Kłódka w pasku adresu przeglądarki to jeden z najbardziej rozpoznawalnych symboli w sieci. Umieszcza ją tam certyfikat SSL, a jego działanie sięga dalej, niż zdaje sobie sprawę większość odwiedzających. Decyduje o tym, czy dane wysyłane przez Twoją stronę podróżują zaszyfrowane, czy jako zwykły tekst, który może odczytać każdy, kto przechwyci połączenie. Zrozumienie, jak działa SSL i gdzie ma ograniczenia, zmienia podejście do ochrony odwiedzających.
SSL to technologia, na której opiera się HTTPS. Gdy przeglądarka odwiedzającego łączy się ze stroną z ważnym certyfikatem SSL, ustanawia zaszyfrowane połączenie, zanim wymieni jakiekolwiek dane. Ikona kłódki, przedrostek HTTPS w pasku adresu i brak ostrzeżenia „Niezabezpieczona” pojawiają się dzięki temu, że certyfikat jest obecny i ważny. Dlaczego bezpieczeństwo ma znaczenie na całej stronie, wyjaśnia artykuł o tym, dlaczego bezpieczeństwo strony jest ważne.
Co tak naprawdę robi certyfikat SSL?
Certyfikat SSL pełni jednocześnie dwie różne funkcje. Szyfruje dane w drodze i potwierdza tożsamość strony.
Szyfrowanie
- Szyfrowanie oznacza, że wszystkie dane wysyłane między przeglądarką a serwerem są podczas przesyłania zamieniane w nieczytelną postać
- Tylko zamierzony odbiorca, przeglądarka lub serwer, ma klucz do ich odszyfrowania
- Bez szyfrowania wysyłane formularze, dane logowania i dane płatności podróżują przez sieci jako zwykły tekst, który można odczytać po przechwyceniu
Uwierzytelnianie
- Certyfikat SSL wydaje urząd certyfikacji, niezależna organizacja, która weryfikuje tożsamość strony przed wydaniem certyfikatu
- Ta weryfikacja potwierdza, że domeną objętą certyfikatem zarządza organizacja, która twierdzi, że jest jej właścicielem
- Gdy przeglądarka sprawdza certyfikat, potwierdza zarówno to, że połączenie jest szyfrowane, jak i to, że strona jest tą, za którą się podaje, a nie oszustem
Jak działa szyfrowanie SSL?
Szyfrowanie odbywa się automatycznie i niezauważalnie w chwili, gdy przeglądarka łączy się ze stroną. Obejmuje ciąg kroków zwany uzgadnianiem TLS. TLS, czyli Transport Layer Security, to nowoczesna nazwa protokołu, który pierwotnie nazywał się SSL.
Kolejność nawiązywania połączenia
- Przeglądarka prosi o bezpieczne połączenie, a serwer odpowiada, wysyłając swój certyfikat SSL
- Przeglądarka weryfikuje certyfikat w urzędzie certyfikacji, który go wydał, i potwierdza, że jest ważny i nie wygasł
- Obie strony uzgadniają metodę szyfrowania i wymieniają klucze, tworząc bezpieczny kanał
- Wszystkie dane przesyłane od tej chwili są szyfrowane przez cały czas trwania sesji
Co chroni szyfrowanie
- Dane z formularza kontaktowego, w tym imiona, adresy e-mail i wiadomości
- Dane logowania, w tym nazwy użytkowników i hasła
- Dane kart płatniczych i informacje rozliczeniowe
- Wszelkie inne dane, które odwiedzający wpisuje na Twojej stronie
Czego SSL nie chroni
- SSL szyfruje dane w drodze. Nie chroni danych, które po otrzymaniu są niezabezpieczone na serwerze
- Strona z certyfikatem SSL nadal może zostać zhakowana, jeśli sam serwer ma luki w zabezpieczeniach
- SSL to jedna warstwa bezpieczeństwa strony, a nie kompletne rozwiązanie
Jakie są rodzaje certyfikatów SSL?
Certyfikaty SSL różnią się poziomem weryfikacji tożsamości, którą urząd certyfikacji przeprowadza przed ich wydaniem.
Walidacja domeny
- Urząd certyfikacji potwierdza tylko, że wnioskodawca zarządza domeną
- Proces jest zautomatyzowany, a certyfikaty wydawane szybko
- Certyfikaty z walidacją domeny wystarczają dla blogów, stron informacyjnych i większości stron, które nie przetwarzają płatności bezpośrednio na stronie
Walidacja organizacji
- Urząd certyfikacji weryfikuje zarówno domenę, jak i prawne istnienie organizacji, która wnioskuje o certyfikat
- Certyfikaty z walidacją organizacji częściej wybierają firmy, które chcą pokazywać zweryfikowane informacje o organizacji przy certyfikacie
Rozszerzona walidacja
- Certyfikaty z rozszerzoną walidacją wymagają najdokładniejszej weryfikacji tożsamości, w tym kontroli prawnej, fizycznej i operacyjnej organizacji
- Dawniej wiązały się z zielonym paskiem adresu w przeglądarkach, ale to wizualne wyróżnienie usunięto we współczesnych przeglądarkach
- Certyfikaty z rozszerzoną walidacją zwykle stosują instytucje finansowe i duże platformy handlu internetowego
Certyfikaty wildcard i wielodomenowe
- Certyfikat wildcard obejmuje domenę i wszystkie jej subdomeny jednym certyfikatem
- Certyfikat wielodomenowy obejmuje kilka osobnych domen jednym certyfikatem
- Są praktyczne dla organizacji zarządzających wieloma stronami lub subdomenami bez wydawania osobnego certyfikatu dla każdej
Czy każda strona potrzebuje certyfikatu SSL?
Tak. Potrzeba HTTPS nie ogranicza się do stron, które przyjmują płatności lub obsługują wrażliwe dane. Dotyczy każdej publicznie dostępnej strony z trzech powodów.
Ostrzeżenia przeglądarki
- Przeglądarki wyświetlają w pasku adresu etykietę „Niezabezpieczona” dla każdej strony serwowanej przez HTTP
- Na stronach z formularzami niektóre przeglądarki pokazują wyraźne ostrzeżenie, zanim odwiedzający cokolwiek wyśle
- Takie ostrzeżenia obniżają zaufanie i zniechęcają odwiedzających do korzystania ze strony
Pozycje w wyszukiwarce
- HTTPS jest potwierdzonym sygnałem rankingowym. Strony serwowane przez HTTPS mają przewagę w rankingu nad równoważnymi stronami serwowanymi przez HTTP
- Wyszukiwarki obniżają też widoczność stron z aktywnymi ostrzeżeniami o bezpieczeństwie w wynikach
Ochrona danych odwiedzających
- Nawet strona, która ma tylko formularz kontaktowy, zbiera dane odwiedzających. Bez HTTPS te dane są przesyłane bez szyfrowania
- W wielu regionach przepisy o ochronie danych wymagają bezpiecznego obchodzenia się z danymi osobowymi, co obejmuje ich ochronę podczas przesyłania
Jak zdobyć certyfikat SSL?
Przez dostawcę hostingu
- Wielu dostawców hostingu zawiera certyfikaty SSL w swoich pakietach
- W takich przypadkach certyfikat jest instalowany i odnawiany automatycznie, bez żadnych działań właściciela strony
- To najprostsza opcja dla większości stron
Przez urząd certyfikacji
- Certyfikaty SSL można uzyskać bezpośrednio od urzędów certyfikacji i zainstalować na serwerze ręcznie
- Darmowe certyfikaty oferują powszechnie zaufane urzędy certyfikacji, a odnawiane są automatycznie za pomocą narzędzi weryfikacyjnych
- Ta opcja wymaga więcej wiedzy technicznej i jest częstsza w zespołach programistów, które same zarządzają serwerami
Po uzyskaniu certyfikatu
- Po zainstalowaniu certyfikatu wszystkie linki wewnętrzne i odwołania do zasobów na stronie powinny wskazywać adresy HTTPS, żeby uniknąć ostrzeżeń o treści mieszanej
- Należy skonfigurować przekierowanie z HTTP na HTTPS, żeby odwiedzający, którzy trafią na wersję HTTP, byli automatycznie kierowani do wersji bezpiecznej
Pełne wyjaśnienie, co znaczy HTTPS i jak wpływa na odwiedzających i pozycje, znajdziesz w artykule o tym, czym jest HTTPS i jak chroni Twoją stronę. Pełny przewodnik po ochronie strony poza samym certyfikatem znajdziesz w artykule o tym, jak chronić stronę przed hakerami. O kopiach zapasowych jako uzupełniającym zabezpieczeniu przeczytasz w artykule o tym, jak tworzyć kopie zapasowe strony.
Jak WEMASY obsługuje certyfikaty SSL
Certyfikaty SSL są częścią każdego planu WEMASY. Gdy strona powstaje na platformie WEMASY, certyfikat jest instalowany i aktywowany automatycznie. Wszystkie podstrony są domyślnie serwowane przez HTTPS, bez żadnej konfiguracji ze strony właściciela.
Certyfikaty są odnawiane automatycznie przed wygaśnięciem. Nie ma ręcznego odnawiania i nie grozi wygaśnięcie certyfikatu, które wywołałoby ostrzeżenia w przeglądarkach. Infrastrukturę SSL utrzymuje się na poziomie platformy, więc właściciele stron nie muszą zarządzać nią bezpośrednio.
Zobacz, co jest w zestawie, na stronie kreatora stron WEMASY albo sprawdź plany na stronie z cennikiem.
Najczęściej zadawane pytania
Czym jest certyfikat SSL?
Certyfikat SSL to plik cyfrowy zainstalowany na serwerze WWW, który umożliwia szyfrowane połączenia między serwerem a przeglądarkami odwiedzających. To dzięki niemu strona może używać HTTPS zamiast HTTP. Gdy przeglądarka odwiedzającego zweryfikuje ważny certyfikat SSL, ustanawia zaszyfrowany kanał, więc dane przesyłane podczas sesji nie mogą zostać odczytane po przechwyceniu w drodze. W kreatorze stron WEMASY możesz to ustawić bezpośrednio na swojej stronie.
Czy potrzebuję certyfikatu SSL dla mojej strony?
Tak. Każda publicznie dostępna strona potrzebuje certyfikatu SSL. Przeglądarki wyświetlają ostrzeżenie „Niezabezpieczona” na stronach bez niego, a HTTPS jest potwierdzonym sygnałem rankingowym dla wyszukiwarek. Nawet strona, która zbiera tylko wiadomości z formularza kontaktowego, przesyła dane odwiedzających, które powinny być chronione w drodze. Rodzaj wymaganego certyfikatu SSL zależy od celu strony, ale jakiś certyfikat jest potrzebny każdej stronie.
Jaka jest różnica między SSL a TLS?
TLS (Transport Layer Security) to nowoczesna, zaktualizowana wersja protokołu SSL (Secure Sockets Layer). SSL nie jest aktywnie używany od ponad dwóch dekad, ale to określenie wciąż jest powszechnie używane potocznie na technologię zabezpieczającą połączenia w sieci. Gdy ktoś mówi „certyfikat SSL”, prawie zawsze chodzi o certyfikat używający TLS. Protokół odpowiadający za szyfrowanie został zaktualizowany, ale sposób korzystania z samych certyfikatów nie zmienił się istotnie.
Co się stanie, jeśli mój certyfikat SSL wygaśnie?
Gdy certyfikat SSL wygaśnie, przeglądarki od razu wyświetlają odwiedzającym próbującym wejść na stronę ostrzeżenie na całym ekranie. Mówi ono, że połączenie nie jest prywatne, i zniechęca do przejścia dalej. Strona staje się w praktyce niedostępna dla każdego, kto zobaczy ostrzeżenie i nie zdecyduje się go ominąć. Wyszukiwarki mogą też obniżyć widoczność strony. Certyfikaty należy odnawiać przed wygaśnięciem, co większość dostawców hostingu i systemów zarządzania certyfikatami robi automatycznie.
Czy certyfikat SSL wpływa na wydajność strony?
Uzgadnianie TLS, które ustanawia zaszyfrowane połączenie, dodaje niewielką ilość czasu do początkowego połączenia. Na nowoczesnych serwerach i w sieciach ten narzut mierzy się zwykle w milisekundach i odwiedzający go nie zauważają. HTTP/2, który jest szeroko wspierany i wymaga HTTPS, może poprawić wydajność ładowania w porównaniu z HTTP/1.1, więc w praktyce dobrze skonfigurowana strona HTTPS często ładuje się szybciej niż jej odpowiednik HTTP.
Czy darmowy certyfikat SSL jest tak samo dobry jak płatny?
Pod względem szyfrowania darmowy certyfikat z walidacją domeny zapewnia ten sam poziom szyfrowania co płatny certyfikat na tym samym poziomie walidacji. Ikona kłódki i przedrostek HTTPS wyglądają w przeglądarce identycznie. Płatne certyfikaty z walidacją organizacji lub rozszerzoną walidacją oferują dodatkową weryfikację tożsamości, która może być istotna dla instytucji finansowych lub dużych platform handlu internetowego, gdzie ważne są zweryfikowane informacje o organizacji. Dla większości stron darmowy certyfikat w pełni wystarcza.