Przejście na HTTPS: jaki certyfikat SSL wybrać i gdzie go kupić
Bezpieczeństwo danych jest jednym z najważniejszych problemów użytkowników Internetu. Większość z nich nie zawsze wie wszystko o tym, co ich komputery wysyłają poprzez przeglądarkę do stron, które przeglądają, ale zwykle są spokojni, że ich dane są w bezpiecznym miejscu i nie zostaną użyte w nieodpowiedni sposób. Z tego powodu większość stron internetowych obecnie korzysta z certyfikatów SSL, aby chronić dane użytkowników i pokazać im, że dbają o bezpieczeństwo ich danych. W końcu, jeżeli strona jest oznaczona jako niebezpieczna, czy chciałbyś ją odwiedzać?
Bezpieczne i niebezpieczne przeglądanie stron internetowych
Uznajemy stronę za bezpieczną, kiedy widzimy tę małą kłódkę na pasku adresowym i przedrostek „HTTPS” w adresie URL. Oznacza to, że strona, którą przeglądasz, jest zabezpieczona certyfikatem SSL. Zdajemy sobie sprawę, że nie wszyscy dokładnie wiedzą co to jest – certyfikat SSL jest cyfrowym plikiem danych, który łączy klucz kryptograficzny ze szczegółowymi danymi organizacji. Kiedy jest zainstalowany na serwerze internetowym, aktywuje protokół https, a co za tym idzie – zabezpiecza (szyfruje) połączenia pomiędzy serwerem a przeglądarką. SSL jest zwykle używany podczas zabezpieczania transakcji za pomocą kart kredytowych, transferu danych i logowania. Obecnie jest się już normą zabezpieczania mediów społecznościowych.
Przez „wyciek danych” Facebooka, o którym ostatnio było głośno, ludzie stali się bardziej świadomi, czym jest bezpieczne przeglądanie stron internetowych i większość z nich zaczęła zwracać uwagę na ten aspekt korzystania z Internetu. Większość antywirusów oferujących ochronę w Internecie także oznacza strony jako bezpieczne lub niebezpieczne na podstawie certyfikatów SSL. Oczywiście, gdy użytkownik Internetu lub program antywirusowy uzna jakąś stronę za niebezpieczną, chęć na odwiedzenie jej maleje. I tu właśnie znajduje się “haczyk”.
Jeżeli posiadasz blog lub stronę internetową i nie chcesz stracić swoich odbiorców, począwszy od lata 2018 musisz postarać się o to, aby była ona bezpieczna i posiadała przedrostek HTTPS. Oto powody, dla których zdecydowanie powinieneś to zrobić.
Pozycje stron bez HTTPS są zaniżane w rankingu Google
Mimo, że walka Google z niebezpiecznymi czy niezaszyfrowanymi stronami zaczęła się lata temu, w 2015 roku ten internetowy gigant ogłosił rozpoczęcie zaniżania pozycji stron HTTP. Miało to na celu uczynienie Internetu bezpieczniejszym miejscem. Na początku 2017 roku przeglądarka Chrome zaczęła oznaczać pola do wpisywania haseł i numerów kard kredytowych na niezaszyfrowanych stronach jako „niezabezpieczone”. W 2018 roku Chrome zacznie wyświetlać czerwone ostrzeżenie „niezabezpieczona” na wszystkich stronach, które nie są zabezpieczone certyfikatem SSL. Ponieważ Chrome jest w tym momencie najpopularniejszą przeglądarką, której używa najwięcej użytkowników na całym świecie, na pewno inne przeglądarki wezmą przykład i również będą oznaczać strony bez HTTPS jako „niezabezpieczona”.
Był to dobry krok w znaczeniu poprawy bezpieczeństwa, ale jednak stał się problemem dla wielu posiadaczy stron internetowych i blogów. Od czasu pojawienia się ostrzeżenia, wszyscy zaczęli zmieniać swoje strony z HTTP na HTTPS – nie tylko, aby utrzymać ruch na stronie – ale także, aby ochronić stronę przed spadkiem w rankingu. Jeżeli jesteś jedną z takich osób, nie masz wyboru! Również powinieneś się przełączyć na HTTPS. Nie tylko, aby na Twojej stronie nie pojawiały się ostrzeżenia, ale także, aby dane użytkowników były bardziej bezpieczne.
W przeciwieństwie do tego, co Ci się może wydawać, zmiana z HTTP na HTTPS może być prosta i bezbolesna, jeśli wykonasz ją prawidłowo. Jedyne, co musisz zrobić to:
- zakupić certyfikat SSL
- postarać się o zainstalowanie certyfikatu (przez administratora serwera lub dostawcę hostingu)
- zmienić linki do Twojej strony i stworzyć przekierowania do wszystkich adresów URL (dla użytkowników i dla Google)
W tym artykule skupimy się głównie na kroku „zakupić certyfikat SSL”. Przygotuj się na dużą dawkę wiedzy.
Rodzaje certyfikatów SSL
Zanim dowiesz się, jak i gdzie kupić certyfikaty SSL, musisz wiedzieć, że istnieje kilka rodzajów certyfikatów SSL. Musisz wybrać najbardziej odpowiedni dla swojej strony.
Certyfikat DV (Domain Validated)
Certyfikat z weryfikacją domeny (DV) jest cyfrowym certyfikatem X.509, standardowo używanym do protokołu Transport Layer Security (TLS). Ten certyfikat potwierdza, że nazwa domeny wnioskodawcy została zweryfikowana poprzez udowodnienie kontroli nad DNS domeny. W skrócie, znaczy to, że urząd certyfikacji potwierdza jedynie prawo wnioskodawcy do korzystania z domeny.
Jedynym kryterium posiadania tego certyfikatu jest udowodnienie własności domeny w rejestrze „whois”, wpisach DNS, poczty email lub dostępu do hostingu strony. Dla takiego certyfikatu przeglądarki pokażą kłódkę oraz nazwę domeny, ale nie wyświetlą nazwy właściciela, ponieważ certyfikaty DV nie zawierają podmiotu prawnego w opisie.
Certyfikat OV (Organization Validation)
Certyfikat z weryfikacją właściciela strony (OV) jest nadawany stronie, jeżeli spełnia 2 kryteria: prawo do administracyjnego zarządzania nazwą domeny oraz faktyczne istnienie organizacji jako podmiotu prawnego. W takim przypadku, Urząd Certyfikacji potwierdza prawo wnioskodawcy do korzystania z domeny oraz weryfikuje szczegóły dotyczące organizacji.
W przeciwieństwie do certyfikatów DV, które są sprawdzanie jedynie w rejestrze domen, certyfikaty OV są bardziej godne zaufania, ponieważ zostały ściśle uwierzytelnione przez agentów baz danych rejestru biznesowego. Ten certyfikat spełnia standard X.509 RFC i jest standardowym rodzajem certyfikatu wymaganego dla komercyjnych i publicznych stron internetowych.
Certyfikat EV (Extended Validation)
Strony HTTPS, które udowodnią tożsamość podmiotu prawnego, mogą uzyskać certyfikat EV (Extended Validation). Żeby zdobyć certyfikat EV, Urząd Certyfikacji musi zweryfikować tożsamość jednostki wnioskującej. W takim przypadku, Urząd potwierdza prawo wnioskodawcy do korzystania z domeny i dokładnie weryfikuje organizację.
W przypadku stron z certyfikatem EV, obok ikony kłódki pojawia się dodatkowa informacja (zazwyczaj nazwa organizacji). Ta opcja jest używana przez wszystkie banki, instytucje finansowe itp. Kryteria starania się o certyfikat EV są opisane w Wytycznych do Certyfikatu Extended Validation.
Certyfikat dla pojedynczej domeny oraz “wildcard”
Podstawowe certyfikaty SSL wydawane są dla jednej domeny (lub subdomeny), weryfikując adresy https://domena.pl oraz https://www.domena.pl. Dostępne są też certyfikaty typu “wildcard” służące do zabezpieczania również subdomen – np. https://sklep.domena.pl, https://partnerzy.domena.pl.
Techniczna różnica pomiędzy tymi dwoma rodzajami certyfikatów sprowadza się do pola SAN (Subject Alternative Name – Alternatywna Nazwa Podmiotu), które jest w nadawanym certyfikacie. Jeżeli certyfikat zawiera tylko jedno pole SAN i odwołuje się tylko do jednej strony, wtedy jest to certyfikat pojedynczej domeny. Jeżeli to jedno pole SAN zawiera gwiazdkę (“*”)przy nazwie strony, wtedy jest to certyfikat typu “wildcard”.
Certyfikaty SSL typu “wildcard” mogą być używane do zabezpieczania nielimitowanej liczby ich subdomen (ale nie sub-subdomen). Są one około 10 razy droższe niż pojedyncze certyfikaty. Aby uzyskać certyfikat dla sub-subdomeny, musisz kupić dodatkowy certyfikat, albo zdobyć certyfikat Unified Communication Certificate (UCC SSL), który jest certyfikatem dla wielu domen.
Teraz, gdy już wiesz, jakie istnieją rodzaje certyfikatów SSL, możesz podjąć decyzję, jaki będzie pasował najlepiej do Twojej strony. Gdy zdecydujesz się, następnym krokiem jest wybranie miejsca zakupu certyfikatu (tak, istnieje wielu sprzedawców) i kwoty, jaką będziesz musiał na to przeznaczyć.
Gdzie mogę kupić certyfikat SSL?
To może być zaskakujące, że certyfikaty SSL oferuje wielu sprzedawców, którzy często w ogóle nie są związani z żadną instytucją rządową. W zasadzie, najłatwiej dostępnym sprzedawcą certyfikatu SSL jest dostawca hostingu Twojej strony internetowej.
Certyfikat SSL możesz uzyskać w jeden z następujących sposobów:
Za darmo – Let’s Encrypt
Let’s Encrypt jest serwisem certyfikacyjnym założonym przez Internet Security Research Group (grupę sponsorowaną przez Mozilla Foundation, Akamai i Cisco i inne) w 2016 roku. Certyfikaty Let’s Encrypt – oprócz tego, że są darmowe – są także łatwe w obsłudze. Zapewniają narzędzia, które mogą być zainstalowane na serwerze internetowym przez dostawcę hostingu, przez co instalacja certyfikatu jest bardzo łatwa. Let’s Encrypt oferuje również certyfikaty typu “wildcard”, ale nie oferuje certyfikatu EV.
5 zaufanych globalnych wystawców certyfikatów
- Comodo – Certyfikat SSL z Comodo jest najszybszą i najbardziej opłacalną metodą ochrony transakcji internetowych. Oprócz niewielkiego kosztu, każdy certyfikat obejmuje także zestaw, w którego skład wchodzą takie funkcje jak wersja mobilna, pieczęć witryny, dedykowana obsługa klienta itp., przez co jest to idealny wybór dla małych i średnich firm.
- GeoTrust – GeoTrust świadczy usługi w modelu resellerskim w zakresie szyfrowania SSL, autoryzacji użytkowników, podpisów cyfrowych dla kodu i emaili oraz korporacyjne produkty SSL. Podstawowymi produktami są certyfikaty SSL, w tym “wildcard”, UC/SAN SSL, Enterprise SSL i wiele innych.
- RapidSSL – RapidSSL wydaje certyfikaty SSL w ciągu kilku minut i pomaga właścicielom stron szybko tworzyć bezpieczne strony. Zapewniają klientom bezpieczeństwo w przeglądaniu stron, zieloną kłódkę oraz znak zaufania, który można pobrać i umieścić na stronie.
- Symantec – Symantec, jako dostawca jednego z najbardziej zaufanych programów antywirusowych, oferuje certyfikaty SSL/TSL dla stron internetowych oraz jeden z najbardziej rozpoznawalnych znaków zaufania w Internecie. Pieczęć Norton Secured Seal zwiększa popularność marki i współczynnik klikalności. Symantec oferuje podstawowe certyfikaty, “wildcard”, a także certyfikaty walidacji EV.
- Thawte – Thawte Consulting jest Urzędem Certyfikacji (CA) dla certyfikatów X.509. Certyfikaty SSL od Thawte zapewniają niezawodne uwierzytelnianie i szyfrowanie, upewniając odwiedzających stronę o bezpieczeństwie ich danych i transakcji.
Możesz kupić ich certyfikaty bezpośrednio od nich lub od jednego z tysięcy pośredników.
Twój własny dostawca hostingu
Najprostszym sposobem na zakup certyfikatu SSL jest kupno go od dostawcy hostingu, który powinien go dla Ciebie zainstalować bez dodatkowych kosztów.
Najtańsze certyfikaty SSL
Jeżeli nie chcesz darmowego certyfikatu, ale zależy Ci na kupnie najtańszego, istnieje kilka serwisów oferujących certyfikaty SSL od popularnych wydawców w niższych cenach.
Odwiedź hitme.pl, goodssl.pl lub opiekunbloga.pl, gdzie znajdziesz certyfikat PositiveSSL od Comodo już od 29 zł za rok. Uważaj na jednorazowe promocje, w ramach których pierwszy rok kosztuje bardzo niewiele a kolejne lata już kilkakrotnie więcej.
Home.pl – jeden z największych dostawców hostingu w Polsce – oferuje wydawane przez siebie certyfikaty już od 9,90 zł za rok.
Dla użytkowników CDN
Jeżeli korzystasz z CDN (Content Delivery Network) – np. CloudFlare – możesz zdecydować się na korzystanie z certyfikatu zapewnionego przez sieć i zrezygnować z zakupu własnego certyfikatu.
Przejście na HTTPS: jaki certyfikat SSL wybrać i gdzie go kupić supermonitoring.pl/blog… via @MonitoringStron
Podsumowując
Mamy nadzieję, że wiesz już wiele o certyfikatach SSL i o tym, jak je uzyskać. Twoim następnym krokiem powinno być sprawdzenie, jaki certyfikat SSL posiada Twoja strona. Aby zweryfikować, czy certyfikat SSL został prawidłowo zainstalowany, skorzystaj ze strony https://www.ssllabs.com/ssltest/ i sprawdź, czy zdobędziesz ocenę „A”. Jeżeli tak, to wszystko dobrze. Jeśli nie, zawsze możesz skorzystać z jednej z metod z powyższej listy. Instalacja certyfikatu SSL, o ile nie jest zautomatyzowana (jak w przypadku Let’s Encrypt), jest i tak dość prostym zadaniem dla każdego administratora serwera.
Życzymy szczęścia i bezpieczeństwa w Internecie!
