Τα πιστοποιητικά ασφαλείας ιστοσελίδας έχουν διάφορα ονόματα, και από εκεί ξεκινά το μεγαλύτερο μέρος της σύγχυσης. Ένα πιστοποιητικό ασφαλείας ιστοσελίδας είναι το ίδιο πράγμα με ένα πιστοποιητικό SSL, ένα πιστοποιητικό TLS ή αυτό που βάζει το λουκέτο στη γραμμή διευθύνσεων του browser σου. Διαφορετικοί όροι, το ίδιο αντικείμενο. Μόλις το καταλάβεις αυτό, όλα τα υπόλοιπα για τα πιστοποιητικά ασφαλείας ιστοσελίδας γίνονται πολύ πιο απλά.
Το λουκέτο στη γραμμή διευθύνσεων του browser, το HTTPS στην αρχή μιας διεύθυνσης, η προειδοποίηση «Μη ασφαλές» στα site που δεν έχουν πιστοποιητικό: όλα καταλήγουν σε ένα πράγμα, ένα πιστοποιητικό ασφαλείας ιστοσελίδας. Για μια πλήρη εξήγηση του πώς συνδέονται με το ευρύτερο θέμα της ασφάλειας ενός site, δες το άρθρο γιατί είναι σημαντική η ασφάλεια ιστοσελίδας.
Τι είναι ένα πιστοποιητικό ασφαλείας ιστοσελίδας;
Ένα πιστοποιητικό ασφαλείας ιστοσελίδας είναι ένα μικρό αρχείο που εγκαθίσταται σε έναν web server και κάνει δύο πράγματα. Ανακατεύει τα δεδομένα που στέλνονται ανάμεσα στον browser του επισκέπτη και στο site σου, ώστε κανείς άλλος να μην μπορεί να τα διαβάσει κατά τη μετάδοση, και αποδεικνύει ότι το site σου είναι αυτό που λέει ότι είναι. Όταν υπάρχουν και τα δύο, ο browser δείχνει το λουκέτο και το πρόθεμα HTTPS στη γραμμή διευθύνσεων.
Τι κάνει με απλά λόγια
- Όταν ένας επισκέπτης συμπληρώνει μια φόρμα επικοινωνίας, συνδέεται ή γράφει στοιχεία πληρωμής, αυτές οι πληροφορίες ταξιδεύουν από τον browser του στον server σου. Χωρίς πιστοποιητικό, ταξιδεύουν ως απλό κείμενο που μπορεί να διαβάσει οποιοσδήποτε στο ίδιο δίκτυο
- Με πιστοποιητικό, οι ίδιες πληροφορίες ανακατεύονται πριν φύγουν από τον browser και μπορούν να ξεκλειδωθούν μόνο όταν φτάσουν στον server σου. Κανείς ανάμεσα δεν μπορεί να τις διαβάσει
- Το πιστοποιητικό κουβαλά επίσης απόδειξη ότι το domain σου σου ανήκει, κάτι που λέει στον browser ότι μιλά με το πραγματικό site και όχι με μια απομίμηση
Τα διαφορετικά ονόματα που έχει
- Πιστοποιητικό SSL είναι ο πιο συνηθισμένος όρος. Το SSL σημαίνει Secure Sockets Layer, που ήταν το αρχικό όνομα της τεχνολογίας. Τεχνικά έχει αντικατασταθεί από μια νεότερη έκδοση που λέγεται TLS (Transport Layer Security), αλλά σχεδόν όλοι χρησιμοποιούν ακόμα τον όρο SSL
- Πιστοποιητικό TLS αναφέρεται στο ίδιο πράγμα με το ενημερωμένο όνομα. Αν κάποιος αναφέρει πιστοποιητικό TLS, εννοεί το ίδιο αντικείμενο με το πιστοποιητικό SSL
- Πιστοποιητικό HTTPS χρησιμοποιείται άτυπα, επειδή το HTTPS είναι το ορατό σημάδι ότι υπάρχει πιστοποιητικό
- Πιστοποιητικό ασφαλείας ιστοσελίδας είναι η έκδοση σε απλή γλώσσα, που χρησιμοποιείται όταν το εξηγείς σε κάποιον χωρίς τεχνικό υπόβαθρο
- Όλα αυτά τα ονόματα δείχνουν το ίδιο πράγμα. Το ίδιο το πιστοποιητικό δεν αλλάζει ανάλογα με το πώς το λες
Για μια πιο βαθιά ματιά στο πώς δουλεύουν τεχνικά τα πιστοποιητικά SSL, δες το άρθρο τι είναι ένα πιστοποιητικό SSL και πώς λειτουργεί.
Τι αποδεικνύει ένα πιστοποιητικό ασφαλείας ιστοσελίδας
Κυριότητα του domain
Ένα βασικό πιστοποιητικό ασφαλείας ιστοσελίδας, που λέγεται πιστοποιητικό επικύρωσης domain, αποδεικνύει ένα πράγμα: ότι όποιος εγκατέστησε το πιστοποιητικό ελέγχει το domain. Η αρχή πιστοποίησης (η εταιρεία που εκδίδει το πιστοποιητικό) ελέγχει ότι κατέχεις το domain πριν το εκδώσει. Το λουκέτο που βλέπεις στη γραμμή διευθύνσεων σημαίνει ότι αυτός ο έλεγχος πέρασε.
Αυτός είναι ο τύπος πιστοποιητικού που δουλεύει για τη συντριπτική πλειονότητα των site. Επαγγελματικά site, blogs, portfolio, site υπηρεσιών και e-shop χρησιμοποιούν όλα πιστοποιητικά επικύρωσης domain. Είναι δωρεάν, στήνεται σε λίγα λεπτά στις περισσότερες πλατφόρμες και προσφέρει το ίδιο επίπεδο προστασίας δεδομένων με τους πιο ακριβούς τύπους πιστοποιητικών.
Ταυτότητα οργανισμού
Τα πιστοποιητικά ανώτερου επιπέδου πάνε πιο μακριά. Ένα πιστοποιητικό επικύρωσης οργανισμού ή εκτεταμένης επικύρωσης απαιτεί από την αρχή πιστοποίησης να επαληθεύσει τη νόμιμη ταυτότητα της επιχείρησης πίσω από το site, και όχι μόνο ότι κάποιος ελέγχει το domain.
Οι τράπεζες, τα κυβερνητικά site και οι μεγάλες χρηματοοικονομικές πλατφόρμες τα χρησιμοποιούν συνήθως, επειδή οι επισκέπτες τους πρέπει να βλέπουν επαληθευμένη απόδειξη για το ποιος διαχειρίζεται το site. Για ένα τυπικό επαγγελματικό site, τα πιστοποιητικά ανώτερου επιπέδου δεν είναι απαραίτητα. Η κρυπτογράφηση είναι ίδια. Η μόνη διαφορά είναι πόσες πληροφορίες για τον οργανισμό έχει επαληθεύσει ο εκδότης.
Πώς καταλαβαίνεις ότι ένα site έχει πιστοποιητικό ασφαλείας
Το λουκέτο στη γραμμή διευθύνσεων
Κάθε μεγάλος browser δείχνει εικονίδιο λουκέτου στη γραμμή διευθύνσεων όταν ένα site έχει εγκατεστημένο έγκυρο πιστοποιητικό ασφαλείας. Αν πατήσεις το λουκέτο, βλέπεις λεπτομέρειες για το πιστοποιητικό, όπως ποιος το εξέδωσε και πότε λήγει. Χωρίς λουκέτο, δεν υπάρχει έγκυρο πιστοποιητικό.
HTTPS στη διεύθυνση
Το S στο HTTPS σημαίνει Secure (ασφαλές). Εμφανίζεται στη γραμμή διευθύνσεων μόνο όταν υπάρχει έγκυρο πιστοποιητικό και η σύνδεση ανάμεσα στον browser και στον server είναι κρυπτογραφημένη. Ένα site με διεύθυνση που ξεκινά με απλό HTTP δεν έχει ενεργό πιστοποιητικό, ακόμα κι αν είχε εγκατασταθεί κάποιο κάποτε. Για μια πλήρη εξήγηση του τι σημαίνει το HTTPS και πώς προστατεύει τους επισκέπτες, δες το άρθρο τι είναι το HTTPS και πώς προστατεύει το site σου.
Τι συμβαίνει στα site χωρίς πιστοποιητικό
- Οι browsers δείχνουν προειδοποίηση «Μη ασφαλές» στη γραμμή διευθύνσεων σε κάθε site που σερβίρεται με απλό HTTP
- Στις σελίδες με πεδία σύνδεσης ή φόρμες, κάποιοι browsers δείχνουν πιο έντονη προειδοποίηση ότι η σύνδεση δεν είναι ιδιωτική
- Οι επισκέπτες που βλέπουν αυτές τις προειδοποιήσεις, ειδικά σε σελίδα που ζητά τα στοιχεία τους, έχουν πολύ μικρότερη πιθανότητα να συνεχίσουν
- Οι μηχανές αναζήτησης χρησιμοποιούν το HTTPS ως σήμα κατάταξης. Ένα site χωρίς έγκυρο πιστοποιητικό βρίσκεται σε μειονεκτική θέση στα αποτελέσματα αναζήτησης σε σχέση με αντίστοιχα site που έχουν
Γιατί κάθε site χρειάζεται πιστοποιητικό ασφαλείας
Εμπιστοσύνη επισκεπτών
Το λουκέτο έχει γίνει βασικό σήμα ότι ένα site είναι ασφαλές για χρήση. Οι επισκέπτες που ψωνίζουν online, συμπληρώνουν φόρμες ή συνδέονται σε λογαριασμούς έχουν μάθει να το ψάχνουν. Ένα site χωρίς αυτό δεν φαίνεται απλώς λιγότερο ασφαλές. Φαίνεται ότι δεν έχει νοιαστεί καθόλου για την ασφάλεια, και αυτή η εντύπωση είναι πιο δύσκολο να διορθωθεί απ' όσο περιμένουν οι περισσότεροι ιδιοκτήτες site.
Στις σελίδες με φόρμες επικοινωνίας, συνδέσεις λογαριασμών ή οποιοδήποτε είδος πληρωμής, η απουσία HTTPS είναι άμεσος λόγος για να σταματήσουν και να φύγουν οι επισκέπτες. Το πιστοποιητικό δεν προστατεύει μόνο τα δεδομένα. Κρατά τους ανθρώπους στη σελίδα.
Κατάταξη στις μηχανές αναζήτησης
Οι μηχανές αναζήτησης αντιμετωπίζουν το HTTPS ως σήμα κατάταξης. Οι σελίδες που σερβίρονται με HTTPS έχουν πλεονέκτημα έναντι σελίδων που σερβίρονται με απλό HTTP, όταν όλα τα άλλα είναι ίσα. Για ανταγωνιστικούς όρους αναζήτησης, αυτό το πλεονέκτημα μπορεί να κάνει πραγματική διαφορά στο πού εμφανίζεται μια σελίδα. Ένα site χωρίς πιστοποιητικό αποκλείεται επίσης από το να πληροί τα πρότυπα εμπειρίας σελίδας που χρησιμοποιούν οι μηχανές αναζήτησης ως μέρος της αξιολόγησης κατάταξής τους.
Προστασία δεδομένων
Κάθε site που συλλέγει πληροφορίες από επισκέπτες, είτε μέσω φόρμας επικοινωνίας, είτε μέσω σελίδας σύνδεσης, είτε μέσω πληρωμής, χειρίζεται προσωπικά δεδομένα. Χωρίς πιστοποιητικό, τα δεδομένα αυτά ταξιδεύουν στο δίκτυο ως απλό κείμενο. Ένα πιστοποιητικό φροντίζει να ανακατεύονται πριν φύγουν από τον browser, ώστε να μην μπορούν να διαβαστούν αν υποκλαπούν στη διαδρομή.
Σε πολλές χώρες, η συλλογή προσωπικών δεδομένων χωρίς βασικά μέτρα ασφαλείας δημιουργεί νομική έκθεση για τον ιδιοκτήτη του site. Ένα πιστοποιητικό ασφαλείας ιστοσελίδας είναι το βασικό μέτρο για την προστασία των δεδομένων κατά τη μετάδοση και για την κάλυψη του ελάχιστου προτύπου που αναμένουν οι νόμοι προστασίας δεδομένων.
Πώς αποκτάς πιστοποιητικό ασφαλείας ιστοσελίδας
Μέσω του παρόχου φιλοξενίας σου
Πολλές διαχειριζόμενες πλατφόρμες φιλοξενίας και δημιουργοί ιστοσελίδων περιλαμβάνουν πιστοποιητικό ασφαλείας ιστοσελίδας σε κάθε πακέτο. Αν συμβαίνει αυτό, το πιστοποιητικό εγκαθίσταται συνήθως αυτόματα όταν συνδέεται το site ή το domain. Δεν χρειάζεται να αγοράσεις ή να στήσεις τίποτα ξεχωριστά.
Αν φιλοξενείς ήδη ένα site και δεν είσαι σίγουρος αν υπάρχει πιστοποιητικό, μπες στο site και δες αν η διεύθυνση ξεκινά με HTTPS και αν εμφανίζεται το λουκέτο. Αν ναι, το πιστοποιητικό είναι ήδη ενεργό. Αν όχι, έλεγξε τον πίνακα φιλοξενίας ή επικοινώνησε με τον πάροχό σου για να μάθεις αν περιλαμβάνεται πιστοποιητικό ή πρέπει να προστεθεί.
Απόκτηση ξεχωριστά
Δωρεάν πιστοποιητικά ασφαλείας ιστοσελίδας διατίθενται από αξιόπιστες αρχές πιστοποίησης για site σε φιλοξενία που διαχειρίζεσαι μόνος σου. Η επαλήθευση είναι αυτοματοποιημένη και παίρνει λίγα λεπτά. Το πιστοποιητικό ισχύει για 90 ημέρες και μπορεί να ρυθμιστεί να ανανεώνεται αυτόματα, ώστε να μη λήγει χωρίς προειδοποίηση.
Διατίθενται και πληρωμένα πιστοποιητικά, που συνήθως καλύπτουν μεγαλύτερη περίοδο ισχύος. Για ένα τυπικό πιστοποιητικό επικύρωσης domain, η δωρεάν επιλογή είναι ισοδύναμη από κάθε ουσιαστική άποψη. Ο δρόμος του πληρωμένου έχει μεγαλύτερο νόημα για πιστοποιητικά επικύρωσης οργανισμού ή εκτεταμένης επικύρωσης, που απαιτούν χειροκίνητη επαλήθευση ταυτότητας.
Για οδηγίες βήμα βήμα για την απόκτηση και την εγκατάσταση ενός πιστοποιητικού, δες το άρθρο πώς αποκτάς πιστοποιητικό SSL για το site σου.
Πώς χειρίζεται το WEMASY τα πιστοποιητικά ασφαλείας ιστοσελίδας
Τα πιστοποιητικά SSL περιλαμβάνονται σε κάθε πακέτο WEMASY και εφαρμόζονται αυτόματα. Όταν δημιουργείται ένα site ή συνδέεται ένα δικό σου domain, το πιστοποιητικό εκδίδεται και εγκαθίσταται χωρίς καμία ενέργεια από τον ιδιοκτήτη του site. Δεν υπάρχει τίποτα να αγοράσεις, τίποτα να ρυθμίσεις και καμία διαδικασία ανανέωσης να διαχειριστείς.
Όλα τα site στο WEMASY τρέχουν από προεπιλογή με HTTPS από την πρώτη μέρα. Οι προειδοποιήσεις μικτού περιεχομένου δεν αποτελούν ανησυχία, γιατί όλα τα αρχεία που σερβίρονται μέσω της πλατφόρμας χρησιμοποιούν HTTPS. Οι ανακατευθύνσεις από HTTP σε HTTPS υπάρχουν σε επίπεδο πλατφόρμας, οπότε οι επισκέπτες καταλήγουν πάντα στην ασφαλή έκδοση του site, όπως κι αν φτάσουν σε αυτό.
Δες τι περιλαμβάνεται στον δημιουργό ιστοσελίδων WEMASY ή δες τις επιλογές πακέτων στη σελίδα τιμών.
Συχνές ερωτήσεις
Τι είναι ένα πιστοποιητικό ασφαλείας ιστοσελίδας;
Ένα πιστοποιητικό ασφαλείας ιστοσελίδας είναι ένα αρχείο που εγκαθίσταται σε έναν web server και κάνει δύο πράγματα: ανακατεύει τα δεδομένα που στέλνονται ανάμεσα στον browser του επισκέπτη και στο site, ώστε να μην μπορούν να διαβαστούν κατά τη μετάδοση, και αποδεικνύει ότι το site είναι αυτό που λέει ότι είναι. Όταν υπάρχει έγκυρο πιστοποιητικό, οι browsers δείχνουν λουκέτο στη γραμμή διευθύνσεων και η διεύθυνση του site ξεκινά με HTTPS. Είναι το ίδιο πράγμα με ένα πιστοποιητικό SSL, ένα πιστοποιητικό TLS ή ένα πιστοποιητικό HTTPS, απλώς περιγράφεται με διαφορετικά ονόματα. Με τον δημιουργό ιστοσελίδων του WEMASY μπορείς να το στήσεις κατευθείαν στο site σου.
Είναι το πιστοποιητικό ασφαλείας ιστοσελίδας το ίδιο με το πιστοποιητικό SSL;
Ναι. Πιστοποιητικό SSL, πιστοποιητικό TLS, πιστοποιητικό HTTPS και πιστοποιητικό ασφαλείας ιστοσελίδας αναφέρονται όλα στο ίδιο πράγμα. Το SSL (Secure Sockets Layer) είναι το παλαιότερο όνομα της τεχνολογίας. Το TLS (Transport Layer Security) είναι η ενημερωμένη έκδοση που το αντικατέστησε. Ο όρος SSL έμεινε, οπότε οι περισσότεροι άνθρωποι και πάροχοι τον χρησιμοποιούν ακόμα, παρότι το TLS είναι το τρέχον πρότυπο. Όπως κι αν λέγεται, το ίδιο το πιστοποιητικό δουλεύει με τον ίδιο τρόπο και κάνει την ίδια δουλειά.
Χρειάζεται το site μου πιστοποιητικό ασφαλείας;
Ναι. Κάθε δημόσια προσβάσιμο site χρειάζεται, όχι μόνο όσα επεξεργάζονται πληρωμές ή χειρίζονται ευαίσθητα δεδομένα. Οι browsers δείχνουν προειδοποίηση «Μη ασφαλές» στα site χωρίς πιστοποιητικό, κάτι που μειώνει την εμπιστοσύνη των επισκέπτων και μπορεί να σταματήσει τους ανθρώπους από το να συμπληρώσουν φόρμες ή να συνεχίσουν την περιήγηση. Το HTTPS είναι επίσης επιβεβαιωμένο σήμα κατάταξης, που σημαίνει ότι τα site χωρίς πιστοποιητικό βρίσκονται σε μειονεκτική θέση στα αποτελέσματα αναζήτησης. Κάθε site που συλλέγει πληροφορίες επισκεπτών μέσω φορμών, συνδέσεων ή σχολίων πρέπει να έχει πιστοποιητικό τουλάχιστον.
Πώς ξέρω αν το site μου έχει πιστοποιητικό ασφαλείας;
Μπες στο site σου και κοίτα τη γραμμή διευθύνσεων. Αν η διεύθυνση ξεκινά με HTTPS και εμφανίζεται εικονίδιο λουκέτου, υπάρχει έγκυρο πιστοποιητικό. Αν η διεύθυνση ξεκινά με απλό HTTP, ή ο browser δείχνει την ένδειξη «Μη ασφαλές», το πιστοποιητικό είτε λείπει είτε δεν έχει στηθεί σωστά. Αν πατήσεις το λουκέτο, βλέπεις λεπτομέρειες για το πιστοποιητικό, όπως ποιος το εξέδωσε και πότε λήγει.
Πώς αποκτώ πιστοποιητικό ασφαλείας ιστοσελίδας;
Έλεγξε πρώτα το πακέτο φιλοξενίας σου. Πολλοί πάροχοι φιλοξενίας και δημιουργοί ιστοσελίδων περιλαμβάνουν πιστοποιητικό αυτόματα. Αν η φιλοξενία σου το περιλαμβάνει, το πιστοποιητικό μπορεί να είναι ήδη εγκατεστημένο. Αν όχι, δωρεάν πιστοποιητικά επικύρωσης domain διατίθενται από αξιόπιστες αρχές πιστοποίησης και μπορούν να στηθούν σε λίγα λεπτά. Για οδηγίες βήμα βήμα για την απόκτηση και την εγκατάσταση ενός πιστοποιητικού, δες το άρθρο πώς αποκτάς πιστοποιητικό SSL για το site σου.
Τι γίνεται αν λήξει το πιστοποιητικό ασφαλείας του site μου;
Οι browsers δείχνουν αμέσως προειδοποίηση πλήρους οθόνης όταν έχει λήξει το πιστοποιητικό ενός site. Οι επισκέπτες βλέπουν μήνυμα που λέει ότι η σύνδεση δεν είναι ιδιωτική και οι περισσότεροι δεν θα συνεχίσουν. Το site γίνεται ουσιαστικά απρόσιτο για τους περισσότερους επισκέπτες μέχρι να ανανεωθεί το πιστοποιητικό. Η ρύθμιση αυτόματης ανανέωσης το αποτρέπει εντελώς. Στις διαχειριζόμενες πλατφόρμες φιλοξενίας, η ανανέωση γίνεται αυτόματα. Σε servers που διαχειρίζεσαι μόνος σου, η ρύθμιση αυτόματης ανανέωσης όταν στήνεις για πρώτη φορά το πιστοποιητικό είναι ο πιο αξιόπιστος τρόπος να μην περάσει απαρατήρητη μια λήξη.