Certyfikaty bezpieczeństwa stron mają kilka różnych nazw i stąd bierze się większość zamieszania. Certyfikat bezpieczeństwa strony to to samo co certyfikat SSL, certyfikat TLS albo to, co umieszcza kłódkę w pasku adresu przeglądarki. Różne określenia, ten sam element. Gdy to do Ciebie dotrze, wszystko inne o certyfikatach bezpieczeństwa stron staje się dużo prostsze.
Kłódka w pasku adresu przeglądarki, HTTPS na początku adresu strony, ostrzeżenie „Niezabezpieczona” na stronach, które go nie mają: to wszystko prowadzi do jednej rzeczy, czyli certyfikatu bezpieczeństwa strony. Pełne wyjaśnienie, jak to się łączy z szerszym tematem dbania o bezpieczeństwo strony, znajdziesz w artykule o tym, dlaczego bezpieczeństwo strony jest ważne.
Czym jest certyfikat bezpieczeństwa strony?
Certyfikat bezpieczeństwa strony to mały plik zainstalowany na serwerze WWW, który robi dwie rzeczy. Miesza dane wysyłane między przeglądarką odwiedzającego a Twoją stroną tak, żeby nikt inny nie mógł ich odczytać w drodze, i dowodzi, że Twoja strona jest tym, za co się podaje. Gdy obie te rzeczy są na miejscu, przeglądarka pokazuje w pasku adresu kłódkę i przedrostek HTTPS.
Co robi, prostymi słowami
- Gdy odwiedzający wypełnia formularz kontaktowy, loguje się lub wpisuje dane płatności, te informacje podróżują z jego przeglądarki na Twój serwer. Bez certyfikatu podróżują jako zwykły tekst, który mógłby odczytać każdy w tej samej sieci
- Z certyfikatem te same informacje są mieszane, zanim opuszczą przeglądarkę, i można je rozszyfrować dopiero po dotarciu na Twój serwer. Nikt po drodze nie może ich odczytać
- Certyfikat niesie też dowód, że Twoja domena należy do Ciebie, co mówi przeglądarce, że rozmawia z prawdziwą stroną, a nie z podróbką
Różne nazwy, pod którymi występuje
- Certyfikat SSL to najczęstsze określenie. SSL to skrót od Secure Sockets Layer, czyli pierwotnej nazwy tej technologii. Formalnie zastąpiła ją nowsza wersja o nazwie TLS (Transport Layer Security), ale prawie wszyscy nadal używają określenia SSL
- Certyfikat TLS oznacza to samo pod zaktualizowaną nazwą. Jeśli ktoś mówi o certyfikacie TLS, ma na myśli ten sam element co certyfikat SSL
- Certyfikat HTTPS bywa używany potocznie, bo HTTPS to widoczny znak, że certyfikat jest na miejscu
- Certyfikat bezpieczeństwa strony to wersja prostym językiem, używana przy wyjaśnianiu komuś bez technicznego tła
- Wszystkie te nazwy wskazują to samo. Sam certyfikat nie zmienia się w zależności od tego, jak go nazwiesz
Dokładniejszy opis tego, jak certyfikaty SSL działają technicznie, znajdziesz w artykule o tym, czym jest certyfikat SSL i jak działa.
Co potwierdza certyfikat bezpieczeństwa strony
Własność domeny
Podstawowy certyfikat bezpieczeństwa strony, zwany certyfikatem z walidacją domeny, potwierdza jedno: że ten, kto zainstalował certyfikat, zarządza domeną. Urząd certyfikacji (firma wydająca certyfikat) sprawdza, że jesteś właścicielem domeny, zanim wyda certyfikat. Kłódka widoczna w pasku adresu oznacza, że ta kontrola się powiodła.
To typ certyfikatu, który sprawdza się na ogromnej większości stron. Korzystają z niego strony firmowe, blogi, portfolia, strony usługowe i sklepy internetowe. Jest darmowy, na większości platform konfiguruje się go w kilka minut i zapewnia taki sam poziom ochrony danych jak droższe typy certyfikatów.
Tożsamość organizacji
Certyfikaty wyższego poziomu idą dalej. Certyfikat z walidacją organizacji lub rozszerzoną walidacją wymaga, żeby urząd certyfikacji zweryfikował prawną tożsamość firmy stojącej za stroną, a nie tylko to, że ktoś zarządza domeną.
Banki, strony rządowe i duże platformy finansowe zwykle ich używają, bo ich odwiedzający muszą zobaczyć zweryfikowany dowód, kto prowadzi stronę. Dla standardowej strony firmowej certyfikaty wyższego poziomu nie są konieczne. Szyfrowanie jest identyczne. Jedyna różnica to to, ile informacji o organizacji zweryfikował wystawca.
Jak poznać, że strona ma certyfikat bezpieczeństwa
Kłódka w pasku adresu
Każda duża przeglądarka pokazuje ikonę kłódki w pasku adresu, gdy strona ma zainstalowany ważny certyfikat bezpieczeństwa. Kliknięcie kłódki pokazuje szczegóły certyfikatu, w tym kto go wystawił i kiedy wygasa. Brak kłódki oznacza brak ważnego certyfikatu.
HTTPS w adresie
Litera S w HTTPS oznacza „secure”, czyli bezpieczny. Pojawia się w pasku adresu tylko wtedy, gdy jest ważny certyfikat, a połączenie między przeglądarką a serwerem jest szyfrowane. Strona pod adresem zaczynającym się od zwykłego HTTP nie ma aktywnego certyfikatu, nawet jeśli kiedyś go zainstalowano. Pełne wyjaśnienie, co znaczy HTTPS i jak chroni odwiedzających, znajdziesz w artykule o tym, czym jest HTTPS i jak chroni Twoją stronę.
Co dzieje się na stronach bez certyfikatu
- Przeglądarki wyświetlają w pasku adresu ostrzeżenie „Niezabezpieczona” na każdej stronie serwowanej przez zwykłe HTTP
- Na stronach z polami logowania lub formularzami niektóre przeglądarki pokazują wyraźniejsze ostrzeżenie, że połączenie nie jest prywatne
- Odwiedzający, którzy widzą takie ostrzeżenia, zwłaszcza na stronie proszącej o ich dane, znacznie rzadziej idą dalej
- Wyszukiwarki używają HTTPS jako sygnału rankingowego. Strona bez ważnego certyfikatu jest w gorszej sytuacji w wynikach niż równoważne strony, które go mają
Dlaczego każda strona potrzebuje certyfikatu bezpieczeństwa
Zaufanie odwiedzających
Kłódka stała się podstawowym sygnałem, że z witryny można bezpiecznie korzystać. Odwiedzający, którzy robią zakupy online, wypełniają formularze lub logują się na konta, nauczyli się jej szukać. Strona bez niej nie tylko wygląda na mniej bezpieczną. Wygląda, jakby w ogóle nie zadbano o bezpieczeństwo, a z tego wrażenia trudniej się wydostać, niż spodziewa się większość właścicieli stron.
Na stronach z formularzami kontaktowymi, logowaniem do kont lub jakimkolwiek zamówieniem brak HTTPS to bezpośredni powód, żeby odwiedzający się zatrzymali i wyszli. Certyfikat nie tylko chroni dane. Zatrzymuje ludzi na stronie.
Pozycje w wyszukiwarce
Wyszukiwarki traktują HTTPS jako sygnał rankingowy. Strony serwowane przez HTTPS mają przewagę nad stronami serwowanymi przez zwykłe HTTP, gdy wszystko inne jest równe. Przy konkurencyjnych frazach ta przewaga może realnie zmienić, gdzie strona się pojawi. Strona bez certyfikatu nie spełnia też standardów doświadczenia na stronie, których wyszukiwarki używają w ocenie rankingowej.
Ochrona danych
Każda strona, która zbiera informacje od odwiedzających, przez formularz kontaktowy, logowanie lub zamówienie, przetwarza dane osobowe. Bez certyfikatu te dane podróżują przez sieć jako zwykły tekst. Certyfikat sprawia, że są mieszane, zanim opuszczą przeglądarkę, więc nie można ich odczytać, jeśli zostaną przechwycone po drodze.
W wielu krajach zbieranie danych osobowych bez podstawowych zabezpieczeń naraża właściciela strony na ryzyko prawne. Certyfikat bezpieczeństwa strony to podstawowy środek ochrony danych w drodze i spełnienia minimalnego standardu oczekiwanego przez przepisy o ochronie danych.
Jak zdobyć certyfikat bezpieczeństwa strony
Przez dostawcę hostingu
Wiele zarządzanych platform hostingowych i kreatorów stron zawiera certyfikat bezpieczeństwa strony w każdym planie. Wtedy certyfikat jest zwykle instalowany automatycznie po podłączeniu strony lub domeny. Nic nie trzeba kupować ani osobno konfigurować.
Jeśli już hostujesz stronę i nie masz pewności, czy certyfikat jest na miejscu, wejdź na stronę i sprawdź, czy adres zaczyna się od HTTPS i czy widać kłódkę. Jeśli tak, certyfikat jest już aktywny. Jeśli nie, sprawdź panel hostingu lub skontaktuj się z dostawcą, żeby dowiedzieć się, czy certyfikat jest w zestawie, czy trzeba go dodać.
Zdobycie go osobno
Darmowe certyfikaty bezpieczeństwa stron są dostępne u zaufanych urzędów certyfikacji dla stron na hostingu zarządzanym samodzielnie. Weryfikacja jest zautomatyzowana i trwa kilka minut. Certyfikat jest ważny 90 dni i można ustawić jego automatyczne odnawianie, żeby nie wygasł bez ostrzeżenia.
Dostępne są też certyfikaty płatne, zwykle z dłuższym okresem ważności. W przypadku standardowego certyfikatu z walidacją domeny darmowa opcja jest równoważna pod każdym istotnym względem. Płatna droga jest bardziej istotna dla certyfikatów z walidacją organizacji lub rozszerzoną, które wymagają ręcznej weryfikacji tożsamości.
Wskazówki krok po kroku, jak zdobyć i zainstalować certyfikat, znajdziesz w artykule o tym, jak zdobyć certyfikat SSL dla swojej strony.
Jak WEMASY obsługuje certyfikaty bezpieczeństwa stron
Certyfikaty SSL są częścią każdego planu WEMASY i stosowane automatycznie. Gdy strona powstaje lub podłączana jest własna domena, certyfikat jest wydawany i instalowany bez żadnych działań ze strony właściciela. Nie ma nic do kupowania, nic do konfigurowania i żadnego odnawiania do pilnowania.
Wszystkie strony w WEMASY od pierwszego dnia działają domyślnie na HTTPS. Ostrzeżenia o treści mieszanej nie są problemem, bo wszystkie zasoby serwowane przez platformę używają HTTPS. Przekierowania z HTTP na HTTPS działają na poziomie platformy, więc odwiedzający zawsze trafiają do bezpiecznej wersji strony, bez względu na to, jak do niej dotrą.
Zobacz, co jest w zestawie, na stronie kreatora stron WEMASY albo sprawdź plany na stronie z cennikiem.
Najczęściej zadawane pytania
Czym jest certyfikat bezpieczeństwa strony?
Certyfikat bezpieczeństwa strony to plik zainstalowany na serwerze WWW, który robi dwie rzeczy: miesza dane wysyłane między przeglądarką odwiedzającego a stroną, żeby nie można ich było odczytać w drodze, i dowodzi, że strona jest tym, za co się podaje. Gdy ważny certyfikat jest na miejscu, przeglądarki pokazują w pasku adresu kłódkę, a adres strony zaczyna się od HTTPS. To to samo co certyfikat SSL, certyfikat TLS lub certyfikat HTTPS, tylko opisane innymi nazwami. W kreatorze stron WEMASY możesz to ustawić bezpośrednio na swojej stronie.
Czy certyfikat bezpieczeństwa strony to to samo co certyfikat SSL?
Tak. Certyfikat SSL, certyfikat TLS, certyfikat HTTPS i certyfikat bezpieczeństwa strony oznaczają to samo. SSL (Secure Sockets Layer) to starsza nazwa tej technologii. TLS (Transport Layer Security) to zaktualizowana wersja, która ją zastąpiła. Określenie SSL się przyjęło, więc większość ludzi i dostawców nadal go używa, mimo że obecnym standardem jest TLS. Bez względu na nazwę sam certyfikat działa tak samo i pełni to samo zadanie.
Czy moja strona potrzebuje certyfikatu bezpieczeństwa?
Tak. Potrzebuje go każda publicznie dostępna strona, nie tylko te, które przetwarzają płatności lub obsługują wrażliwe dane. Przeglądarki wyświetlają ostrzeżenie „Niezabezpieczona” na stronach bez certyfikatu, co obniża zaufanie odwiedzających i może powstrzymać ludzi przed wypełnieniem formularzy lub dalszym przeglądaniem. HTTPS jest też potwierdzonym sygnałem rankingowym, więc strony bez certyfikatu są w gorszej sytuacji w wynikach wyszukiwania. Każda strona zbierająca informacje od odwiedzających przez formularze, logowania lub komentarze powinna mieć certyfikat jako minimum.
Skąd mam wiedzieć, czy moja strona ma certyfikat bezpieczeństwa?
Wejdź na swoją stronę i spójrz na pasek adresu. Jeśli adres zaczyna się od HTTPS i widać ikonę kłódki, ważny certyfikat jest na miejscu. Jeśli adres zaczyna się od zwykłego HTTP albo przeglądarka pokazuje etykietę „Niezabezpieczona”, certyfikatu brakuje albo nie jest poprawnie ustawiony. Kliknięcie kłódki pokazuje szczegóły certyfikatu, w tym kto go wystawił i kiedy wygasa.
Jak zdobyć certyfikat bezpieczeństwa strony?
Najpierw sprawdź swój plan hostingowy. Wielu dostawców hostingu i kreatorów stron zawiera certyfikat automatycznie. Jeśli Twój hosting go zawiera, certyfikat może już być zainstalowany. Jeśli nie, darmowe certyfikaty z walidacją domeny są dostępne u zaufanych urzędów certyfikacji i można je ustawić w kilka minut. Przewodnik krok po kroku, jak zdobyć i zainstalować certyfikat, znajdziesz w artykule o tym, jak zdobyć certyfikat SSL dla swojej strony.
Co się stanie, jeśli certyfikat bezpieczeństwa mojej strony wygaśnie?
Przeglądarki od razu pokazują ostrzeżenie na całym ekranie, gdy certyfikat strony wygasł. Odwiedzający widzą komunikat, że połączenie nie jest prywatne, i większość nie idzie dalej. Strona jest w praktyce niedostępna dla większości odwiedzających, dopóki certyfikat nie zostanie odnowiony. Ustawienie automatycznego odnawiania całkowicie temu zapobiega. Na zarządzanych platformach hostingowych odnawianie odbywa się automatycznie. Na serwerach zarządzanych samodzielnie skonfigurowanie automatycznego odnawiania przy pierwszym ustawieniu certyfikatu to najpewniejszy sposób, żeby uniknąć niezauważonego wygaśnięcia.