Що таке SSL-сертифікат і як вебсайт працює з протоколом HTTPS?

Кожен вебсайт має префікс http:// у своїй адресі.

HTTP - це мережевий протокол (технічні правила), який дозволяє браузеру завантажувати вебсторінки. Дані, передані через протокол HTTP, не є безпечними, тобто вони не зашифровані.

HTTPS - це покращений протокол, який забезпечує більший захист даних.

Щоб переключити вебсайт зі стандартного протоколу HTTP на безпечний HTTPS, вам потрібен SSL-сертифікат.

Як працює протокол HTTPS?

Як вже згадувалося, HTTPS (HTTP Secure) - це розширення протоколу HTTP, яке використовує зашифроване з'єднання.

Ось як це працює:

1. Користувач вводить назву вебсайту в браузері.

2. Браузер "запитує" сервер, чи встановлено на вебсайті SSL-сертифікат.

3. У відповідь на запит браузера сервер надсилає копію SSL-сертифіката та публічний ключ.

4. Браузер перевіряє автентичність сертифіката, запитуючи інформацію про нього у сертифікаційного центру, який його видав.

5. Якщо інформація підтверджується, браузер генерує сесійний ключ, шифрує його отриманим публічним ключем і відправляє на сервер.

6. Сервер розшифровує це повідомлення і зберігає сесійний ключ.

7. Після цього встановлюється безпечне (зашифроване) з'єднання між сервером і браузером за допомогою протоколу HTTPS.

Чому протокол HTTPS необхідний?

Вебсайт може функціонувати з базовим протоколом HTTP. Відвідувачі матимуть доступ до всіх сторінок, зображень, відео тощо, але власники повинні враховувати вимоги пошукових систем і дбати про безпеку користувачів:

• Вебсайти з HTTPS матимуть кращу продуктивність у результатах пошукових систем;
• Небезпечно для користувачів вводити свої особисті дані (наприклад, паролі, номери банківських карток) на HTTP-сайтах, де зловмисникам легше викрасти дані.

Вебсайти, що працюють з безпечним протоколом HTTPS, важче зламати і вони безпечніші для користувачів.

Як структурований SSL-сертифікат?

SSL (Secure Sockets Layer) - це криптографічний протокол, призначений для безпечного обміну та зберігання інформації на вебсайтах.

Офіційні SSL-сертифікати розповсюджуються у вигляді набору текстових файлів - ключів. SSL-сертифікати відрізняються залежно від методу, який використовується для перевірки прав власника на їх видачу. Найпростіший варіант - це перевірка володіння доменом. Для більш складних типів сертифікатів, які захищають всю інфраструктуру компанії, потрібна перевірка інформації про компанію.

Цифровий сертифікат містить наступну інформацію:

• Призначення сертифіката - забезпечити безпечне з'єднання між браузером і сервером;
• Доменне ім'я, для якого видано SSL-сертифікат;
• Юридична особа, яка володіє сертифікатом;
• Фізичне місцезнаходження власника сертифіката (місто, країна);
• Дата видачі та дата закінчення терміну дії сертифіката;
• Назва сертифікаційного органу;
• Використовуваний алгоритм шифрування;
• Публічний ключ, який використовується сервером.

Ця інформація дозволяє браузеру клієнта:

1. Перевірити автентичність сертифіката.
2. Підтвердити, що він був виданий довіреною організацією спеціально для певного домену.
3. Зробити висновок, що з'єднання, встановлене з сервером, є безпечним.

Додаткові можливості

1. SSL-сертифікат може бути виданий для одного або кількох "дзеркал" доменного імені, наприклад, site.com і www.site.com.

2. Існують сертифікати, які, крім основного домену, захищають всі його піддомени - wildcard-сертифікати (subdomain1.site.com, subdomain2.site.com).

3. Спеціальна категорія SSL-сертифікатів - це багатодоменні сертифікати, які захищають кілька доменів одночасно.

Як переглянути інформацію про сертифікат

Якщо вебсайт використовує SSL-сертифікат, значок "замок" у адресному рядку браузера буде закритим. Якщо сертифіката немає, він буде відкритим.

Браузер надає користувачеві повну інформацію про SSL-сертифікат, який використовується на вебсайті.

1. Щоб переглянути цю інформацію в Google Chrome, натисніть на значок на початку адресного рядка браузера.

2. Виберіть "Сертифікат" з меню.

3. У відкритому вікні буде показана вся інформація про сертифікат:

• Для якого домену він був створений;
• Назва організації, яка видала сертифікат;
• Термін дії сертифіката.

4. Спеціалісти можуть переглянути додаткову технічну інформацію про сертифікат та організації, які брали участь у його видачі, на вкладках "Деталі" та "Шлях сертифікації".

Взаємодія з браузером

Браузери мають вбудовані сертифікати від усіх офіційних сертифікаційних органів:

• Verisign;
• NortonLifeLock (раніше Symantec Corporation);
• RapidSSL;
• Comodo;
• Let's Encrypt;
• та інші.

Браузер перевіряє, який сертифікаційний центр видав SSL-сертифікат, і перевіряє його автентичність за допомогою відповідного публічного ключа. Після успішної перевірки сертифіката встановлюється з'єднання з вебсайтом через HTTPS, а у випадку помилки браузер покаже користувачеві попередження, що вебсайт небезпечний.

Типи SSL-сертифікатів

Існує три типи SSL-сертифікатів.

• Платні офіційні сертифікати, видані одним з довірених центрів;
• Безкоштовні сертифікати від Let's Encrypt;
• Самопідписані (самосертифіковані) сертифікати.

Як отримати офіційний сертифікат для вебсайту

Для більшості вебсайтів достатньо SSL-сертифіката базового рівня з перевіркою домену (DV-сертифікати, від Domain Validation).

Видача таких сертифікатів займає всього кілька хвилин.

1. Відвідайте наш каталог і виберіть надійну компанію, яка пропонує SSL-сертифікати.
2. Зареєструйтеся на сайті компанії та надайте інформацію про себе.
3. Підтвердіть, що ви є власником домену.
4. Створіть запит на сертифікат.
5. SSL-сертифікат буде згенеровано автоматично.

Існує кілька способів підтвердження володіння доменом:

Перевірка через електронну пошту. Сертифікаційний центр надсилає вам електронний лист з підтвердженням, що містить посилання для підтвердження домену. Вони можуть надіслати цей лист на адресу, вказану в інформації про домен, або на одну з адрес, пов'язаних з конкретним доменом: admin@, administrator@, hostmaster@, postmaster@, webmaster@

Перевірка за допомогою DNS-запису. При цьому методі вам потрібно створити спеціальний запис у DNS-зоні домену, а потім програмне забезпечення сертифікаційного центру перевірить його наявність.

Перевірка через протокол HTTP. Організація, що видає сертифікат, надасть вам спеціальний файл з певною назвою та вмістом. Вам потрібно завантажити цей файл на свій вебсайт, після чого сертифікаційний центр перевірить його доступність через протокол HTTP і підтвердить можливість видачі сертифіката.

Офіційні SSL-сертифікати є платними. Такі сертифікати видаються на термін від 1 до 4 років. Вартість, залежно від терміну дії, починається від 3-5 USD.

Висновки

1. SSL-сертифікати забезпечують з'єднання між користувачем і сервером вебсайту за допомогою протоколу HTTPS, який є більш безпечним, ніж звичний HTTP.
2. Наявність SSL-сертифіката гарантує кращий рейтинг сайту в пошукових системах.
3. Сертифікати можуть бути платними (видані офіційними сертифікаційними центрами), безкоштовними (від Let's Encrypt) і самопідписаними.
4. Для вебсайтів електронної комерції краще використовувати офіційні сертифікати. Для невеликих проектів початківців вебмайстрів підходять безкоштовні сертифікати від Let's Encrypt. Для вебсайтів, що використовуються в межах внутрішньої мережі компанії, можуть застосовуватися самопідписані сертифікати.