Что такое SSL-сертификат и зачем он моему сайту
- Что такое SSL-сертификат
- Зачем нужен SSL-сертификат
- Типы SSL-сертификатов
- Возможные ошибки при установке SSL
- Где можно получить SSL-сертификат
Любой пользователь может увидеть предупреждение от браузера, что сайт не защищён. Это предупреждение не говорит о мошеннической деятельности сайта, оно указывает на отсутствие SSL-сертификата на веб-ресурсе. В этой статье мы расскажем о SSL-сертификате: что это и для чего он нужен, а также что дает SSL-сертификат для сайта.
Что такое SSL-сертификат
В URL-адресе сайта можно встретить две разные аббревиатуры: HTTP и HTTPS. Это протоколы, которые обеспечивают передачу данных в сети. Они отличаются друг от друга степенью защиты соединения. В основе HTTPS лежит тот же HTTP, только вокруг соединения есть оболочка защиты, через которую злоумышленнику невозможно прорваться. Протокол HTTPS шифрует все данные криптографическим шифрованием.
Чтобы сайт работал по протоколу HTTPS, нужно установить SSL-сертификат – цифровую подпись сайта. SSL-сертификат ― это виртуальный документ, который гарантирует безопасный обмен данными на сайте и подтверждает, что сайт настоящий и не пренадлежит мошенникам.
Если подключение безопасно, то в адресной строке браузера отображается символ замка. URL-адрес сайта при этом начинается с https:
SSL протокол
Зачем нужен SSL-сертификат
Пользователи интернета регулярно оставляют на сайтах свои персональные данные: номер банковского счета или карты, номер телефона и адрес, юридические и медицинские документы и другую конфиденциальную информацию. Если сайт не защищен, этими данными могут воспользоваться мошенники.
Для чего необходим SSL-сертификат? Чтобы обеспечить безопасное соединение между браузером, через который пользователь заходит на сайт, и сервером, на котором этот сайт находится. С SSL-сертификатом сайт получает следующие преимущества:
- третьи лица не смогут перехватить данные и деньги пользователя;
- покупатели будут видеть защищённое соединение и не будут бояться оставлять личные данные и переводить деньги за товары. Использование SSL-сертификата показывает вашу заботу о клиентах;
- работа сайта по протоколу HTTPS улучшает позицию в ранжировании в поисковых системах. Ваш сайт будет выше в поиске, если на нём установлен SSL-сертификат.
Поэтому для сайтов с активным обменом данными (например, интернет-магазинов и корпоративных ресурсов) установка SSL — это необходимость.
Типы SSL-сертификатов
Сертификаты безопасности можно классифицировать по нескольким параметрам:
- кто выпустил сертификат,
- уровень проверки при выпуске сертификата.
Выпущенный SSL может быть:
- Самоподписанным, или самоизданным. Выпустить такой цифровой сертификат может любой пользователь. Однако он небезопасный и браузеры не дают заветного значка защищённого соединения. Самоподписанные сертификаты используются для тестирования сайтов и приложений. Также их создают для небольших сайтов, которые бессмысленно атаковать.
- Выпущенные официальными центрами сертификации. Такими центрами являются, например, Comodo, GlobalSign, GeoTrust, DigiCert, CloudFlare, LetsEncrypt. SSL от удостоверяющих центров может защитить передаваемые данные, а сайты с таким сертификатом отображаются в браузерах как безопасные.
Также Secure Sockets Layer отличаются по уровню проверки организации. Все они обеспечивают одинаковое защищённое соединение.
Есть следующие основные варианты сертификатов:
- Domain Validation (DV). Базовый уровень сертификата. Его может получить как физическое, так и юридическое лицо. При выпуске не нужно подтверждать существование организации. Этот вид самый дешёвый.
- Organization Validation (OV). Его могут получить только юридические лица. При выпуске нужно подтвердить существование организации. В некоторых браузерах будет отображаться название компании-владельца сайта, что ещё больше повысит доверие к ресурсу со стороны пользователей.
- Extended Validation (EV). Самый высокий уровень защиты. Он подходит для интернет-магазинов и веб-ресурсов с банковскими операциями. Чтобы его получить, нужно не только подтвердить существование организации, но и подтвердить легальность деятельности.
Сертификаты можно выбрать с опцией Wildcard — защитой поддоменов. Wildcard-сертификаты защищают не только основной домен, но и все его поддомены. Например, если вы выберите мультидоменный сертификат для mysite.ru (домена 2-го уровня), то он защитит все его поддомены — spasibo.mysite.ru, shop.mysite.ru (3-го уровня). Исключение составят поддомены 4-го уровня — test.shop.mysite.ru, test.spasibo.mysite.ru.
Чтобы понять, как происходит шифрование данных, вам сначала нужно узнать о нескольких видах ключей шифрования. Для HTTPS-соединения используют два вида шифрования:
- асимметричный,
- симметричный.
При выпуске SSL-сертификата создаётся два ключа: открытый (публичный) и закрытый (частный). Открытый ключ доступен любому. Закрытый известен только владельцу. Открытый ключ можно расшифровать только закрытым. Эти два ключа способствуют асимметричному шифрованию.
Также есть сеансовый ключ, который придумывают браузер и сервер при первом «знакомстве» друг с другом. Сеансовый ключ обеспечивает симметричное шифрование. Далее вы увидите, как эти ключи помогают зашифровать данные.
Теперь давайте по шагам разберём, что происходит с данными при наличии SSL-сертификата на сайте:
- Пользователь вводит URL или кликает на ссылку сайта.
- Браузер и сервер начинают устанавливать SSL-соединение. Для этого сервер отправляет общую информацию об SSL-сертификате и публичный ключ.
- Браузер проверяет подлинность сертификата в центре сертификации.
- Если всё в порядке, браузер генерирует сеансовый ключ и зашифровывает его публичным ключом, чтобы никто, кроме сервера, не смог его узнать, так как публичный ключ можно расшифровать только частным. Вся шифровка отправляется на сервер.
- Сервер расшифровывает публичный ключ с помощью частного ключа и сохраняет полученный сеансовый ключ.
- Теперь браузер и сервер работают по протоколу HTTPS. Только им обоим известен сеансовый ключ и они готовы к безопасной передаче данных пользователя.
- Пользователь отправляет сообщение.
- Браузер шифрует сообщение сеансовым ключом и отправляет на сервер.
- Сервер расшифровывает сообщение и начинает его обработку.
Каждый раз для соединения создаётся новый сеансовый ключ. Цепочка длинная, но в реальности проходит всего пару секунд.
Благодаря такой сложной схеме шифрования, никто не может прочитать сообщение. Даже если мошеннику удаётся перехватить данные, он не может расшифровать их, так как не знает сеансовый ключ. Например, при оплате покупки вы ввели номер карты и защитный номер на обороте. Отправили информацию на сервер. В процессе передачи мошенник перехватил сообщение, но прочитать, что там написано, он не может — перед ним набор символов, расшифровать которые можно только с помощью специального ключа.
Возможные ошибки при установке SSL
У SSL много плюсов, но если сайт долгое время работал по протоколу HTTP, при установке HTTPS может возникнуть проблема «mixed content» (смешанное содержимое). Эта ошибка не даёт создать безопасное соединение.
Из-за чего возникает эта ошибка? Чтобы весь сайт начал работать по защищённому соединению, владельцу сайта нужно перевести все внутренние HTTP-ссылки (http://) на HTTPS-ссылки (https://). Если сайт работал долгое время на безопасном соединении, в скриптах сайта или в базе данных могут остаться ссылки с http://, которые забыли обновить. Именно эти старые ссылки будут мешать работе всего сайта. Решение этой проблемы простое: нужно найти ссылки http:// и поменять их на https://.
Где можно получить SSL-сертификат
Сертификат можно заказать у любого хостинг-провайдера, например, 2DOMAINS. Выбирать сертификат удобнее всего у того же регистратора, который предоставляет вам услугу хостинга или домен. Чтобы выбрать и заказать SSL на сайте 2domains, используйте инструкцию Тарифы сертификатов. Как купить SSL.
