Gdy ktoś wysyła formularz na stronie z HTTP (a nie HTTPS), jego dane podróżują przez internet jawnym tekstem. Każdy w sieci między nim a Twoim serwerem może zobaczyć, co wpisał, w tym hasła, numery kart kredytowych i adresy e-mail. To nie jest teoria. Narzędzia do podsłuchiwania pakietów są ogólnie dostępne, a atakujący aktywnie przechwytują niezaszyfrowane zgłoszenia z formularzy.
Szyfrowanie SSL/TLS to technologia, która chroni dane z formularza w drodze z przeglądarki odwiedzającego na Twój serwer. To najbardziej podstawowa forma bezpieczeństwa formularzy i nie podlega negocjacjom.
Czego się dowiesz: jak działa szyfrowanie HTTPS, czym różnią się SSL i TLS, czym jest certyfikat SSL i dlaczego go potrzebujesz, jak sprawdzić, czy formularz jest prawidłowo zaszyfrowany, i co zrobić, gdy HTTPS nie działa.
Czym jest HTTPS i jak szyfruje dane?
HTTPS to bezpieczna wersja HTTP (Hypertext Transfer Protocol). Litera „S" oznacza Secure (bezpieczny). HTTPS używa SSL/TLS (Secure Sockets Layer / Transport Layer Security) do szyfrowania wszystkich danych wysyłanych między odwiedzającym a Twoim serwerem.
Oto, co dzieje się, gdy odwiedzający wysyła formularz przez HTTPS:
- Odwiedzający wypełnia i wysyła formularz. Jego przeglądarka zbiera dane.
- Przeglądarka nawiązuje szyfrowane połączenie. Kontaktuje się z Twoim serwerem i weryfikuje certyfikat SSL (więcej o tym niżej).
- Obie strony uzgadniają ustawienia szyfrowania. Negocjują najsilniejsze dostępne szyfrowanie, które obie obsługują.
- Wszystkie dane są szyfrowane przed wysłaniem. Dane z formularza są zaszyfrowane przy użyciu uzgodnionego szyfrowania.
- Twój serwer odbiera zaszyfrowane dane. Używa swojego klucza prywatnego, aby je odszyfrować i odczytać.
Dla każdego, kto podsłuchuje sieć, dane wyglądają jak losowe znaki. Nie może ich odczytać bez klucza szyfrowania, który ma tylko Twój serwer.
Różnica między SSL a TLS
SSL (Secure Sockets Layer) i TLS (Transport Layer Security) to powiązane technologie, które robią to samo. SSL był pierwotnym standardem, po raz pierwszy wydanym w 1995 roku. TLS to nowoczesna, ulepszona wersja, która go zastąpiła.
- SSL 3.0: ostatnia wersja SSL, wydana w 1996 roku. Przestarzała i już niebezpieczna.
- TLS 1.0: pierwsza wersja TLS, wydana w 1999 roku. Nadal działa, ale jest starsza.
- TLS 1.2: wydana w 2008 roku. Nadal szeroko używana i uważana za bezpieczną.
- TLS 1.3: wydana w 2018 roku. Obecny standard, szybszy i bezpieczniejszy.
Nowoczesne przeglądarki i serwery używają TLS 1.2 lub TLS 1.3. Gdy ludzie mówią „certyfikat SSL", zwykle mają na myśli certyfikat używany do szyfrowania TLS. Terminy te są często używane zamiennie, ale TLS to faktyczna technologia używana dziś.
Czym jest certyfikat SSL?
Certyfikat SSL to plik cyfrowy, którego Twój serwer używa do potwierdzenia swojej tożsamości i nawiązania szyfrowanego połączenia. Zawiera:
- Twoją domenę: dla jakiej domeny certyfikat jest ważny (www.example.com)
- Informacje o Twojej organizacji: nazwę firmy, adres itd.
- Klucz publiczny: używany przez przeglądarki odwiedzających do szyfrowania danych
- Podpis cyfrowy: dowód, że zaufany urząd zweryfikował ten certyfikat
- Datę ważności: kiedy certyfikat wygasa i trzeba go odnowić
Certyfikat jest jak cyfrowy dowód tożsamości potwierdzający, że Twój serwer jest wiarygodny.
Jak weryfikowane są certyfikaty SSL
Gdy odwiedzający wchodzi na Twoją stronę HTTPS, jego przeglądarka sprawdza certyfikat SSL, by upewnić się, że jest prawidłowy:
- Twój serwer wysyła swój certyfikat. Przeglądarka go otrzymuje.
- Przeglądarka sprawdza podpis cyfrowy. Czy ten certyfikat jest podpisany przez zaufany urząd certyfikacji?
- Przeglądarka weryfikuje domenę. Czy certyfikat pasuje do domeny, którą odwiedza użytkownik?
- Przeglądarka sprawdza datę ważności. Czy certyfikat jest nadal ważny?
Jeśli którakolwiek z tych kontroli się nie powiedzie, przeglądarka pokazuje ostrzeżenie. Jeśli wszystko przejdzie, przeglądarka wyświetla ikonę kłódki (lub wskaźnik bezpieczeństwa), informując odwiedzającego, że połączenie jest szyfrowane, a strona wiarygodna.
Rodzaje certyfikatów SSL
Certyfikaty z weryfikacją domeny (DV)
Podstawowy certyfikat. Urząd certyfikacji sprawdza, że jesteś właścicielem domeny, ale nie weryfikuje Twojej organizacji. Najtańsza opcja. Dobra dla większości formularzy.
Certyfikaty z weryfikacją organizacji (OV)
Urząd weryfikuje zarówno domenę, jak i dane Twojej organizacji. Droższe niż DV, dają więcej zaufania. Przeglądarka pokazuje nazwę Twojej organizacji w szczegółach certyfikatu.
Certyfikaty z rozszerzoną weryfikacją (EV)
Urząd przeprowadza obszerną weryfikację, w tym kontrole prawne. Najdroższe. Pokazują nazwę organizacji bezpośrednio w pasku adresu przeglądarki. Używane głównie przez instytucje finansowe i strony o wysokim poziomie bezpieczeństwa.
Certyfikaty wildcard
Ważne dla domeny i wszystkich jej subdomen (np. wildcard dla *.example.com obejmuje mail.example.com, blog.example.com itd.). Przydatne, jeśli masz wiele subdomen z formularzami.
Certyfikaty wielodomenowe (SAN)
Ważne dla wielu różnych domen w jednym certyfikacie. Przydatne, jeśli prowadzisz wiele stron z formularzami.
Jak zdobyć certyfikat SSL
Urzędy certyfikacji
Certyfikaty kupujesz od urzędów certyfikacji (CA), takich jak:
- Duzi komercyjni dostawcy certyfikatów
- Rejestratorzy domen, którzy odsprzedają certyfikaty
- Wyspecjalizowani dostawcy certyfikatów dla firm
- Bezpłatne urzędy certyfikacji (szeroko używane)
Ceny wahają się od zera (bezpłatne urzędy certyfikacji) do setek dolarów rocznie (certyfikaty EV).
Przez hosting strony
Większość nowoczesnych hostingów (w tym WEMASY) automatycznie zawiera certyfikaty SSL. Nie musisz ich osobno kupować ani nimi zarządzać. Odnawiają je automatycznie.
Instalacja i odnawianie
Certyfikaty SSL wygasają i trzeba je odnawiać. Większość hostingów robi to automatycznie. Od czasu do czasu sprawdzaj datę ważności certyfikatu, by upewnić się, że jest nadal ważny. Jeśli wygaśnie, Twoja strona pokaże ostrzeżenie o bezpieczeństwie, a odwiedzający mogą jej nie ufać.
Sprawdzanie, czy formularz jest prawidłowo zaszyfrowany
Sprawdź adres URL
Strona z formularzem powinna używać HTTPS, a nie HTTP. Sprawdź pasek adresu.
DOBRZE: https://www.example.com/contact
ŹLE: http://www.example.com/contact
Poszukaj wskaźnika bezpieczeństwa
W nowoczesnych przeglądarkach bezpieczne połączenie HTTPS pokazuje ikonę kłódki lub etykietę „Bezpieczne" w pasku adresu. Kliknij ją, by zobaczyć szczegóły certyfikatu.
Sprawdź ważność certyfikatu
Kliknij kłódkę i obejrzyj certyfikat. Zwróć uwagę na:
- Czy jest ważny dla Twojej domeny?
- Czy wygasł?
- Kto go wystawił (urząd certyfikacji)?
Użyj internetowego narzędzia do sprawdzania SSL
Internetowe narzędzia do sprawdzania SSL pozwalają wpisać domenę i otrzymać szczegółowy raport o konfiguracji SSL. Sprawdzają, czy używasz najnowszych standardów szyfrowania, i wskazują słabe punkty.
Częste problemy z HTTPS i SSL
Ostrzeżenie o mieszanej zawartości
Strona z formularzem używa HTTPS, ale część zasobów (obrazy, skrypty, arkusze stylów) jest ładowana przez HTTP. Przeglądarki ostrzegają odwiedzających, że strona nie jest w pełni bezpieczna. Napraw to, ładując wszystkie zasoby przez HTTPS.
Niedopasowanie certyfikatu
Certyfikat jest dla www.example.com, ale odwiedzający jest na example.com (bez www), lub odwrotnie. Przeglądarki pokazują ostrzeżenie o bezpieczeństwie. Napraw to certyfikatem wildcard albo przekierowaniem jednej wersji na drugą.
Wygasły certyfikat
Twój certyfikat wygasł i wymaga odnowienia. Przeglądarki pokazują wyraźne ostrzeżenie o bezpieczeństwie. Odwiedzający mogą nie ufać Twojemu formularzowi. Odnów certyfikat natychmiast.
Certyfikat z podpisem własnym
Twój serwer używa certyfikatu, który został stworzony samodzielnie, zamiast certyfikatu od zaufanego urzędu. Przeglądarki mu nie ufają i pokazują ostrzeżenie. Nigdy nie używaj certyfikatów z podpisem własnym w publicznych formularzach. Kup certyfikat od uznanego urzędu albo skorzystaj z niego.
HTTPS nie jest tylko dla formularzy
Każda strona w Twoim serwisie powinna używać HTTPS, nie tylko strony z formularzami. To chroni wszystkie dane odwiedzających i mówi Google, że Twoja strona jest bezpieczna. Przekierowuj cały ruch HTTP na HTTPS, aby odwiedzający zawsze byli chronieni.
Co WEMASY robi w zakresie szyfrowania SSL/TLS
Każda strona WEMASY i każdy formularz zbudowany w WEMASY domyślnie używa HTTPS. Twoje formularze automatycznie działają przez bezpieczne połączenia. WEMASY zarządza certyfikatami SSL za Ciebie, w tym automatycznym odnawianiem. Nigdy nie musisz kupować, instalować ani zarządzać certyfikatami. Szyfrowanie jest wbudowane i zawsze aktywne.
Dowiedz się więcej o ustawieniach bezpieczeństwa w ustawieniach konta albo na stronie z cennikiem.