Если у вас есть сайт, то SSL-сертификат — обязательное условие для его существования и продвижения. Практические все современные браузеры помечают сайты без SSL, как небезопасные, из-за чего они теряют трафик.
В статье расскажем простыми словами — что такое SSL-сертификат, почему он так необходим сайту, как его получить и как установить.
Что такое SSL-сертификат и для чего он нужен
Безопасность и конфиденциальность в интернете — важнейший фактор для пользователей при посещении любого сайта. Согласитесь, никому не хочется лишиться пароля от банковской карты или другой конфиденциальной информации после невинного серфинга в сети. От того насколько защищен ваш сайт зависит доверие к нему со стороны пользователей и поисковиков.
SSL — это сертификат или своего рода «удостоверение», подтверждающее, что ваш сайт безопасен для пользователей. Без этого сертификата, данные, которые вы вводите на сайте, могут быть перехвачены злоумышленниками.
Простой пример: вы покупаете книгу в интернет-магазине и вводите данные карты, чтобы расплатиться. Сайт передает их серверу и вот как раз во время передачи они могут быть перехвачены. SSL защищает данные, а вернее шифрует так, что даже если они и попадут в третьи руки, вместо ценной информации злоумышленники получат бесполезный набор случайных символов.
Если пользователь попадает на сайт без SSL, то видит вот такую ужасную картину (с Google):
Аналогично с Яндекса:
В адресной строке все не менее печально.
Как вы понимаете, увидев подобное предупреждение, пользователь тут же покинет сайт. Поэтому SSL нужен не только магазинам, но и вообще любому современному сайту, включая личные блоги.
Соответственно дело за малым — получить сертификат и установить его на сайт. Получить SSL можно бесплатно и платно.
Где взять бесплатный SSL-сертификат
Лучше всего подбирать хостинг для сайта, где можно установить сертификат на сайт бесплатно и без лишних действий. Бесплатно можно выпустить сертификат от Let’s Encrypt — некоммерческого центра сертификации, созданного специально с целью масштабного перевода сайтов на безопасный протокол https. Раньше SSL были исключительно платными, из-за этого многие владельцы малопосещаемых сайтов, промо-страниц и личных блогов оставались на http и их сайты были не защищены.
Показываем на примере хостинга Beget, как установить бесплатный сертификат:
Важно: предполагается, что у вас уже есть оплаченный домен для сайта.
Шаг 1. В панели управления хостингом заходим в раздел «Домены и поддомены». Находим домен, для которого нужно выпустить сертификат и жмем на «Управление SSL-сертификатами».
Шаг 2. В открывшемся окне нужно выбрать «Бесплатный сертификат» — там должен быть логотип и описание SSL от Let’s Encrypt. Выбираем стандартный тип сертификата без выделенного IP (можно и с выделенным, но для данного сертификата он не требуется). Жмем «Установить».
Шаг 3. Получаем 2 письма на электронную почту: первое о том, что вы оставили заявку на выпуск SSL, второе — о том, что установка завершена.
Шаг 5. Чтобы все страницы сайта открывались по https протоколу, нужно настроить переадресацию с http на https. Это можно сделать при помощи добавления строк в файл .htaccess:
Либо альтернативными способами. Если у вас сайт на CMS, на сайте Beget есть подробные инструкции по настройке переадресации для каждого конкретного движка.
Важно: в статье описан процесс установки на виртуальный хостинг. Если у вас VDS, установка делается из панели управления VestaCP либо при помощи клиента Certbot для веб-серверов Apache и Nginx. Процесс установки отличается, инструкцию можно найти на сайте хостера.
Если вы не ищите легких путей, то можете заказать и установить сертификат вручную на сервер.
Как заказать выпуск бесплатного SSL-сертификата
Рассказываем кратко на примере установки бесплатного SSL для сайта на веб-сервере, работающем на Linux или Windows:
Для подтверждения владения доменом и успешной генерации сертификата нужно будет иметь доступ к записям DNS а также уметь работать с командной строкой.
- Затем нужно установить клиент на сервер. На официальном сайте есть подробные инструкции под каждую операционку и программное обеспечение, правда все на английском языке.
- Чтобы максимально автоматизировать выпуск и установку сертификата кроме Certbot стоит использовать плагины, вернее аутентификаторы (так как большинство плагинов только выпускают сертификат, но его установку нужно все равно производить вручную). Лучший аутентификатор для этой задачи — Webroot (не путать с одноименным антивирусом). Далее нужно следовать его инструкциям.
Есть и более простой способ ручной генерации SSL Let’s Encrypt — на сайте www.sslforfree.com. Можно выпустить 1 сертификат для одного домена.
На сайте есть подробные инструкции на английском по установке сертификата в зависимости от хостера и программного обеспечения. Например, можно посмотреть, как установить SSL через cPanel — самую распространенную панель виртуального хостинга (для нее есть инструкция на русском).
P.S. Ручная установка SSL Let’s Encrypt — очень непростая задача, особенно для новичков. Если вы не имеете понятия, как работать с командной строкой, устанавливать аутентификаторы, не знаете, что такое репозиторий — лучше не заморачиваться и установить сертификат через хостера, следуя его инструкциям. Если есть малейшие представления о том, как работает сервер — подробные пошаговые инструкции можно найти на Хабре и аналогичных ресурсах.
Плюсы и минусы бесплатного SSL-сертификата от Let’s Encrypt
Стоит ли устанавливать бесплатный сертификат или лучше купить платный — разбираем достоинства и недостатки:
Плюсы Let’s Encrypt:
- он бесплатный (да, КЭП) и его могут использовать владельцы небольших сайтов;
- надежное шифрование;
- есть возможность обновлять сертификат автоматически при помощи специального клиента, который устанавливается на сервер и может менять его конфигурацию.
- не каждый хостинг поддерживает автоматический выпуск и обновление сертификата;
- сложная установка в ручном режиме;
- клиент для автоматического обновления получает разрешение на изменение конфигурации сервера (при ручной установке на VDS, виртуальных хостингов это не касается). С одной стороны, мы записали это в плюсы, а с другой стороны, из-за неправильных настроек может пострадать весь сайт;
- короткий срок действия. Чаще всего SSL от Let’s Encrypt выпускается на 90 дней, реже на год. То есть каждые 90 дней нужно следить, не слетел ли сертификат во время автоматического обновления или перевыпускать его вручную. Если забыть о сроках, сайт на время может оказаться без сертификата и это повлияет на доверие к нему со стороны пользователей, а также на позицию в выдаче поисковиков;
- могут возникнуть проблемы при установке на виртуальный хостинг (а это обычно самый дешевый хостинг);
- нет гарантий. Let’s Encrypt не несет ответственности за использование своих сертификатов. Если пользователь потеряет деньги на сайте с бесплатным сертификатом, например, в результате взлома, он не сможет их вернуть. Коммерческие центры сертификации возмещают убытки в зависимости от типа SSL-сертификата;
- нет поддержки клиентов — только техническая документация на сайте, которая может показаться сложной для новичков;
- бесплатные сертификаты менее функциональны, чем платные аналоги. Например, SSL Let’s Encrypt не выпускает сертификаты с зеленой строкой или проверкой организации, то есть, не подходит серьезным компаниям.
Как видите, минусов немало и есть над чем подумать. Стоит ли рисковать или лучше купить платный сертификат на год и забыть о нем до очередного продления?
Где купить SSL-сертификат
Платные SSL выпускают разные центры сертификации, самые распространенные: Comodo, IdenTrust, Symantec Group, GeoTrust.
Перед покупкой выберите, какой тип сертификата вам нужен, они бывают:
- С защитой домена. Подходят небольшим сайтам, не требуют долгих проверок, выпускаются в среднем за 15-30 минут.
- С защитой субдомена (Wildcard SSL). Защищает основной домен (www.site.ru) и его субдомены (www.m.site.ru или www.blog.site.ru).
- С проверкой организации. Подтверждает легальность бизнеса. Стоит дороже, чем первые 2 вида, выпускается дольше, так как требует дополнительных проверок.
- С зеленой строкой. Самый дорогой вид SSL, его используют крупные компании, транснациональные корпорации, некоторые банки и госучреждения. Название компании указано в адресной строке, а сама строка подсвечена зеленым.
Чаще всего сертификат можно купить там же на хостинге либо на сайте выбранного центра сертификации. Но на хостинге проще и можно попросить помощь у техподдержки + обычно у каждого хостера есть подробная инструкция по выпуску и установке сертификата.
Как установить SSL-сертификат на сайт
При заказе на хостинге, все будет сделано в полуавтоматическом режиме — чаще всего требуются минимальные дополнительные настройки после выпуска — загрузка файла на сервер для проверки прав на домен, настройка переадресации домена с http на https. Но на некоторых хостингах есть услуга полной автоматической установки сертификата и тогда достаточно только заказать и оплатить SSL.
Чтобы установить сертификат на сайт, следуйте нашей инструкции. Расскажем на примере все того же хостинга Beget.
Шаг 1. В панели управления хостингом переходим в раздел «Домены и поддомены» и нажимаем на значок SSL.
Шаг 2. В открывшемся окне выбираем пункт «Заказ SSL сертификата».
Шаг 3. Выбираем один из 5 сертификатов Sectigo и оплачиваем.
После выпуска сертификат автоматически установится на хостинг.
Важно: не у каждого хостера есть услуга по установке сертификата, например, вы можете заказать сертификат на сайте хостинга, но устанавливать выпущенный SSL нужно будет уже вручную через FTP, а также самостоятельно делать переадресацию домена на https. Уточняйте этот момент у вашего хостера до покупки.
Если ваш сайт размещен на другом хостинге, действия могут отличаться, но в целом общий порядок одинаковый. Инструкцию конкретно по вашему хостеру ищите в разделе помощи на сайте хостинга.
Заключение
Заниматься наполнением и продвижением сайта без SSL нет смысла, так как браузеры просто будут помечать его, как опасный и обрезать трафик. Для небольшого сайта, на котором пока низкая посещаемость, можно установить бесплатный SSL Let’s Encrypt, а уже по мере роста трафика переходить на платный сертификат. Лучше не связываться с ручной установкой Let’s Encrypt, а найти хостера, где выпуск и обновление этого сертификата происходит автоматически.
Если решили покупать платный SSL, сначала советуем найти хостера у которого процесс покупки и установки наиболее автоматизирован или есть подробная пошаговая инструкция, а затем выбрать и оплатить оптимальный тип сертификата, который подходит именно вашему сайту.
Рассказываем, почему каждый веб-разработчик должен шифровать данные, когда они передаются от пользователей на серверы.
Иллюстрация: Катя Павловская для Skillbox Media
Любитель научной фантастики и технологического прогресса. Хорошо сочетает в себе заумного технаря и утончённого гуманитария. Пишет про IT и радуется этому.
Когда пользователь заходит на сайт, он в первую очередь хочет убедиться, что он надёжный — не обманет и не украдёт данные. А также не даст сделать это другим. Чтобы подтвердить свою благонадёжность, разработчики получают специальные документы — SSL-сертификаты. О них мы сегодня поговорим.
Он подтверждает подлинность сайта и гарантирует, что данные от пользователя к серверу будут передаваться по зашифрованному соединению.
Аббревиатура SSL расшифровывается как secure sockets layer, или «защищённый сокетный слой». Это протокол безопасности, который создаёт защищённое браузер-серверное соединение. Вся передаваемая по нему информация шифруется одноразовыми ключами, чтобы обеспечить конфиденциальность данных и защитить их от перехвата.
Например, когда вы вводите на сайте номер кредитной карты, чтобы оплатить покупку, браузер отправляет эти данные на сервер. Если отправить их в незащищённом виде — не зашифровать, — мошенники теоретически смогут перехватить их, а затем прочитать. А если данные будут зашифрованы, то разгадать такой шифр будет очень непросто.
Такой путь проходит ваш пароль перед тем, как отправиться на серверИллюстрация: Катя Павловская для Skillbox Media
Чтобы узнать, есть ли сертификат, можно взглянуть на адресную строку браузера. В её левом углу вы должны увидеть значок с закрытым замком. Если он есть — значит, у сайта имеется сертификат и на нём безопасно.
Здесь можно посмотреть, подтверждена ли безопасность сайта сертификатом
Они гарантируют, что любая информация, которая передаётся от браузера к серверу, будет зашифрована. Для этого протокол использует алгоритмы шифрования данных — например, EIGamal, RSA, DSA или PKCS.
Весь процесс работы протокола выглядит так:
- Пользователь пытается подключиться к сайту, защищённому протоколом.
- Браузер пользователя уточняет у сервера сайта, подлинный ли он.
- Сервер в ответ пересылает копию своего сертификата, если она, конечно, есть.
- Браузер пользователя удостоверяется в его подлинности (сверяется с пунктами выдачи сертификатов), а затем говорит серверу, что всё ок.
- Теперь сервер создаёт защищённый сеанс: отправляет браузеру подтверждение с уникальной цифровой подписью, которая зашифрована протоколом SSL.
- И наконец — данные начинают передаваться по браузер-серверному соединению.
Задача проверки — убедиться, что соединение будет защищённым. Может показаться, что пошаговая схема выглядит длинной, хотя в жизни это занимает миллисекунды.
Сначала браузер проверяет, надёжно ли соединение. Если нет — он выводит предупреждениеИллюстрация: Катя Павловская для Skillbox Media
После того как браузер убедится, что сайт защищён, в адресной строке будет надпись HTTPS. Последняя буква как раз сообщает, что соединение защищённое: S — secured. Но если достоверность не была подтверждена, то в адресной строке будет надпись HTTP, а данные от пользователя к серверу будут передаваться в незашифрованном виде.
Браузеры позволяют посмотреть подробные сведения об SSL-сертификате для каждого сайта. Для этого нужно кликнуть на значок замка и прочитать информацию. Обычно туда входят следующие данные:
- имя домена;
- компания, лицо или устройство, для кого был создан сертификат;
- центр сертификации, который выдал сертификат;
- цифровая подпись из центра сертификации;
- поддомены;
- дата выдачи;
- срок действия;
- открытый ключ.
Так выглядит подробная информация о домене skillbox.ru
Они нужны сайтам, чтобы подтвердить безопасность передачи данных от пользователей на сервер, а также чтобы указать права собственности и не допустить его подделки злоумышленниками. В каком-то смысле это юридически заверенный договор, который сайт подписывает, чтобы доказать свою честность.
Сайтам важно сохранять конфиденциальность данных и гарантировать пользователям безопасность их ввода. Например, если нужно ввести пароль или данные банковской карты, то пользователи будут доверять только тем сайтам, которые прошли проверку. SSL как раз помогают удостоверить это.
Перед тем как ввести персональные данные, пользователь много раз подумает. А иногда даже SSL-сертификаты не убедят его. Но они всё равно вызовут больше доверияИллюстрация: Катя Павловская для Skillbox Media
Крупным компаниям сертификаты полезны тем, что они предоставляют доступ к HTTPS-протоколу. Он использует все функции протокола HTTP, но при этом шифрует данные с помощью протокола SSL. Браузеры даже помечают сайты с протоколом HTTP как небезопасные, что может стать тревожным сигналом для пользователей и вызвать недоверие — особенно при вводе персональных данных.
Получить их можно в центрах сертификации, которые ещё называют удостоверяющими центрами. Среди самых крупных из них — DigiCert, Symantec, GlobalSign. Все они занимаются подтверждением ключей для шифрования. Чтобы получить сертификат, придётся заплатить деньги, зато вы будете уверены в его подлинности.
Сертификаты от этих компаний идут вместе с печатью доверия. Она подтверждает, что соединение надёжно защищено.
Поэтому иногда стоит выбрать платный сертификат, если важно убедить пользователей, что соединение надёжно защищено.
Глобально их можно разделить на два типа:
- Самоподписанные. Это когда они подписываются на сервере компании. И, по сути, это значит, что его может сделать любой пользователь. Поэтому каждый раз при посещении сайта браузеры будут выдавать предупреждение о незащищённом соединении.
- Подписанные в удостоверяющих центрах. Их получают как раз в удостоверяющих центрах. Их подлинность будет подтверждена во всех браузерах.
Второй тип делится ещё на три вида — по тому, как они проверяют данные:
- DV (domain validation) — умеет шифровать данные, но ничего не знает о компании. Это базовый сертификат, который гораздо дешевле, чем остальные, и который подходит любым компаниям.
- OV (organization validation) — шифрует данные и знает о существовании компании. Подойдёт юридическим лицам.
- EV (extended validation) — нужен тем, кто хочет обеспечить высокий уровень защиты. А чтобы получить его, компания должна пройти сложную проверку: подтвердить законность и предоставить права на домен.
Все они обеспечивают надёжность в шифровании при передаче данных от браузера к серверу. Но также есть другие, более специфичные сертификаты:
- Wildсard — объединяет домены с поддоменами, а также защищает соединение между ними.
- SAN — защищает только те домены, которые указаны в сертификате.
Простым сайтам можно обойтись бесплатным сертификатом, если они, конечно, не используют персональные данные. А вот для тех, кто хочет проводить онлайн-транзакции или создать систему личных профилей, нужно будет приобрести один из подтверждённых сертификатов.
Чтобы не потратить лишние деньги, нужно сначала определить, что делает ваш сайт и какие данные он собирает. Мы рассмотрим некоторые из вариантов и дадим пару советов по выбору.
Интернет-магазин. Здесь люди покупают товары, тратят деньги и выбирают место, куда им нужно доставить посылки. Без надёжного соединения не обойтись — нужно обеспечить максимальную защиту персональных данных, чтобы пользователи не боялись вводить номера карт и адреса мест жительства.
Лучшим решением будет выбрать сертификат EV, чтобы подтвердить подлинность информации о компании и обезопасить данные. Но также подойдёт OV, если у вас небольшой магазин, у которого не так много клиентов.
Чтобы выбрать оптимальный сертификат, стоит изучить, что разные центры сертификации предлагают, и учесть следующие пункты:
- совместимость с популярными браузерами;
- уровень защиты персональных данных;
- сложность проверки компании;
- наличие печати доверия.
Если каждый из этих пунктов вас устраивает, можно смело приобретать сертификат.
После ухода многих зарубежных компаний купить его стало намного сложнее. Оплатить подписку на иностранных сайтах с помощью российских карт стало невозможно, поэтому приходится выбирать только среди отечественных аналогов. Но аналогов практически нет.
Самый простой способ получить сертификат сегодня — подать заявку на сайте reg.ru. Там можно получить его бесплатно, но при условии, что вы купите у них домен. Также стоит учесть, что этот сервис сотрудничает с удостоверяющим центром GlobalSign, который может закрыть доступ для пользователей из России. Поэтому при покупке учитывайте этот риск.
Минцифры уже пытается разработать нормативную базу, чтобы российские компании могли получать бесплатные сертификаты. Сейчас заказать его можно через портал «Госуслуг». Поэтому советуем оставить заявку там, чтобы получить надёжный сертификат.
Научитесь: Профессия Веб-разработчик
В этой статье расскажу, как получить SSL сертификат бесплатно — подобрала для вас четыре сервиса, которые выдают такие сертификаты, и подскажу еще один не самый очевидный способ. Заодно разберемся, какие вообще бывают сертификаты, зачем они нужны и подойдет ли бесплатный вариант вашему бизнесу.
Вы наверняка замечали, что у сайтов в начале адреса стоит либо http://, либо https://. Буква s во втором варианте означает наличие у сайта SSL сертификата — это подтверждение, что пользователь и сайт будут обмениваться данными в зашифрованном виде. В этом случае данные все равно можно перехватить, но без ключа из сертификата их будет невозможно расшифровать. Вместо информации по кредитке воришка получит хаотичный набор данных.
Наличие SSL сертификата можно понять по значку замка в адресной строке:
Знак замка в адресной строке означает, что у сайта есть SSL сертификат
Если сертификата нет, браузеры предупреждают об опасности сайта: что злоумышленники могут перехватить данные, которые пользователи оставляют на сайте, например, адрес почты или номер банковской карты. Это может выглядеть как зачеркнутый замочек:
Знак незащищенного соединения в браузере Mozilla Firefox
Или текстовое предупреждение:
Знак незащищенного соединения в Google Chrome
Для чего нужен SSL сертификат
Во-первых, SSL сертификат поможет защитить ваших пользователей от мошенников. Какие варианты обмана могут быть:
- Злоумышленник просто заберет данные пользователей из потока данных и будет использовать их в своих целях.
- Более активное вмешательство — злоумышленник сможет изменить данные. Например, вы будете переводить платеж, а он поменяет счет получателя и сумму, и все ваши деньги уйдут к нему.
Во-вторых, пользователь будет спокоен — он увидит значок замка и будет чувствовать себя в безопасности.
В-третьих, получение SSL сертификата положительно скажется на ранжировании сайта поисковиками. Это знак, что вы заботитесь о безопасности пользователей, и повод для системы разместить вас повыше в выдаче.
Какие бывают SSL сертификаты
Есть разные виды SSL сертификатов. Они могут отличаться по количеству доменов и субдоменов, для которых они могут использоваться. Например, мультидоменные сертификаты могут защищать два, три или пять доменов. Сертификат с опцией wildcard распространяется на все субдомены указанного в сертификате домена.
Также сертификаты различаются по тому, как именно сайт будет проверяться. Тут есть три варианта:
- Уровень организации — OV SSL (organization validation). Проверяется не только сайт, но и его принадлежность конкретной компании, эта информация будет отображаться в сертификате. Срок выпуска: до 3 дней.
- Расширенный уровень — EV SSL (extended validation). Проверяется не просто домен и его принадлежность к компании, но и работа самой компании: разрешение на деятельность, налоговая отчетность и прочие документы. Он самый крутой: в адресной строке будет зеленым шрифтом написано еще и название организации. Срок выпуска: до 2 недель.
И, наконец, есть несколько доверенных центров, которые выпускают сертификаты — например, Thawte, Sectigo, Geotrust, GlobalSign и другие. Их продукты отличаются уровнем защиты и различными дополнительными функциями.
Кому подойдет бесплатный SSLсертификат
В большинстве случаев бесплатно вы можете получить только SSL сертификат низшего уровня, то есть с подтверждением домена — DV. Это значит, что вариант с бесплатным SSL сертификатом подойдет только для небольших сайтов, которые не просят у пользователя «опасных» данных вроде номера кредитки. Например, это:
- личный блог;
- сайт-визитка;
- сайт-витрина.
Для интернет-магазинов и прочих сайтов, которые запрашивают у пользователя финансовые и/или деликатные личные данные, лучше получать SSL сертификаты следующих уровней.
Где получить SSL сертификат бесплатно
Нашла для вас пять способов получить SSl сертификат без затрат.
Эта некоммерческая организация выдает бесплатные SSL DV сертификаты со сроком жизни три месяца. Можно получить wildcard-сертификат.
Free SSL Space
Еще одна некоммерческая организация, которая также выдает 90-дневные DV сертификаты. Отличается от Let’s Encrypt совместимостью: как заявляет компания, их сертификаты поддерживаются на 99,99% устройств. Нет опции wildcard.
ZeroSSL
У этого сервиса есть бесплатный тариф — DV сертификат на 90 дней. Как и Free SSL, заявляют о 99,99% совместимости с серверами, браузерами и устройствами, однако на бесплатном тарифе не поддерживается wildcard.
Это условно-бесплатный способ получить SSL сертификат. Если вы только собираетесь заводить сайт или ищете новый хостинг — рассмотрите предложения, где бонусом идет сертификат.
Регистратор доменных имен предлагает бесплатный SSL сертификат при покупке имени
Как получить SSL сертификат бесплатно и зачем он нужен
SSL сертификат — это инструмент, который переключает ваш сайт в защищенный режим https. Благодаря ему все данные, которыми вы обмениваетесь с пользователями, будут надежно зашифрованы, а ключ к расшифровке будет только у вас.
Благодаря SSL сертификату:
- злоумышленники не смогут воспользоваться данными пользователей;
- люди будут больше доверять сайту, видя замочек в адресной строке;
- есть шанс подняться в поисковой выдаче.
Сертификаты бывают трех уровней:
- DV — для подтверждения домена. Обычно только этот уровень можно получить бесплатно.
- OV — для подтверждения домена и компании-владельца.
- EV — для расширенного подтверждения домена и компании-владельца.
Бесплатный SSL сертификат уровня DV выдают несколько сервисов:
- Let’s Encrypt — на 90 дней, можно получить на несколько доменов.
- Free SSL Space — на 90 дней, можно получить на несколько доменов.
- ZeroSSL — на 90 дней, только один домен в сертификате.
Также можно обзавестись SSL в качестве бонуса, когда вы покупаете услуги хостинг-провайдера или доменное имя.
Обеспечьте безопасность своим клиентам и себе! Обзаведитесь SSL сертификатом, чтобы никто не украл данные пользователей, а для безопасных рассылок через email, SMS, push, Viber и чат-боты используйте SendPulse.
На заре Интернета мало что было известно о кибербезопасности. Но перенесемся в настоящее время, когда киберпреступность и нарушения безопасности свирепствуют! Создание безопасных соединений для вашего сайта (сайтов) важнее, чем когда-либо.
Наличие SSL-сертификата на вашем сайте может сделать онлайн-клиентов, заботящихся о безопасности, более уверенными в вашем сайте и его услугах.
Приписывание этого сертификата сообщает клиенту, что его информация в безопасности, что он находится в безопасном месте, где его транзакции будут в безопасности и где он находится.
Что такое SSL-сертификат?
Сертификат SSL (уровень защищенных сокетов) — это цифровой сертификат, который используется для установления зашифрованного соединения между веб-сервером и веб-браузером.
Сертификат содержит информацию об организации, которой принадлежит сайт, а также доменное имя сайта и открытый ключ.
Когда веб-браузер подключается к сайту, использующему SSL-сертификат, браузер проверяет, действителен ли сертификат и безопасно ли соединение.
Почему для сайта рекомендуется установить SSL-сертификат?
SSL-сертификат позволяет сайту использовать протокол HTTPS, который шифрует связь между сайтом и его посетителями. Это означает, что если на вашем сайте нет SSL-сертификата, любые передаваемые данные (включая пароли и данные кредитной карты) могут быть перехвачены и прочитаны третьими лицами.
Другими словами, отсутствие SSL-сертификата представляет собой серьезную угрозу безопасности. Более того, большинство веб-браузеров теперь отображают предупреждающие сообщения, когда пользователи пытаются получить доступ к сайтам без SSL-сертификатов.
Это не только вредит вашей репутации, но и отпугивает потенциальных клиентов. Так что, если вы еще не используете SSL, пришло время присоединиться к нему.
Важен ли SSL-сертификат в SEO?
В целом, да, SSL-сертификат может помочь вам в SEO. SSL означает Secure Sockets Layer, и это протокол, который помогает защитить данные, когда они перемещаются между веб-серверами и браузерами.
Если на вашем сайте установлен SSL-сертификат, ваш URL-адрес изменится с HTTP на HTTPS (защищенный протокол передачи гипертекста), что является для Google признаком безопасности вашего сайта.
SSL-сертификаты хороши не только для SEO, они также важны для безопасности вашего сайта и его посетителей. С SSL-сертификатом данные шифруются перед отправкой из браузера на веб-сервер. Это значительно затрудняет перехват и чтение данных хакерами.
Таким образом, SSL-сертификат может не только улучшить ваш SEO-рейтинг, но и защитить ваш сайт от взлома. Если на вашем сайте еще не установлен SSL-сертификат, самое время его получить.
Как выдать SSL-сертификат на ваш сайт в cPanel?
Ниже вы узнаете, как выпустить SSL-сертификат на свой сайт в cPanel. Но прежде чем мы продолжим, мы хотим знать, что такое cPanel и какова ее цель:
Что такое cPanel и какова его основная цель?
После входа в cPanel перейдите в раздел «Безопасность». В разделе «Безопасность» нажмите ссылку «Let Encrypt SSL» и откройте ее.
Выдача SSL
Открыв ссылку «Let Encrypt SSL» в разделе «Безопасность», вы увидите список всех доменов вашего сайта или домен вашего сайта.
Найдите домен своего сайта, и в правой части раздела вашего домена в списке вы увидите кнопку или ссылку с надписью «Проблема» в разделе «Действия» и щелкните ее левой кнопкой мыши, чтобы открыть ее.
Завершение
После нажатия кнопки или ссылки «Оформить» вы будете перенаправлены на другую страницу с надстройками вашего сайта. Просто отметьте их все или оставьте по умолчанию.
Перед завершением вы увидите раздел ниже, в котором говорится: «Пожалуйста, выберите метод проверки SSL (все автоматически)».
В этом разделе есть 2 варианта: «http-01» и «dns-01».
Просто нажмите на 1-й вариант с «http-01», а затем нажмите кнопку «Выдать».
И Бэнг. Готово!
Чтобы проверить, был ли успешно выдан ваш SSL-сертификат, очистите кеш браузера (узнайте, как очистить кеш браузера здесь) или откройте свой сайт в новом браузере. Если вы видите замок в строке URL-адреса при открытии своего сайта, это означает, что ваш сайт имеет сертификат SSL и перенаправляет через https, поэтому он помечен как безопасный в Интернете для посетителей вашего сайта.
Как выпустить SSL-сертификат на свой сайт в панели управления Direct?
Мы только что обсудили, как выдать SSL-сертификат для вашего сайта в учетной записи cPanel выше. Но что делать тем, у кого есть только учетная запись в панели администратора Direct? Ниже мы обсудим, как выдать SSL-сертификат на ваш сайт в личном кабинете админки Директа.
Что такое прямая панель администратора?
Прямая панель администратора — это панель управления веб-хостингом, которая дает пользователям возможность управлять своей учетной записью веб-хостинга непосредственно из своего веб-браузера.
Этот тип панели управления позволяет пользователям легко управлять своей учетной записью без знания программирования или HTML.
Прямые панели администратора обычно предлагают широкий спектр функций, включая инструменты для создания сайтов, управление учетной записью электронной почты, файловый менеджер и многое другое.
В чем основная разница между Direct Admin и cPanel?
В конечном счете, лучшая панель управления для ваших нужд будет зависеть от размера и сложности вашего сайта, а также от ваших личных предпочтений.
Если вы не уверены, что выбрать, вы всегда можете попробовать оба и посмотреть, какой из них вам больше нравится.
Как выдать SSL-сертификат на ваш сайт в панели администратора?
Чтобы начать процесс выдачи SSL-сертификата, начните с доступа к прямой панели администратора вашего сайта через URL-адрес прямого доступа к панели администратора, предоставленный вам вашим хостинг-провайдером.
После входа в панель прямого администратора перейдите к «Диспетчеру учетных записей», а затем нажмите на поле со значком «Ссылка на SSL-сертификат».
Настройки SSL-сертификата
После открытия ссылки в окне значка сертификата SSL вы будете перенаправлены на другую страницу с настройками сертификата SSL. Здесь вам нужно будет выбрать настройки, которые вы хотите использовать для SSL-сертификата вашего сайта.
Вы увидите 4 вкладки с разными настройками сертификата SSL. Просто выберите тот, у которого есть «Получить автоматический сертификат от поставщика ACME», который является первым для моего случая.
На этой вкладке вы увидите различные параметры настроек SSL-сертификата, которые вы можете выбрать, в том числе; Поставщик Acme, общее имя, размер ключа (биты) и, наконец, тип сертификата. Просто следуйте моим настройкам ниже:
- Acme Provider – Давайте зашифруем
- Обычное имя — выберите доменное имя своего сайта (не устанавливайте флажок «Подстановочный знак»).
- Тип сертификата — SHA256.
Выбрав все правильные настройки, сохраните свои настройки, и тем самым вы закончили настройку SSL-сертификата для своего сайта в прямой панели администратора.
С помощью нескольких простых шагов вы можете добавить SSL-сертификат на свой сайт и начать пожинать плоды повышенной безопасности и улучшенной SEO.
Независимо от того, используете ли вы сайт электронной коммерции или просто хотите добавить дополнительный уровень защиты для своих посетителей, выпуск SSL-сертификата — отличный способ сделать это.
Мы надеемся, что эта статья помогла вам понять, как выдавать SSL-сертификат и почему это важно для вашего сайта.
Как продлить платный SSL-сертификат
Когда заканчивается SSL-сертификат:
Обратите внимание! Действие нового сертификата начинается с момента его активации в центре сертификации, а не с момента окончания текущего сертификата. Например, если ваш текущий SSL заканчивается 11.11.2021, а новый был активирован 25.10.2021, дата выдачи нового считается 25.10.2021 и он будет действовать по 25.10.2022. В промежутке 25 октября по 11 ноября 2021 года у вас будет два активных SSL-сертификата. Рекомендуем, чтобы не переплачивать за лишний месяц, заказывать новый сертификат в конце срока действия текущего сертификата.
Как продлить бесплатный SSL-сертификат
Срок предоставления бесплатного SSL-сертификата составляет 1 год. После окончания этого срока сертификат нужно продлить, но уже платно.
Обратите внимание! Даты выпуска и окончания нового SSL-сертификата никак не связаны с данными предыдущего сертификата. То есть если текущий SSL заканчивается 10.03.2021, а новый SSL был активирован 15.02.2021, дата выдачи нового будет 15.02.2021 и он будет действовать по 15.02.2022. А с 15 февраля по 10 марта 2021 года у вас будет два активных SSL-сертификата. Чтобы не переплачивать за лишние месяцы, рекомендуем переиздавать сертификат ближе к окончанию срока действия текущего сертификата.
Как продлить сертификат из карточки услуги
Обратите внимание! Вы можете продлить SSL-сертификат из карточки услуги только за 30 дней до окончания действия сертификата.
1. Перейдите в личный кабинет в раздел Мои услуги.
2. Выберите сертификат, который нужно продлить:
3. Нажмите на строку Выпустить новый сертификат.
Обратите внимание! Кнопка продления становится активна только за 30 дней до окончания действия сертификата.
В этом же блоке отображается дата окончания действия бесплатного SSL-сертификата.
4. Перед вами появится страница корзины, где вы увидите ваш SSL-сертификат. Внизу страницы нажмите Продолжить:
5. Оплатите услугу.
После покупки нового сертификата вам нужно будет заново активировать и установить сертификат.
Последнее время доля валидных SSL-сертификатов в различных доменных зонах имеет тенденцию к росту, как и общая заинтересованность SSL-технологиями. Тем не менее еще не все осознали, с чем имеют дело, когда слышат это слово. Поэтому мы попытаемся всё же понять, что оно значит, и поможем выбрать именно тот сертификат, который нужен конкретно вашему проекту (и нужен ли вообще).
Для безопасной передачи данных между браузером пользователя и сервером используется инфраструктура ключей, которая позволяет шифровать передаваемую информацию с помощью открытого ключа (известен всем) и расшифровывать её с помощью закрытого (известен только его владельцу), что называется асимметричным шифрованием. Сама эта инфраструктура подчиняется международному стандарту x.509, который определяет состав электронного сертификата:
- номер версии сертификата (1-3);
- порядковый номер;
- идентификатор алгоритма подписи;
- имя организации, выдавшей сертификат;
- срок действия сертификата;
- имя владельца сертификата;
- открытый ключ владельца сертификата;
- цифровая подпись.
Стандарт x.509 не предусматривает конкретный алгоритм шифрования, однако наиболее распространённым является RSA, именно он и используется в SSL-сертификатах.
Перед тем, как выбирать сертификат, неплохо бы разобраться, зачем они нужны и какие функции выполняют.
Любой SSL-сертификат выполняет сразу три важные функции:
- шифрование передаваемой информации;
- проверка подлинности ресурса (аутентификация);
- обеспечение целостности передаваемой информации.
Таким образом, пользователю показывается, что веб-ресурсу, к которому подключён сертификат, можно доверять.
Чтобы понять, как работают эти три функции SSL-сертификатов, рассмотрим простой пример. Девочке Ане необходимо купить билет на самолёт через сайт авиакомпании, а для этого — отправить данные своей кредитной карты. Чтобы быть уверенной, что её данные не перехватят сторонние лица, Аня проверяет наличие SSL-сертификата на сайте выбранной авиа-компании.
Сделать это просто: достаточно убедиться, что в начале адресной строки есть обозначение https-соединения, выделенного, как правило, зелёным цветом. Именно оно подтверждает, что данные между браузером пользователя и сервером компании шифруются. В данном случае авиакомпания обладает двумя ключами: открытым, который доступен всем, и закрытым, который знает только она. Расшифровать сообщение, зашифрованное открытым ключом, можно только при помощи закрытого ключа, а зашифрованное закрытым — открытым ключом.
Если SSL-сертификат компании, которую выбрала наша путешественница был выдан действующим сертификационным центром, то браузер Ани распознаёт его как доверенный (аутентификация) и при помощи открытого ключа зашифрует её данные. Даже если злоумышленник перехватит переданную Аней информацию, прочесть он её не сможет, так как не обладает закрытым ключом для её расшифровки.
Самоподписные SSL-сертификаты
Получение SSL- сертификата, разумеется, стоит денег, при этом действует он ограниченное количество времени. Поэтому многие используют так называемые самоподписные SSL-сертификаты. Сгенерировать их можно с помощью панели управления хостингом прямо на веб-сервере, причём сделать это можно совершенно бесплатно. Однако, далеко не всегда целесообразно использовать самоподписной сертификат.
Любой браузер проверяет, выдан ли сертификат известным ему центром сертификации, и если нет (а это и есть случай самоподписного сертификата), то выдаёт на него ошибку и выводит на экран большую табличку с надписью “Сертификат безопасности сайта не является доверенным!”.
Такое сообщение наверняка отпугнёт потенциального клиента от ресурса, и тот захочет покинуть его, а владелец сайта в свою очередь потеряет значительную часть своей аудитории. Так что, если речь идёт о сайтах с большим трафиком или же интернет-магазинах, использовать самоподписанные SSL-сертификаты крайне не рекомендуется.
Такие опасности подстерегают каждого, кто не заботится о безопасном https-соединении. Тем не менее самозаверенные сертификаты вполне пригодны для внутреннего пользования: например, внутри небольшой организации, сотрудники которой добавили сертификат в доверенные, так как знают его происхождение. Также они подходят при использовании сервера Apache при разработке и тестировании приложений.
Уязвимости системы защиты с помощью SSL-сертификатов
Говоря о покупке SSL-сертификата важно понимать, что сам по себе он не является волшебной палочкой, при взмахе которой вы тут же избавляете себя от всех проблем, связанных с безопасностью сайта. Какими бы сложными ни были механизмы криптографического шифрования, последней инстанцией в инфраструктуре SSL-сертификатов всё равно являются люди, и, следовательно, все вопросы доверия упираются в человеческий фактор. Так, в сентябре 2015 года компания Symantec по ошибке своих сотрудников выпустила 164 нелегитимных сертификата для 76 доменных имен. Ещё один деликатный момент с использованием SSL-сертификатов — это хранение секретного ключа: спрятать его в сейфе, изолировав от внешнего мира, не получится, ведь он часто используется в процессе HTTPS-соединений, и есть вероятность взлома сервера в целях перехвата закрытого ключа. Виновником взлома может быть опять же человек — администратор сервера, который не смог по каким-либо причинам защитить сервер. Поэтому владельцы закрытых ключей часто устанавливают на них пароли.
Разновидности SSL-сертификатов
Если же вы решили приобрести SSL-сертификат у одного из центров сертификации, то следует разобраться, какие же их разновидности существуют. С первого взгляда выбрать себе SSL-сертификат из множества тех, что представлены сегодня на рынке довольно сложно: разница в цене может достигать 100 000 рублей, и не всегда понятно, какие из возможностей того или иного сертификата действительно нужны конкретно вашему проекту. Однако разобраться в этом можно, воспользовавшись четырьмя основными критериями, которые следует учитывать при покупке SSL-сертификата:
- желаемая степень доверия к ресурсу;
- количество доменов и поддоменов, для которых осуществляется покупка сертификата;
- вид субъекта, приобретающего сертификат: физическое или юридическое лицо;
- размер финансовых возможностей для приобретения сертификата.
Разберёмся сначала с первым пунктом.
Валидность вашего ресурса может быть подтверждена тремя различными степенями его проверки. Соответственно, существует три разных вида SSL-сертификата, различающихся по типу валидации:
- сертификаты, подтверждающие право владения доменом (Domain Validation);
- сертификаты, подтверждающие помимо домена юридическое существование организации (Organization Validation);
- сертификаты с расширенной проверкой организации (Extended Validation).
Domain Validation
DV сертификаты подтверждают только факт того, что именно владельцу сертификата действительно принадлежит данный домен и являются наиболее доступной разновидностью SSL-сертификатов. Данные сертификаты лучшего всего подойдут для форумов и небольших сайтов или блогов с не очень большим количеством посетителей.
SSL-сертификат такого уровня:
- обеспечивает только начальный уровень защиты;
- доступен физическим и юридическим лицам;
- не требует предоставление дополнительных документов;
- выпускается в течение 5-10 минут;
- обойдётся примерно в 1-4 тысячи рублей за год.
Organization Validation
OV-сертификат подтверждает бизнес-статус организации и вызывает куда больше доверия пользователей, чем DV-сертификат. Данный тип сертификата хорошо подойдёт для онлайн-магазина и другого небольшого интернет-бизнеса.
Сертификат уровня защиты OV:
- обеспечивает средний уровень защиты;
- выдаётся только юридическим лицам;
- для регистрации необходимо предоставить копии документов организации, счёт телефонной компании с указанным названием организации и номером телефона её владельца;
- выпускается в течение 1-5 дней;
- обойдётся примерно от 4 000 рублей до 50 000 рублей в год.
Extended Validation
SSL-сертификаты с расширенным уровнем проверки являются самыми надёжными, но и самыми дорогими. Хорошо подойдут для крупной и серьезной организации, для которой важны престиж и безопасность.
Сертификат уровня EV:
- предлагает самый высокий уровень защиты и наивысший уровень доверия среди других SSL-сертификатов
- выдаётся только юридическим лицам;
- для регистрации необходимы следующие дополнительные документы: свидетельство о постановке на учёт в налоговом органе, уведомление о регистрации юридического лица, извещение о регистрации в качестве страхователя и другие;
- поддерживает кириллические домены;
- выпускается в течение 3-10 дней.
- обойдётся примерно от 10 000 до 100 000 рублей в год.
Также после документальной проверки провайдер может позвонить по официально заявленному телефону организации, совершив тем самым дополнительный этап проверки. Зато после прохождения всего этого документооборота ваш сайт будет обладать самым высоким уровнем доверия, о чём будет свидетельствовать зелёная панелька с названием компании в адресной строке. По ней пользователи и смогут определить высокий бизнес статус компании, а при нажатии на панель узнать полные сведения об организации. Сертификаты этого типа служат отличной защитой от фишинга: из-за строгих требований верификации, злоумышленники не смогут пройти все этапы проверки, в результате чего “липовые” EV-сертификаты встречаются в крайне редких случаях.
Вы спросите какой сертификат выбрать? Всё зависит от направленности вашего сайта и вашего бюджета. Также нелишним будет посмотреть какими SSL-сертификатами пользуются ваши партнёры, конкуренты или более крупные сайты. Например, известный сервис для бронирования отелей ostrovok.ru использует PositiveSSL Wildcard сертификат от Comodo; в популярном интернет-магазине wildberries.ru используется SGC OV SSL Wildcard сертификат максимальной защищённости. На сайте Tinkoff.ru применяется сертификат EV SSL сертификат от регистрационного центра Thawte.
Мы рекомендуем пользователям внимательно проверять название компании, так как мошенники могут создать «липовую» организацию с похожим названием и привязать к ней SSL-сертификат.
Что же делать, если необходимо защитить сразу несколько поддоменов или разных доменов, находящихся на одном сервере?
В этом случае необходимо будет приобрести SAN (UCC) сертификат, который отлично подойдёт для мульти-доменных проектов и продуктов MS Exchange. Для защиты только нескольких поддоменов существуют Wildcard-сертификаты. Приобретая такой сертификат, вы обеспечиваете шифрование не только основного домена, но и неограниченного количества поддоменов вида subdomain1.domain.com, subdomain2.domain.com и т.д. Однако не все провайдеры выпускают Wildcard-сертификаты с защитой основного домена, поэтому перед заказом стоит отдельно обратить на это внимание. Хотя основными преимуществами Wildcard-сертификата являются удобство и экономия (не нужно заботиться о сертификате на каждый поддомен и платить за него), тем не менее иногда дешевле всё же приобрести отдельные SSL-сертификаты на каждый поддомен, особенно если их не очень много.
Проведём небольшое сравнение крупных поставщиков SSL-услуг: Symantec, Thawte и Comodo. Несмотря на то, что по сути, все компании продают практически один и тот же продукт, есть значительные отличия в сервисе. Symantec обладает самой большой продлённой гарантией, достигающей 1 750 000 долларов. Данная сумма будет выплачена в качестве возмещения убытков, если Symantec нарушит условия гарантийных обязательств. Также, на вооружении компании есть антивирусная защита, которая осуществляет ежедневное сканирование страниц на вашем хосте, с целью выявления вредоносных программ. Но, стоит заметить, что и просят за этот функционал немало — у Symantec самые дорогие сертификаты из всех 3 представленных центров. Самые доступные сертификаты у Comodo, которые также предлагают сервис антивирусного сканирования и PCI-анализа. Thawte не предлагает каких-либо дополнительных функций и обладает средней из всех ценой за SSL-сертификат.
Хотелось бы отметить, что сегодня большинство владельцев сайтов приобретают SSL-сертификаты сразу же у хостинг-провайдеров. Несмотря на то, что они являются, по сути, посредниками, цена на сертификаты, за счёт больших объёмов продаж, может быть даже ниже чем у самого сертификационного центра!
Важно отметить, что не все сертификаты поддерживают IDN (Internationalized Domain Names). Вы можете подобрать себе сертификат с идеальным соотношением цены и качества, но, если вы приобретаете его для кириллического домена, совсем не факт, что он вам подойдёт. SSL-сертификаты с поддержкой IDN можно приобрести у таких компаний, как, например, GlobalSign, Thawte, Comodo или Symantec.
В заключение
Выбирая себе SSL-сертификат, обратите внимание, какие сертификаты установили ваши конкуренты и просто компании с идентичным продуктом, количеством аудитории и способом обмениваться с ней информацией. Учтите также, что приятным бонусом к покупке SSL-сертификата будет тот факт, что сайты с HTTPS-соединением ранжируются в поисковой системе Google выше остальных. Вдобавок к этому, как недавно сообщила компания Google, все сайты, не имеющие SSL-сертификатов и принимающие пароли и номера кредитных карт, будут помечаться в Google Chrome как небезопасные. Это ещё один довод в пользу того, чтобы задуматься о приобретении SSL-сертификата, тем более что сегодня HTTPS-соединение куда более доступно для пользователей, чем несколько лет назад, а некоторые компании предлагают выгодные акции и даже дарят сертификаты в качестве бонуса.
Переезд на SSL-сертификат далеко не всегда проходит быстро и безболезненно. Вы рискуете потерять долю трафика или даже получить технические ошибки, которые приведут к полной неработоспособности сайта. Рассказываю, как переехать на SSL-протокол правильно.
Здесь все просто. SSL – специальный протокол криптографического типа (проще говоря, с поддержкой шифрования передаваемых данных), обеспечивающий высокий уровень безопасности передачи данных от пользователя к сайту. Дополнительная безопасность передачи данных обеспечивается при помощи аутентификационных кодов, асимметричного криптографического протокола и задействования симметричного шифрования.
В последние несколько лет поисковые системы тонко намекают на то, что SSL-сертификат – обязательный атрибут для всех. Сайты, работающие с HTTP-протоколом, теперь считаются небезопасными и даже искусственно понижаются в выдаче. Об этом неоднократно говорили сотрудники Google, например – Джон Мюллер и Гэри Илш.
Пессимизация HTTP-сайтов осуществляется при помощи автоматических алгоритмов, когда поисковый бот получает информацию о том, что сайт не использует защищенный протокол. Сайтам, работающим по классическому HTTP, в ближайшее время придется явно несладко: некоторые браузеры уже отказываются загружать такие веб-ресурсы, выводя на экран предупреждение об опасности посещения таких сайтов. Не хотите терять пользователей? Тогда лучше уже сейчас приложить все усилия, чтобы переехать на защищенный HTTPS-протокол. Для этого понадобится установить на сайт SSL-сертификат и отработать все потенциальные ошибки.