Какво е SSL сертификат и защо е задължителен?

Какво е SSL сертификат с прости думи

SSL сертификатът е цифрова лична карта на сайта, която позволява криптирана връзка между браузъра на посетителя и сървъра. Когато сайтът има валиден сертификат, всичко, което се изпраща между двете страни, е шифровано: пароли, имейли от формите, данни за поръчки, номера на карти. Ако някой подслушва връзката, например в обществена Wi-Fi мрежа, той вижда само безсмислен набор от символи.

Сертификатът върши и втора, не по-малко важна работа: доказва самоличността на сайта. Той е издаден от доверена организация, наречена сертифициращ орган, след като е проверила, че заявителят наистина контролира домейна. Така браузърът знае, че се свързва с истинския vashiyatsait.com, а не с измамник, който се представя за него.

Без SSL информацията пътува като пощенска картичка, която всеки по пътя може да прочете. Със SSL тя пътува в запечатан плик, който може да отвори само получателят.

SSL или TLS: каква е разликата

SSL е старото име на технологията, а TLS е нейният съвременен и по-сигурен наследник, но в ежедневието двете думи означават едно и също. Протоколът SSL е създаден през 90-те години. Старите му версии отдавна са забранени заради уязвимости и са заменени от TLS. Днешните сайтове използват TLS 1.2 и TLS 1.3.

Понеже името SSL се е наложило, хостинг фирмите, браузърите и потребителите продължават да казват „SSL сертификат“. Технически по-точно е „TLS сертификат“, но става дума за същото нещо. В тази статия използваме двете названия като синоними.

Как работи: ръкостискането за 4 стъпки

Преди да започне обменът на данни, браузърът и сървърът извършват кратко „ръкостискане“, в което проверяват сертификата и договарят таен ключ за криптиране. Всичко се случва за части от секундата при всяко отваряне на сайта.

В основата стои така наречената асиметрична криптография. Сървърът има двойка ключове: публичен, който е в сертификата и всеки може да види, и частен, който никога не напуска сървъра. Това, което е заключено с публичния ключ, може да бъде отключено само с частния. Така браузърът и сървърът могат да договорят таен ключ, без той да бъде разкрит по пътя. След това за самия обмен на данни се използва по-бързо, симетрично криптиране.

Браузърите вярват на сертификатите, защото в тях са вградени списъци с доверени сертифициращи органи. Ако сертификатът е подписан от такъв орган, веригата на доверие е потвърдена и катинарчето се появява.

Защо SSL е задължителен днес

SSL защитава данните на посетителите, изгражда доверие, помага за позициите в Google и е техническо изискване за много съвременни функции на браузъра. Ето основните причини:

Видове според проверката: DV, OV, EV

Сертификатите се различават по това колко задълбочено сертифициращият орган проверява кой стои зад сайта. Криптирането е еднакво силно и при трите вида. Разликата е в нивото на потвърдена самоличност.

DV: валидиране на домейна

Проверява се само, че заявителят контролира домейна, например чрез DNS запис, файл на сайта или имейл. Издава се бързо, често за минути и автоматично. Подходящ е за огромната част от сайтовете: блогове, фирмени сайтове, малки магазини. Безплатните сертификати са от този вид.

OV: валидиране на организацията

Освен контрола върху домейна, се проверява и съществуването на фирмата чрез официални регистри. Името на организацията се вписва в сертификата. Подходящ е за фирми, които искат допълнително доверие.

EV: разширено валидиране

Най-задълбочената проверка, с повече документи и потвърждения. В миналото браузърите показваха името на фирмата в зелено до адреса. Днес повечето браузъри показват тази информация само при клик върху катинарчето, затова EV се избира основно заради изисквания на банки и големи организации.

Видове според домейните: единичен, Wildcard, мулти-домейн

Освен по проверката, сертификатите се различават и по това колко адреса покриват.

• Единичен домейн. Покрива едно име, например firma.com, обикновено заедно с www.firma.com.
• Wildcard. Покрива домейна и всички поддомейни на едно ниво: *.firma.com включва blog.firma.com, shop.firma.com, mail.firma.com и всеки нов поддомейн. Удобен е, ако имате много поддомейни.
• Мулти-домейн (SAN). Покрива няколко различни домейна в един сертификат, например firma.com, firma.bg и drugafirma.com.

При нас освен безплатния сертификат, включен във всеки хостинг план, можете да поръчате платени DV сертификати и Wildcard сертификат за неограничен брой поддомейни. Вижте страницата SSL сертификати.

Безплатен или платен сертификат

За повечето сайтове безплатният DV сертификат е напълно достатъчен, защото криптирането е същото като при платените. Платен сертификат има смисъл, когато ви трябва нещо, което безплатният не дава.

Как да включите SSL на сайта си

При повечето хостинг планове SSL се включва с няколко клика от контролния панел, след което пренасочвате целия сайт към HTTPS. Ето стъпките:

1. Уверете се, че домейнът сочи към хостинга. Сертификатът се издава само ако DNS записите водят към сървъра.
2. Включете сертификата в раздела за SSL в контролния панел. Безплатният се издава и подновява автоматично.
3. Пренасочете HTTP към HTTPS, така че всеки, който отвори http://, да бъде прехвърлен към защитената версия. Това става с настройка в панела или с няколко реда в .htaccess.
4. Обновете адреса на сайта. В WordPress сменете адреса в Настройки > Общи на https://.
5. Поправете смесеното съдържание. Проверете дали снимки, скриптове или стилове не се зареждат още през http://.
6. Обновете Google Search Console и картата на сайта с новите HTTPS адреси.
7. Тествайте в няколко браузъра и на телефон, че катинарчето се показва навсякъде.

Пример за пренасочване в .htaccess на Apache сървър:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Кодът 301 казва на браузърите и на Google, че преместването е постоянно, така че позициите на сайта се прехвърлят към HTTPS адресите.

Чести проблеми и как да ги оправите

„Връзката ви не е поверителна“

Обикновено означава, че сертификатът е изтекъл, издаден е за друг домейн или веригата от сертификати не е пълна. Проверете датата на валидност и дали сертификатът покрива точно адреса, който отваряте, включително с и без www.

Смесено съдържание (mixed content)

Страницата е на HTTPS, но някоя снимка или скрипт се зарежда през HTTP. Браузърът показва предупреждение или блокира елемента. Решението е всички адреси в сайта да са с https:// или относителни. В WordPress помагат инструменти за търсене и замяна в базата данни.

Безкрайно пренасочване

Получава се, когато правилата за пренасочване се засичат, например от сървъра и от плъгин едновременно. Оставете само едно място, което прави пренасочването.

Сертификатът не се подновява

Автоматичното подновяване изисква домейнът да сочи към същия сървър. Ако сте сменили DNS записите, сертификатът няма да може да се поднови и ще изтече. Проверете настройките на домейна.

Грешна дата на компютъра

Ако часовникът на устройството на посетителя е сбъркан, браузърът може да прецени, че валиден сертификат е изтекъл или още не е започнал. Проблемът е при посетителя, не при сайта.

Как да проверите сертификата на всеки сайт

Не е нужно да сте програмист, за да видите какъв сертификат има даден сайт. Браузърът ви показва всичко необходимо с няколко клика. Това е полезно и когато проверявате собствения си сайт, и когато решавате дали да въведете данни в непознат магазин.

1. Кликнете иконата вляво от адреса. В Chrome и Edge това е иконата с настройки, в Safari и Firefox е катинарчето. Ще видите дали връзката е защитена.
2. Отворете подробностите за сертификата. Там пише за кой домейн е издаден, от кой издател и до коя дата е валиден.
3. Проверете домейна. Името в сертификата трябва да съвпада точно с адреса, който сте отворили. Ако виждате друго име, това е сигнал за проблем.
4. Проверете срока. Ако до изтичането остават само няколко дни и подновяването не е автоматично, е време да действате.

Освен браузъра има и безплатни онлайн инструменти за проверка на SSL, които показват дали веригата от сертификати е пълна, кои версии на TLS поддържа сървърът и кога изтича сертификатът. Те са удобни, след като сте направили промени по сайта или сте сменили хостинга.

HSTS: следващата стъпка след HTTPS

След като сайтът работи на HTTPS и пренасочва всички посетители от HTTP, можете да добавите още един слой защита, наречен HSTS (HTTP Strict Transport Security). Това е кратко съобщение, което сървърът изпраща на браузъра: „Отсега нататък отваряй този сайт само през HTTPS“.

Защо е полезно? Когато някой напише адреса без https://, първата заявка обикновено отива през HTTP и чак тогава се пренасочва. В този кратък момент нападател в същата мрежа, например в обществен Wi-Fi, теоретично може да се намеси. С HSTS браузърът помни правилото и направо отваря защитената версия.

Ето как изглежда заглавката, която сървърът изпраща:

Strict-Transport-Security: max-age=31536000; includeSubDomains

max-age е времето в секунди, за което браузърът да помни правилото (в примера една година), а includeSubDomains казва, че правилото важи и за поддомейните.

SSL за онлайн магазини и бизнес сайтове

За блог или личен сайт безплатният сертификат е напълно достатъчен. При онлайн магазин, сайт с регистрация на потребители или формуляри с лични данни въпросът опира и до доверието на клиентите.

• Плащания: платежните системи изискват страниците за плащане да са на HTTPS. Без сертификат няма да можете да приемате карти.
• Лични данни: когато събирате имена, телефони и адреси, сте длъжни да ги пазите. Криптираната връзка е основата на тази защита.
• Доверие: сертификат с проверка на организацията (OV) показва в подробностите името на фирмата. Някои клиенти, особено при по-големи поръчки, проверяват точно това.
• Много поддомейни: ако имате shop., blog. и support., Wildcard сертификатът спестява поддръжката на няколко отделни сертификата.

Ако не сте сигурни какво ви трябва, започнете с безплатния сертификат, който идва с хостинга, и преминете към платен, когато бизнесът го изиска. Смяната е лесна и не налага промени по самия сайт.

Митове за SSL

• „Сайтът ми няма форми, не ми трябва SSL.“ Трябва. Без него браузърите го маркират като несигурен, а съдържанието може да бъде подменено по пътя.
• „Катинарчето означава, че сайтът е безопасен.“ Катинарчето означава, че връзката е криптирана и домейнът е проверен. То не гарантира, че собственикът е честен. Измамните сайтове също могат да имат сертификат, затова гледайте внимателно адреса.
• „Безплатният SSL е по-слаб.“ Не. Криптирането е същото. Разликата е във вида проверка, срока и допълнителните услуги.
• „SSL забавя сайта.“ Съвременният TLS е много бърз, а HTTPS дава достъп до по-бързия протокол HTTP/2, така че често сайтът става дори по-бърз.
• „Веднъж настроен, SSL не изисква внимание.“ Сертификатите изтичат. Автоматичното подновяване решава това, но е добре понякога да проверявате датата.

Контролен списък за сигурен HTTPS сайт

• Сертификатът покрива домейна с и без www.
• Всички HTTP адреси се пренасочват постоянно (301) към HTTPS.
• Няма смесено съдържание на нито една страница.
• Автоматичното подновяване е включено и работи.
• Картата на сайта и Google Search Console използват HTTPS адресите.
• Вътрешните линкове в менюто и текстовете са с https://.
• Използва се TLS 1.2 или по-нова версия.
• WordPress, темите и плъгините са обновени, защото SSL пази връзката, но не и уязвим код.

SSL е една от основите на сигурността, но не единствената. Добрият хостинг добавя защитна стена, изолация на акаунтите и ежедневни бекъпи. Повече за това ще намерите в статиите Какво е уеб хостинг? и Видове хостинг.

Често задавани въпроси

Обобщение

SSL сертификатът криптира връзката, доказва самоличността на сайта и е задължителен за доверието на посетителите, позициите в Google и всяко плащане онлайн. За повечето сайтове безплатният DV сертификат от хостинга е напълно достатъчен, а платените сертификати добавят проверка на фирмата, Wildcard покритие и гаранции. Включете го, пренасочете целия сайт към HTTPS и проверете за смесено съдържание. В следващата статия ще разгледаме подробно как работи DNS.