Все мы слышали об SSL-сертификатах, но далеко не всем понятно, для чего они используются и как их выбирать. В этой статье мы раскроем понятие SSL-сертификата, поговорим об их разновидностях, поможем разобраться с выбором подходящего сертификата и затронем тему разницы протоколов (http/https).
Понятие SSL-сертификата
SSL (Secure Sockets Layer — уровень защищённых сокетов) — это зашифрованный протокол, обеспечивающий более безопасный обмен данными при помощи кодировки. Если говорить проще, SSL-сертификат — это подтверждение, гарантирующее секьюрное пользование сайта для посетителей. Сертификаты такого плана позволяют использовать https протокол — защищенное соединение, гарантирующее приватность информации при передаче от браузера на сервер (т. е. защита от хакеров или злоумышленников, которые хотят перехватить данные). Наиболее распространенный пример использования SSL-сертификата — защита клиентов, осуществляющих покупки, оплаты и прочие операции, связанные с финансами, а также сайты, которые работают с личными данными пользователей.
Как проверить наличие SSL-сертификата? Очень просто! Достаточно в браузерной строке перед адресом сайта кликнуть на изображение закрытого замочка, таким образом, можно увидеть информацию о сертификате: его тип, дату истечения и т.д.
Разница между протоколами HTTP и HTTPS
В процессе обмена данными в сети принято использовать протокол HTTP (HyperText Transfer Protocol — протокол передачи гипертекста). Все запросы пользователей отправляются на сервер, который возвращает ответы на них. Этот процесс обмена содержимым происходит при участии данного протокола.
Протокол HTTPS (HyperText Transfer Protocol Secure — защищенный протокол передачи гипертекста) — расширение вышеупомянутого протокола HTTP для поддержки шифрования в целях повышения безопасности. Принцип тот же, но с более сложным шифром. Перед установкой защищенного соединения идет запрос SSL-сертификата от браузера, который обращается к сертификационному центру для подтверждения законности документа. При подтверждении действительности документа каждый процесс обмена данными шифруется.
Какие сайты используют SSL?
Не секрет, что сайты, базирующиеся на финансовых операциях и обработке персональных данных пользователей, в первую очередь заинтересованы в приобретении SSL-сертификата. Какие же это сайты? В основном те, на которых проводятся банковские операции, купля/продажа, системы оплаты и др.
Чтобы достичь лидирующих позиций в поисковых выдачах, рекомендуется устанавливать SSL-сертификат с самого начала создания сайта. Если же случилось так, что он отсутствовал, не составит труда быстро его выпустить, однако поисковые системы обработают эту информацию только через несколько месяцев. На сегодняшний день установить SSL можно и бесплатно.
Виды SSL-сертификатов и кто их выдаёт?
Существует множество сертификационных центров (удостоверяющих центров). Наиболее часто встречаются именно эти: Symantec, Comodo, GlobalSign, Thawte, GeoTrust, DigiCert. Их суть в следующем: подтвердить при помощи сертификата электронной подписи подлинный ключ шифрования.
Есть такие проекты, как CloudFlare или Let’s Encrypt, где выпускаются сертификаты самостоятельно и бесплатно. Осуществляется выпуска на 3 месяца и далее его необходимо продлевать. Однако можно столкнуться с рядом нюансов при установке сертификата и дальнейшей его работе. Например, если выбрать сертификат Cloudflare, необходимо учесть, что он выдаётся сразу на десятки сайтов (до 50 сайтов), то есть защищается наряду с вашим доменом ещё ряд других, что понижает уровень безопасности. Отметим, что у Cloudflare отсутствует печать доверия (специфический символ, который позволяет пользователям видеть защищенное соединение с сайтом). У Let's Encrypt есть свои недостатки: поддерживаются далеко не все браузеры, нет гарантии того, что данные сайта будут в сохранности и также отсутствует печать доверия.
Выделяют следующие типы SSL-сертификатов:
- Подписанные (валидные) сертификационным центром. Сертификаты такого типа отображаются безошибочно во всех браузерах, а их данные проверены и подтверждены.
- Самоподписанные. В данном случае сертификаты подписаны самим сервером, где любой юзер может их сгенерировать самостоятельно. Однако по сути такие сертификаты могут корректно работать только на том компьютере, где были сгенерированы. В большинстве же браузеров будет отдаваться незащищенное соединение при посещении сайта.
Разница между двумя видами сертификатов очевидна: при использовании подписанных сертификатов отсутствуют сообщения о небезопасном соединении на сайте. В свою очередь, подписанные сертификаты делятся по типу валидации (проверке данных):
- Domain Validation (DV) — наиболее распространенный и простой тип сертификата. Для него не нужно подтверждение организации, шифруются лишь данные. Подходит как для физических, так и юридических лиц.
- Organization Validation (OV) — подтверждается не только домен, но и существование организации. Только юридические лица могут его использовать.
- Extended Validation (EV) — наивысший тип защиты, популярен в онлайн бизнесе. Чтобы его оформить необходимо пройти расширенную проверку. Подтверждается легальность организации и право обладания доменом.
Сертификаты также делятся по свойствам на:
- Обычные — автоматический выпуск. Идет подтверждение только домена, подходит для всех сайтов.
- SGC (Server Gated Cryptography) — поддерживают повышенный уровень шифрования.
- Wildcard — обеспечивают шифрование основного домена и всех его поддоменов. К примеру, если выпускать сертификат для домена test.ru, то для его поддоменов support.test.ru, info.test.ru и buh.test.ru он также будет работать.
- SAN (Subject Alternate Name) — используются для нескольких разных доменов на одном сервере. Например, test.ru, info.com, buh.su.
- EV (Extended Validation) — расширенная проверка с зеленой строкой в браузере. Доступны для юридических лиц, коммерческих и некоммерческих или государственных организаций.
Какой SSL-сертификат выбрать?
Мы разобрались с понятием SSL-сертификата, разницей между протоколами, разновидностями сертификатов и для каких сайтов они выпускаются. Так какой сертификат все же выбрать?
С таким широким и разнообразным ассортиментом сертификатов можно легко растеряться. Чтобы выбрать оптимальный вариант для определенного сайта, нужно руководствоваться вариантами, которые предлагаются сертификационными центрами, выделяя следующие пункты:
- Совместимость с популярными браузерами
- Уровень защиты данных пользователя
- Масштабность проводимой проверки организации
- Наличие печати доверия
Например, если необходимо избавиться от постоянных напоминаний от незащищенного соединения, достаточно будет выпустить простой DV сертификат. Если у вас интернет-сайт, на котором проводятся финансовые операции, которые требуют повышенного обеспечения безопасности данных, можно рассмотреть вариант с EV сертификатом. Для нескольких адресов сайта подойдут сертификаты Wildcard или SAN.
Зачем устанавливать SSL-сертификат?
Мы выделили 4 основные причины установки SSL-сертификата:
- Безопасность данных. Это, пожалуй, самая основная причина. Конечно, использование только лишь сертификата не является панацеей от взломов сайтов, однако значительно снижает появление уязвимостей в них.
- Уровень доверия к сайтам. Каждый пользователь отдаст предпочтение сайту, который защищен. Важно знать, что он и его данные в безопасности.
- Поддержка платежных систем. Если ваши сайты работают со сторонними платежными сервисами, установка SSL-сертификата крайне необходима.
- Рейтинг в поисковых выдачах.
