифровать их. Даже если злоумышленник получит доступ к информации, он не сможет ей воспользоваться. Данные шифруют с помощью HTTPS-протокола и SSL-сертификата.
HTTPS и SSL-сертификат — это…
HTTPS — это расширение для протокола передачи данных, HTTP. Обычно используют просто протокол HTTP, он работает по технологии «клиент-сервер» (браузер-сайт):
Со страницей просто пример, любые действия в сети происходят точно так же — по правилам, которые задаёт протокол HTTP. Проблема в том, что он задаёт не очень-то жёсткие правила. Просто отправляет запросы и ответы туда-сюда, в открытом виде. Перехватить их просто, и об уязвимости такого подключения задумались с начала 90-х.
В 1994 году компания Netscape Communications разработала расширение HTTPS или HyperText Transfer Protocol Secure — безопасный протокол передачи данных. Поначалу его поддерживал только браузер Netscape Navigator. Сегодня это стандарт для всех браузеров.
Расширение работает так же, как обычный HTTP, но с блек-джеком шифрованием. Оно возможно благодаря SSL-сертификату.
SSL-сертификат — это своеобразное «удостоверение» сайта, оно содержит:
- Информацию о сайте (домен) и его владельце (местонахождение, если владелец организация — юридические данные).
- Срок действия сертификата и данные удостоверяющего центра, который его выдал. Такие центры — авторитетные международные организации, их список есть в каждом браузере.
- Ключ для шифрования данных.
Благодаря информации из SSL-сертификата браузер может опознать, что перед ним реальный нужный ему сайт и зашифровать данные ключом из сертификата.
Зашифрованную информацию всё ещё можно перехватить, но уже нельзя использовать. Для расшифровки требуется ключ, который есть только у владельца сайта. Подобрать этот ключ практически невозможно. Да что уж там, просто невозможно.
Вот так выглядит сайт без SSL-сертификата:
А вот сайт с SSL-сертификатом, перед адресом замочек. Если кликнуть по нему, а потом на «Сертификат», можно почитать подробную информацию про SSL: кому выдан , кем выдан, срок действия.
Что даёт SSL-сертификат для сайта?
Может показаться, что защита данных необходима только крупным банкам и организациям, которые хранят втайне государственные секреты и внеземные технологии. Это не так. Получить SSL-сертификат выгодно для любого сайта, что он даёт:
Полноценная защита данных — ваших, ваших клиентов или посетителей. Если вы держите интернет-магазин и принимаете к оплате карты, если вы продаёте или предлагаете бесплатную рассылку, если позволяете пользователям заводить аккаунты, публиковать информацию, переписываться на своем сайте, используйте SSL-сертификат.
Доверие пользователей. Протокол HTTPS давно ассоциируется с повышенной защитой данных. К вам будут охотнее заходить, у вас будут покупать товары и оплачивать услуги, будут пользоваться вашим сервисом, хранить данные и контент. На SSL обращают внимание продвинутые пользователи — наиболее активные покупатели и посетители.
Возможности SEO-продвижения. Ещё в 2014 году Google заявил, что сайты с защищённым соединением будут выше подниматься в поисковой выдаче. И разные исследования подтверждают, что это так. Например, в 2016 основатель популярного сайта о SEO-продвижении Backlinko проанализировал 1 миллион результатов поиска Google. И пришёл к выводу, что на первых трёх страницах больше всего доменов с SSL-сертификатами: 25-28%. Вот так. В Яндексе с 2019-ого SSL тоже влияет на ранжирование сайта.
Соблюдение закона. В России действует закон «О защите персональных данных». Он говорит о том, что операторы персональных данных (читай «владельцы сайтов») должны обеспечивать их безопасность. Одной из защитных мер может стать установка SSL-сертификата. Вообще, полный комплекс мер зависит от того, какие данные вы собираете, в каком количестве и какие виды угроз для вас характерны. Подробнее о мерах защиты читайте на сайте ФСТЭК России и КонсультантПлюс.
SSL-сертификат и протокол HTTPS становятся стандартом. Неважно, какой сайт вы создаёте: сертификат всё равно потребуется.
Как выбрать SSL-сертификат для сайта
Сначала разберёмся, какой сертификат вам точно не нужен.
Недоверенные SSL-сертификаты — это…
Сертификат от недоверенных центров сертификации. Например, центр Symantec считается недоверенным с марта 2018 года. Он сначала выпустил сертификаты без запроса владельцев. А потом Google заметил, что под именем Symantec сертификаты выдавали ещё 4 сторонних компании.
Сертификат, у которого истёк срок действия. Совсем недавно можно было приобрести сертификат, действующий три, четыре, пять и даже десять лет — сейчас только два. Это требование CA/B Forum — регулирующего органа в SSL-индустрии. Сделано это для безопасности пользователей — с перевыпуском сертификат получает обновления безопасности. А значит, чем чаще перевыпуск, тем надёжнее сертификат.
Самоподписанный сертификат — который владелец выдал себе сам. Это возможно и несложно. Такой SSL тоже создаёт защищённое соединение, то есть шифрует информацию, но не подтверждает домен. Поэтому браузеры не признают самоподписанные сертификаты: они не знают, кто выпустил ключ, и стоит ли ему доверять. Это может быть владелец сайта, а может и злоумышленник, маскирующий свой сайт под безопасный.
Иногда самоподписанные сертификаты имеют право на существование: в локальных сетях, на корпоративных порталах и других сайтах, которыми пользуется ограниченный круг лиц.
Если на сайте недоверенный сертификат — это видно сразу.
Сайт с просроченным сертификатом в Google Chrome и Яндекс.Браузере
Посетитель увидит такое и, скорее всего, покинет страницу. Но если он доверяет сайту, может добавить сертификат в доверенные в своем браузере. И тогда предупреждения об опасности у него не будет.
Доверенные SSL-сертификаты — это…
Это ваша цель. Доверенные сертификаты выдают доверенные центры сертификации или удостоверяющие центры. Это авторитетные международные организации, их список можно посмотреть в любом браузере — в настройках, раздел «Доверенные корневые центры сертификации».
Чтобы получить доверенный SSL-сертификат для сайта, достаточно заполнить заявку, указать личные данные и немного подождать. Центр проверит информацию и отправит сертификат на вашу электронную почту. Сколько подождать, какие данные отправить и что вы потом получите — зависит от типа сертификата:
DV — это SSL-сертификат с проверкой домена
Самый простой сертификат. Обеспечивает безопасное соединение и показывает посетителям, что домен ваш. DV — это SSL-сертификат для сайта-визитки, авторского блога или форума — сайта, где не надо оставлять конфиденциальные данные и совершать покупки.
Зачем нужен SSL сертификат на сайт, что вам дает https протокол.
SSL – криптографический протокол, используемый при организации зашифрованного соединения между браузером и ресурсом. Только с протоколом SSL возможно использование в адресной строке https.
Какую защиту предоставляет протокол SSL, для чего нужен?
Пользователь при совершении интернет-покупок вводит личные данные (номер банковской карточки, серию, номер паспорта, адрес, телефон и т.п.). В случае использования незащищенного соединения все данные могут быть перехвачены злоумышленниками и использованы в личных целях. Сертификат SSL шифрует передаваемую информацию и делает невозможным посторонний доступ к ней.
Сведения клиентов без использования SSL-протокола остаются незащищенными. Помимо этого, при использовании общедоступного Wi-Fi соединения злоумышленник может перенаправить его на сайт-двойник с перехватом платежных данных, опубликовать свою рекламу.
Если соединение использует протокол защиты SSL, адрес ресурса начинается с обозначения запертого замка и зеленых символов https://. Пользователи могут быть уверены в безопасности сайта.SSL-сертификат помогает клиенту проверить сведения о владельцах сайта. Посетитель всегда сможет узнать, не является ли ресурс двойником используемого сайта.
Сертификаты защиты SSL используются на сайтах, где пользователи вводят персональную информацию и платежные данные. С ним ресурс защищен от появления клонов и подделок.
Виртуальный хостинг сайтов для популярных CMS:
Чем отличается платный SSL сертификат от бесплатного?
Платный нужен в таких случаях:
- При создании банковских и финансовых сайтов с целью защиты личных данных клиентов.
- При разработке онлайн-магазинов для надежности шифрования информации, передаваемой от посетителя.
- При установке https-протокола на несколько доменов (поддоменов).
- При желании установить на сайт адресную строку зеленого цвета. Она качественно выделяет ресурс среди конкурентов, демонстрируя название организации.
- Платный SSL увеличивает быстроту отклика сайта.
- Бесплатный протокол можно получить в разных центрах сертификации. Но уровень доверия у популярных браузеров к бесплатным сертификатам невысок. В случае возникновения сбоев или изменения политики поисковых систем и разработчиков браузеров – сайт, использующий бесплатный самоподписный сертификат, может быть отмечен, как опасный, или недоверенный. При этом, владелец сайта может даже и не узнать об этом, теряя посетителей, а, следовательно, и клиентов.
- При покупке платного протокола Центр сертификации предоставляет юридические гарантии безопасности соединения, которые зависят от вида сертификата.
- Бесплатные протоколы не применяются для создания сайтов с платежными системами, интернет-магазинов, банковских и микрофинансовых и иных ресурсов, где проводится прием платежей. Посетители увидят предупреждение, что используемый сертификат не является доверенным, их платежи не защищены.
- Часть бесплатных SSL запрещается устанавливать на коммерческие сайты.
- Выпуск бесплатных протоколов SSL – трудоемкая операция, часто выполняется за отдельную плату. Перевыпуск проводят с целью дополнений и изменений в сертификат.
Какая польза от использования SSL в интернет-магазинах?
Посетители интернет-магазина обращают внимание на безопасность соединения, желают удостовериться в защите передаваемой информации. Использование SSL предоставляет такие преимущества:
- Шифрование персональной информации пользователя и сведения о его платежных картах.
- Гарантию подлинности вебсайта фирмы.
На сегодняшний день, использование https-протокола – это рекомендация, и данные о том, что сайт не использует защищенное соединение показываются только в адресной строке бразуера, практически незаметно для пользователей:
В то же время сайты, которые однозначно должны работать по защищенному протоколу (например, на них производится онлайн-оплата через платежные сервисы, либо вводятся платежные или личные данные пользователей) в случае использования недоверенного сертификата могут потерять часть посетителей из-за более убедительного предупреждения. Вы бы вряд ли захотели посетить сайт, увидев такую рекомендацию:
Для каких сайтов необходимо использование SSL?
- Ресурсов, занимающихся коммерческой деятельностью. Онлайн-продавцы должны обеспечить надежность шифрования и защиты данных. Если посторонние смогут увидеть конфиденциальные сведения, деятельность ресурса закончится плохо для владельца и клиентов.
- Если посетитель регистрируется, вносит свои анкетные данные. Без использования SSL злоумышленники могут увидеть персональные данные. Это опасно для пользователей, которые зачастую применяют одни и те же логины-пароли для разных ресурсов. Преступнику не составит труда взломать личный кабинет финансового ресурса и перевести средства на другой счет (собственный). Все незащищенные пользовательские входы достаточно уязвимы.
Если ресурс не собирает никакие конфиденциальные сведения, SSL-защита ему не требуется. Если на интернет-ресурсе не предусмотрен вход пользователя, не выполняется передача платежных данных, достаточно использовать бесплатный сертификат SSL или продолжать работать по протоколу http.
В случаях, когда сфера деятельности ресурса связана с электронной коммерцией, крайне важно использовать высоконадежный SSL, подтвержденный проверенным центром сертификации.
Недостатки от внедрения SSL:
- В течение следующих 3-4 недель – возможно снижение трафика из поисковых систем. Показатели восстановятся в течение следующего месяца. Изменения коснутся исключительно объемов поискового трафика. Рекламный от введения SSL не пострадает.
- «Переезд» на https-протокол требует финансовых затрат. Эффективная защита возможна только при внедрении платного SSL-сертификата.
Зачем сайту нужен https протокол, какие еще плюсы он дает?
Не знаете, зачем лично вам переводить сайт на https-протокол? Сравните процент использования http и https протокола на сайтах, которые показываются на первой странице поисковой выдачи Google и рост этого процента за 2 года (по данным MOZ):
За два года этот показатель вырос в 5 раз. И скорее всего, эта тенденция сохранится. В своем блоге представители Google предполагают, что в следующих релизах Google Chrome сайты, не использующие https протокол, могут быть отмечены, как небезопасные. Этого мало? Вот еще несколько причин перейти на защищенный протокол.
Защита посетителей. Для уважающего себя ресурса, занимающегося коммерцией, защита покупателей входит в число главных приоритетов. Клиенты всегда обращают на это внимание, что сказывается на объемах продаж продукта. Сайты, загружаемые по протоколу https, находятся в поисковых системах на более высоких позициях.
- Многие сервисы перед началом работы требуют обеспечения безопасного соединения для передачи данных. Это значит, что без использования SSL-протокола невозможно сотрудничество со многими сервисами, к примеру push-уведомления или Яндекс-касса.
- Визуальная безопасность. В адресной строке ресурса появляется зеленый значок закрытого замка. Может прописываться название компании. Это дополнительно свидетельствует о защите данных, что подтверждает высокую надежность компании.
Вполне вероятно, что через несколько лет привычный всем протокол http не будет использоваться по причине небезопасности соединения. Все компании, информационные сайты и интернет-магазины будут использовать только https-протокол.
Как и где получить сертификат?
- Найти компанию, занимающуюся созданием и реализацией SSL-сертификатов.
- Заказать необходимый SSL.
- Установить сертификат на свой ресурс. Это можно выполнить самостоятельно или привлечь к процессу техподдержку хостинга.
SSL-сертификат нужен для работы компаний, ресурсов, организаций и интернет-магазинов, в которые передаются любые персональные, платежные и конфиденциальные сведения клиента. Передача выполняется в момент соединения пользователя с сайтом компании. Также SSL-протокол играет важную роль в создании имиджа надежности ресурса, гарантирует клиентам полную безопасность.