Czym jest certyfikat SSL? – ABC stron internetowych część 4

Bezpieczeństwo użytkowników powinno być priorytetem twórców i właścicieli stron internetowych. Jednym z elementów, dzięki któremu można je zwiększyć, jest certyfikat SSL.

SSL — co to takiego?

SSL (Secure Sockets Layer) to protokół sieciowy używany do szyfrowania danych w internecie. Obecnie częściej stosowana jest jego nowsza odmiana (TLS — Transport Layer Security), jednak oznaczenie SSL przyjęło się już wcześniej, dlatego też bywa ono używane dla określenia obu wspomnianych rozwiązań (niekiedy można też spotkać zapis SSL/TLS). Protokoły tego typu  są dziś uznawane za swoisty standard. Wynika to przede wszystkim z ich uniwersalności: mogą być one użyte m.in. do zabezpieczenia witryn internetowych, serwerów FTP, poczty czy płatności online.

Dlaczego warto wdrożyć SSL na stronie www?

SSL szyfruje przesyłane dane, gwarantując tym samym ich poufność i uniemożliwiając ich przechwycenie przez osoby niepowołane. Wpływa to pozytywnie na wiarygodność witryny. To z kolei przekłada się zwykle na większą częstotliwość odwiedzin (w przypadku blogów czy serwisów informacyjnych) oraz większe prawdopodobieństwo dokonania zakupów (w przypadku e-sklepów).

Do certyfikatów SSL dużą wagę przywiązuje też Google: strony, które ich nie stosują, uzyskują z zasady niższe pozycje w wynikach wyszukiwania. Na dodatek podczas prób wejścia na nie może być wyświetlone ostrzeżenie, informujące o braku poufności połączenia (nie trzeba chyba dodawać, że wpływa to negatywnie na postrzeganie witryny).

Jak sprawdzić, czy konkretna witryna ma certyfikat SSL?

Sprawdzenie, czy strona posiada omawiany certyfikat, nie wymaga dużego wysiłku — jeżeli obok nazwy witryny w górnym pasku przeglądarki widoczny jest symbol kłódki, można uznać, że połączenie jest szyfrowane za pomocą protokołu SSL/TLS. Istnieje również możliwość dokonania własnoręcznej weryfikacji: wystarczy wpisać przed nazwą strony przedrostek https:// – jeżeli witryna nie posiada certyfikatu SSL, wyświetli się ostrzeżenie o braku poufności połączenia.

Jak wdrożyć SSL?

Osoby, które dopiero planują założenie strony internetowej, mogą stosunkowo łatwo wdrożyć certyfikat SSL — wystarczy, że wykupią odpowiednią usługę. Nieco bardziej skomplikowaną kwestią jest płynne przejście z protokołu HTTP na HTTPS w przypadku istniejących już witryn — trzeba wówczas zadbać m.in. o widoczność nowych adresów w wynikach wyszukiwania. Najczęściej wykorzystuje się w tym celu przekierowanie 301 dla całego serwisu. Trzeba również pamiętać o zgłoszeniu zmian do Google Search Console i przesłaniu odpowiedniej mapy z nowymi adresami stron (przyspieszy to indeksowanie).

Jak uniknąć zjawiska mixed content?

Niekiedy przeglądarka informuje użytkowników, że strona, która posiada certyfikat SSL, nie jest w pełni zabezpieczona. Przyczyną takiego stanu rzeczy jest zjawisko tzw. mixed content, czyli sytuacja, w której część zawartości witryny jest pobierana za pomocą protokołu HTTPS, a część — HTTP. Najczęstszym powodem występowania tego problemu jest korzystanie przez stronę z elementów (np. plików graficznych) pochodzących z zewnętrznego, nieszyfrowanego serwera. Jak sobie z tym poradzić? Należy dokładnie sprawdzić zawartość strony, a następnie zmienić linki, tak, by wszystkie one były dostępne w wersji HTTPS. Warto też rozważyć przeniesienie całości zasobów na serwer, z którego korzysta nasza witryna.

Jaki typ certyfikatu SSL wybrać?

Ważną kwestią jest również wybór odpowiedniego rodzaju certyfikatu SSL. Podejmując taką decyzję, warto brać pod uwagę zarówno specyfikę własnej strony, jak i stopień bezpieczeństwa, jaki chcemy zagwarantować jej użytkownikom.

Najniższy będzie on w przypadku certyfikatów typu DV (Domain Validation). Są one wystawiane na podstawie automatycznej weryfikacji prawa do posługiwania się domeną. Osoba, odwiedzająca stronę zabezpieczoną takim certyfikatem, nie ma wglądu w dane jej właściciela. Dodajmy, że dla większości witryn internetowych taki poziom zabezpieczeń jest wystarczający.

Certyfikaty OV (Organization Validation) pozwalają użytkownikowi sprawdzić, kto jest właścicielem serwisu (dane te można uzyskać po kliknięciu symbolu kłódki na pasku przeglądarki). Zapewnia to większy poziom bezpieczeństwa — osoba, która odwiedza stronę, ma pewność, że należy ona do konkretnej organizacji. Jako że weryfikacja jest w tym wypadku bardzo szczegółowa (obejmuje nie tylko domenę, ale i podmiot, który ją posiada), wydanie takiego certyfikatu jest znacznie droższe i trwa dłużej.

Certyfikat EV (Extended Validation) gwarantuje najwyższy poziom bezpieczeństwa. Walidacja obejmuje w tym wypadku nie tylko własność domeny i  dane rejestrowe firmy, lecz również niektóre elementy dokumentacji (sprawdzane są np. umowy spółki). Tak wysoki poziom zabezpieczeń potrzebny jest w praktyce tylko nielicznym podmiotom — stosują go np. banki lub duże e-sklepy.

Wszystkie omówione wyżej certyfikaty można zamówić w wersji dla jednej domeny (Single Domain), dla kilku domen (Multidomain) lub dla domeny wraz z jej subdomenami (certyfikat Wildcart).

Potrzebujesz pomocy we wdrożeniu ceryfikatu SSL? Skontaktuj się z nami!