Certyfikat SSL, dlaczego warto go posiadać?
Pewnie zauważyłe/aś, że ostatnio coraz więcej pojawia się stron, które posiadają własną „kłódeczkę„, a ich adres rozpoczyna się od https://, a nie jak dotąd od http://. Oznacza, to że połączenie z taką stroną jest szyfrowane, innymi słowy – bezpieczne. I wcale nie dotyczy to tylko stron z branży e-commerce, ale zwykłych blogów czy stron firmowych. Wynika to poniekąd z faktu, że Google preferuje strony z szyfrowaniem, o czym można poczytać na blogu Google. Generalnie wszędzie tam, gdzie użytkownicy zostawiają swoje dane, np. forum, sklep, portal, powinno być zastosowane szyfrowanie transmisji. Ale od początku…
Cóż to jest ten certyfikat SSL?
Certyfikat SSL to narzędzie, które mówiąc najprościej, poświadcza wiarygodność domeny (bądź też domeny i jej właściciela). Gdy łączysz się z jakąś stroną https://, cała komunikacja pomiędzy Twoim komputerem a serwerem, na którym jest umieszczona strona, jest szyfrowana. Wykupując i instalując certyfikat SSL dla swojej domeny, dajesz po prostu gwarancję bezpieczeństwa szyfrowania danych przesyłanych pomiędzy użytkownikiem końcowym a serwerem. Innymi słowy, gwarantujesz zachowanie poufności danych użytkownika. W zależności od tego jaki certyfikat wybierzesz, gwarancja jest udzielana przez odpowiedniego dostawcę.
Jak rozpoznać czy strona jest z certyfikatem SSL czy bez? Dla stron bez szyfrowania, adres strony www będzie się zaczynał od protokołu http://. Natomiast w przypadku strony zabezpieczonej certyfikatem SSL adres zacznie się od https://. Dodatkowo przy adresie strony pojawi się też ikona kłódki.
Czym się różnią certyfikaty SSL?
W obecnej chwili mamy do dyspozycji certyfikaty o długości klucza 128 lub 256 bit. Certyfikat z kluczem 256 bitowym daje lepszą ochroną. Dłuższy klucz utrudnia rozszyfrowanie transmisji, więc trudniej jest się na taką stronę włamać. Certyfikaty SSL mogą oferować różny poziom zabezpieczeń, co oczywiście przekłada się na duży rozrzut cenowy. Do dyspozycji masz trzy rodzaje certyfikatów:
DV (Domain Validation) – najprostszy i najchętniej wybierany przez właścicieli małych stron i sklepów internetowych. Potwierdza autentyczność domeny i zabezpiecza komunikację pomiędzy użytkownikiem końcowym, a daną domeną. Jeśli więc jesteś właścicielem bloga, małego sklepu internetowego, czy platformy kursów online, ten certyfikat spokojnie Ci wystarczy. Taki certyfikat można już zakupić od ok. 90zł brutto na rok. Jeśli chcesz utrzymać ciągłość zabezpieczeń domeny, musisz odnawiać certyfikat co rok.
OV – Organization Validation – oferuje wyższy poziom zabezpieczeń. Wcześniej weryfikacji podlegała wyłącznie domena, natomiast tutaj można dodatkowo potwierdzić autentyczność właściciela domeny. Firma ubiegająca się o wydanie takiego certyfikatu musi się liczyć z tym, że może być poproszona o dodatkowe dokumenty, np. wyciąg z KRS. Ten typ certyfikatu wybierają firmy posiadające większe sklepy internetowe, strony internetowe z rozbudowanymi formularzami rejestracji, strony administracji publicznej itd. Ten rodzaj certyfikatów jest już trochę droższy i trzeba się liczyć z wydatkiem kilkuset złotych na rok.
Jak sprawdzić czy dana strona posiada walidację OV? Jeśli klikniesz na szczegóły certyfikatu, w polu podmiotu będzie się znajdować dodatkowo nazwa firmy.
EV – Extended Validation. Certyfikaty prestiżowe, czyli certyfikaty o najwyższym stopniu zaufania, pozwalają potwierdzić autentyczność domeny, jej właściciela i dodatkowo jeszcze obok adresu strony wyświetla się zielony pasek z informacją o właścicielu witryny. Najczęściej spotkasz je na witrynach oferujących bankowość online, płatności online oraz na wszelkich stronach przetwarzających wrażliwe dane (np. wyznanie). W przypadku zakupu takiego certyfikatu trzeba się liczyć z wydatkiem powyżej 1000zł , ale za to gwarancja finansowa w przypadku wadliwego działania certyfikatu jest gigantyczna.
Jeden certyfikat dla jednej domeny
Typowo jeden certyfikat zabezpiecza jedną domenę przypisaną do unikalnego adresu IP. Jeśli więc posiadasz domenę w kilku wariantach, np. takasobiestrona.pl, takasobiestrona.com.pl, takasobiestrona.net.pl, musisz zdecydować dla której domeny chcesz wykupić certyfikat. Certyfikat będzie przypisany do jednej, konkretnej domeny. Co w takim razie zrobić jeśli chcielibyśmy zabezpieczyć inne alternatywy naszego adresu, albo różne domeny? Otóż jest na to kilka sposobów:
- Multi-Domain (SAN) – pozwala zabezpieczyć kilka domen na jednym adresie IP. Jest to więc najlepsze rozwiązanie jeśli masz kilka wariantów domenowych: takasobiestrona.pl, takasobiestrona.com.pl, takasobiestrona.net.pl
- Multiple Domain (UCC) – w tym wypadku możesz zabezpieczyć jednym certyfikatem kilka domen o różnych nazwach.
- Wildcard – jest to zabezpieczenie dla jednym certyfikatem wszystkich subdomen w ramach domeny głównej. Oznacza to, że możesz założyć subdomenę blog.takasobiestrona.pl, sklep.takasobiestrona.pl, forum.takasobiestrona.pl i wszystkie będą chronione jednym certyfikatem. Oczywiście koszt takiego rozwiązania to kilkaset złotych na rok.
To ile domen chcesz zabezpieczyć, określasz na etapie zamawiania certyfikatu:
Jak zamówić certyfikat
Najlepiej tam gdzie masz już hosting i domenę, ponieważ dział wsparcia technicznego może wykonać całą instalację za Ciebie. Oczywiście zależy też od wyboru dostawcy usług hostingowych, bo może się zdarzyć, że będziesz musiał samodzielnie go zainstalować w panelu swojego konta. Zwykle wykupienie certyfikatu wiąże się też dodatkowo z wykupieniem adresu IP, choć niektórzy dostawcy hostingu oferują certyfikat SSL, bez konieczności dokupywania IPka.
Po co osobny adres IP? Teraz troszeczkę zabrzmi skomplikowanie… Wynika to po prostu z działania serwera WWW i technologii SSL – najpierw jest wymiana kluczy na protokole https, dopiero później żądanie wczytania strony na protokole http. Skoro serwer musi najpierw wysłać certyfikat, a tych certyfikatów byłoby wiele na jednym adresie IP, to po prostu wyśle pierwszy, który ma na liście. A jak ma jeden cert na jednym IP to nie ma problemu.
Wracając do zamawiania certyfikatów… Jeśli wykupisz certyfikat gdzie indziej, to z tym też nie będzie jakiejś wielkiej filozofii. Zwykle sprowadza się do skopiowania zawartości pliku z kluczami (które otrzymasz po weryfikacji) w odpowiednie pola konfiguracji SSL dla domeny. W panelu konfiguracji SSL dla domeny może wyglądać to tak:
Dla prowadzenia płatnych kursów kursów online, czyli de facto niezbyt dużej witryny internetowej, w zupełności wystarcza walidacja DV. Możesz się pokusić o wildcard, wtedy masz zabezpieczenie również dla wszystkich subdomen. Każda strona typu blog.mojekursyonline.pl, sklep.mojekursyonline.pl, platforma.mojekursyonline.pl będzie opatrzona kłódką i użytkownik przechodząc z jednej subdomeny na drugą, nie będzie informowany o przechodzeniu na potencjalnie niebezpieczną stronę.
Ceny certyfikatów dla walidacji DV możesz sprawdzić tutaj i ewentualnie porównać z ceną, jaką oferuje Twój dostawca usług hostingowych.
ja mam certyfikaty z cal.pl i polecam wszystkim. prosta instalacja, dobra cena.