Что такое SSL-сертификат
SSL-сертификат шифрует соединение между вашим сайтом и посетителем. Благодаря ему сайт открывается по защищённому адресу https, а браузер показывает замок.
Без SSL данные, например введённые в форму, передаются без шифрования. Браузер предупреждает, что такой сайт небезопасен.
SSL-сертификат сегодня можно получить бесплатно, и он настраивается при запуске сайта.
Почему SSL важен
Без SSL браузер показывает предупреждение, которое мгновенно отпугивает посетителей. К тому же https это фактор ранжирования Google. SSL сегодня обязательный минимум.
Что именно делает сертификат
У сертификата две задачи. Первая: подтвердить, что браузер общается именно с сервером этого домена, а не с кем-то посередине. Вторая: с его помощью браузер и сервер договариваются о ключе, которым шифруется весь дальнейший обмен. В открытой сети WiFi никто со стороны не прочитает, что посетитель вводит в форму.
Название SSL осталось по привычке. Технически сегодня используется его преемник, протокол TLS, но имеют в виду одно и то же.
Бесплатный и платный сертификат
Большинству сайтов хватает бесплатного сертификата Let's Encrypt, который хостинг ставит и продлевает автоматически. Он действует всего несколько месяцев, а продление идёт в фоне. Шифрование у него такое же надёжное, как у платного.
Платный сертификат отличается тем, что центр сертификации проверяет не только домен, но и данные компании. Его иногда требуют крупные заказчики или условия тендера, но обычному сайту или магазину он преимуществ не даёт.
Пример: интернет-магазин и банковские ссылки
В эстонском магазине покупатель выбирает банк через Montonio или Maksekeskus, и сама оплата проходит на защищённой странице банка. Но до этого он вводит на сайте магазина имя, адрес и телефон, выбирает посылочный автомат. Эти данные тоже должны передаваться в зашифрованном виде, поэтому https нужен на всём сайте, а не только в корзине.
Типичные проблемы и как их проверить
Наличие сертификата ещё не значит, что всё в порядке. Откройте свой сайт по адресу http:// без буквы s и посмотрите, перенаправляет ли он автоматически на https.
- Сертификат истёк: автопродление сломалось, и браузер показывает предупреждение на весь экран.
- Смешанное содержимое: страница открыта по https, а картинка или скрипт грузятся по старому http-адресу, и браузер их блокирует.
- Нет редиректа: сайт доступен и по http, и по https, и Google видит две версии.
- Сертификат не покрывает вариант с www или без www.
Частые вопросы
SSL-сертификат бесплатный?
Да, сертификат Let's Encrypt бесплатен, и большинство хостингов устанавливает его автоматически. Платный нужен, когда партнёр или условия тендера требуют сертификат с проверкой данных компании.
В чём разница между SSL и TLS?
TLS это более новый и безопасный преемник SSL. Старый протокол SSL уже не применяется, но название прижилось. Если хостинг предлагает SSL-сертификат, на деле он работает по протоколу TLS.
Делает ли https сайт безопасным?
Https защищает данные на пути между браузером и сервером. От необновлённой CMS, слабых паролей и вредоносного кода он не защищает. Для безопасности нужны ещё регулярные обновления и резервные копии.