Το λουκέτο που εμφανίζεται στη γραμμή διευθύνσεων του browser είναι ένα από τα πιο αναγνωρίσιμα σύμβολα του ιστού. Ένα πιστοποιητικό SSL είναι αυτό που το βάζει εκεί, και αυτό που κάνει στην πραγματικότητα πάει πιο μακριά από όσο καταλαβαίνουν οι περισσότεροι επισκέπτες. Καθορίζει αν τα δεδομένα που στέλνονται μέσω του site σου ταξιδεύουν κρυπτογραφημένα ή ως απλό κείμενο, αναγνώσιμο από όποιον υποκλέψει τη σύνδεση. Το να καταλάβεις πώς δουλεύει το SSL, και πού υστερεί, αλλάζει τον τρόπο που προστατεύεις τους επισκέπτες σου.
Το SSL είναι η τεχνολογία που κάνει δυνατό το HTTPS. Όταν ο browser ενός επισκέπτη συνδέεται σε ένα site με έγκυρο πιστοποιητικό SSL, δημιουργεί κρυπτογραφημένη σύνδεση πριν ανταλλαγεί οποιοδήποτε δεδομένο. Το εικονίδιο του λουκέτου, το πρόθεμα HTTPS στη γραμμή διευθύνσεων και η απουσία της προειδοποίησης «Μη ασφαλές» του browser οφείλονται όλα στο ότι το πιστοποιητικό υπάρχει και είναι έγκυρο. Για το γιατί μετράει η ασφάλεια σε ολόκληρο το site σου, δες το άρθρο γιατί είναι σημαντική η ασφάλεια ιστοσελίδας.
Τι κάνει στην πραγματικότητα ένα πιστοποιητικό SSL;
Ένα πιστοποιητικό SSL επιτελεί δύο διαφορετικές λειτουργίες ταυτόχρονα. Κρυπτογραφεί τα δεδομένα κατά τη μετάδοση και επαληθεύει την ταυτότητα του site.
Κρυπτογράφηση
- Κρυπτογράφηση σημαίνει ότι κάθε δεδομένο που στέλνεται ανάμεσα στον browser και τον server μετατρέπεται σε μη αναγνώσιμη μορφή κατά τη μετάδοση
- Μόνο ο προορισμένος παραλήπτης, είτε ο browser είτε ο server, έχει το κλειδί για να το αποκρυπτογραφήσει
- Χωρίς κρυπτογράφηση, οι φόρμες που υποβάλλονται, τα στοιχεία σύνδεσης και τα στοιχεία πληρωμής ταξιδεύουν στα δίκτυα ως απλό κείμενο που μπορεί να διαβαστεί αν υποκλαπεί
Επαλήθευση ταυτότητας
- Ένα πιστοποιητικό SSL εκδίδεται από μια αρχή πιστοποίησης (certificate authority), έναν ανεξάρτητο οργανισμό που επαληθεύει την ταυτότητα ενός site πριν εκδώσει το πιστοποιητικό
- Αυτή η επαλήθευση επιβεβαιώνει ότι το domain που καλύπτει το πιστοποιητικό ελέγχεται από τον οργανισμό που δηλώνει ότι το κατέχει
- Όταν ο browser ελέγχει το πιστοποιητικό, επιβεβαιώνει ότι η σύνδεση είναι κρυπτογραφημένη και ότι το site είναι αυτό που λέει ότι είναι, και όχι κάποιος που το μιμείται
Πώς λειτουργεί η κρυπτογράφηση SSL;
Η διαδικασία κρυπτογράφησης γίνεται αυτόματα και αθόρυβα τη στιγμή που ο browser συνδέεται σε ένα site. Περιλαμβάνει μια ακολουθία βημάτων που λέγεται χειραψία TLS. Το TLS, δηλαδή Transport Layer Security, είναι το σύγχρονο όνομα του πρωτοκόλλου που αρχικά λεγόταν SSL.
Η ακολουθία σύνδεσης
- Ο browser ζητά ασφαλή σύνδεση και ο server απαντά στέλνοντας το πιστοποιητικό SSL του
- Ο browser επαληθεύει το πιστοποιητικό με την αρχή πιστοποίησης που το εξέδωσε, επιβεβαιώνοντας ότι είναι έγκυρο και δεν έχει λήξει
- Και οι δύο πλευρές συμφωνούν σε μέθοδο κρυπτογράφησης και ανταλλάσσουν κλειδιά, δημιουργώντας ασφαλές κανάλι
- Όλα τα δεδομένα που μεταδίδονται από εκείνο το σημείο και μετά κρυπτογραφούνται για όλη τη διάρκεια της συνεδρίας
Τι προστατεύει η κρυπτογράφηση
- Τα δεδομένα των φορμών επικοινωνίας, όπως ονόματα, διευθύνσεις email και μηνύματα
- Τα στοιχεία σύνδεσης, όπως ονόματα χρήστη και κωδικοί
- Τα στοιχεία της κάρτας πληρωμής και της χρέωσης
- Κάθε άλλο στοιχείο που στέλνει ένας επισκέπτης μέσω του site σου
Τι δεν προστατεύει το SSL
- Το SSL κρυπτογραφεί τα δεδομένα κατά τη μετάδοση. Δεν προστατεύει δεδομένα που αποθηκεύονται ανασφαλώς στον server αφού παραληφθούν
- Ένα site με πιστοποιητικό SSL μπορεί να χακαριστεί αν ο ίδιος ο server έχει κενά ασφαλείας
- Το SSL είναι ένα επίπεδο ασφάλειας ιστοσελίδας, όχι ολοκληρωμένη λύση από μόνο του
Ποιοι είναι οι διαφορετικοί τύποι πιστοποιητικών SSL;
Τα πιστοποιητικά SSL διαφέρουν ως προς το επίπεδο επαλήθευσης ταυτότητας που κάνει η αρχή πιστοποίησης πριν τα εκδώσει.
Επικύρωση domain
- Η αρχή πιστοποίησης επιβεβαιώνει μόνο ότι ο αιτών ελέγχει το domain
- Η διαδικασία είναι αυτοματοποιημένη και τα πιστοποιητικά εκδίδονται γρήγορα
- Τα πιστοποιητικά επικύρωσης domain αρκούν για blogs, ενημερωτικά site και τα περισσότερα site που δεν επεξεργάζονται πληρωμές απευθείας στο ίδιο το site
Επικύρωση οργανισμού
- Η αρχή πιστοποίησης επαληθεύει και το domain και τη νόμιμη ύπαρξη του οργανισμού που ζητά το πιστοποιητικό
- Τα πιστοποιητικά επικύρωσης οργανισμού χρησιμοποιούνται συνήθως από επιχειρήσεις που θέλουν να δείχνουν επαληθευμένα στοιχεία οργανισμού δίπλα στο πιστοποιητικό
Εκτεταμένη επικύρωση
- Τα πιστοποιητικά εκτεταμένης επικύρωσης περιλαμβάνουν την πιο εξονυχιστική διαδικασία επαλήθευσης ταυτότητας, με νομικούς, φυσικούς και επιχειρησιακούς ελέγχους στον οργανισμό
- Παλαιότερα συνδέονταν με μια πράσινη γραμμή διευθύνσεων στους browsers, αν και αυτή η οπτική διάκριση έχει αφαιρεθεί από τους σύγχρονους browsers
- Τα πιστοποιητικά εκτεταμένης επικύρωσης χρησιμοποιούνται συνήθως από χρηματοπιστωτικά ιδρύματα και μεγάλες πλατφόρμες e-commerce
Πιστοποιητικά wildcard και πολλαπλών domain
- Ένα πιστοποιητικό wildcard καλύπτει ένα domain και όλα τα υποdomain του με ένα μόνο πιστοποιητικό
- Ένα πιστοποιητικό πολλαπλών domain καλύπτει πολλά ξεχωριστά domain με ένα πιστοποιητικό
- Είναι πρακτικά για οργανισμούς που διαχειρίζονται πολλά site ή υποdomain χωρίς να εκδίδουν ξεχωριστό πιστοποιητικό για το καθένα
Χρειάζονται όλα τα site πιστοποιητικό SSL;
Ναι. Η ανάγκη για HTTPS δεν περιορίζεται σε site που δέχονται πληρωμές ή χειρίζονται ευαίσθητα δεδομένα. Ισχύει για κάθε δημόσια προσβάσιμο site, για τρεις λόγους.
Προειδοποιήσεις των browsers
- Οι browsers δείχνουν την ένδειξη «Μη ασφαλές» στη γραμμή διευθύνσεων για κάθε site που σερβίρεται με HTTP
- Στις σελίδες με φόρμες, κάποιοι browsers δείχνουν ρητή προειδοποίηση πριν ο επισκέπτης στείλει οτιδήποτε
- Οι προειδοποιήσεις αυτές μειώνουν την εμπιστοσύνη και αποθαρρύνουν τους επισκέπτες από το να αλληλεπιδράσουν με τη σελίδα
Κατάταξη στις μηχανές αναζήτησης
- Το HTTPS είναι επιβεβαιωμένο σήμα κατάταξης. Τα site που σερβίρονται με HTTPS έχουν πλεονέκτημα κατάταξης έναντι αντίστοιχων σελίδων με HTTP
- Οι μηχανές αναζήτησης μειώνουν επίσης την ορατότητα των site με ενεργές προειδοποιήσεις ασφαλείας στα αποτελέσματα
Προστασία δεδομένων επισκεπτών
- Ακόμα και ένα site που έχει μόνο φόρμα επικοινωνίας συλλέγει δεδομένα επισκεπτών. Χωρίς HTTPS, τα δεδομένα αυτά μεταδίδονται χωρίς κρυπτογράφηση
- Σε πολλές περιοχές, οι κανονισμοί προστασίας δεδομένων απαιτούν τα προσωπικά δεδομένα να χειρίζονται με ασφάλεια, κάτι που περιλαμβάνει την προστασία τους κατά τη μετάδοση
Πώς αποκτάς πιστοποιητικό SSL;
Μέσω του παρόχου φιλοξενίας σου
- Πολλοί πάροχοι φιλοξενίας περιλαμβάνουν πιστοποιητικά SSL στα πακέτα φιλοξενίας τους
- Σε αυτές τις περιπτώσεις, το πιστοποιητικό εγκαθίσταται και ανανεώνεται αυτόματα, χωρίς καμία ενέργεια από τον ιδιοκτήτη του site
- Αυτή είναι η πιο απλή επιλογή για τα περισσότερα site
Μέσω μιας αρχής πιστοποίησης
- Τα πιστοποιητικά SSL μπορούν να αποκτηθούν απευθείας από αρχές πιστοποίησης και να εγκατασταθούν χειροκίνητα σε έναν server
- Δωρεάν πιστοποιητικά διατίθενται από ευρέως αξιόπιστες αρχές πιστοποίησης και ανανεώνονται αυτόματα με εργαλεία επαλήθευσης
- Αυτή η επιλογή απαιτεί περισσότερες τεχνικές γνώσεις και είναι πιο συνηθισμένη σε ομάδες ανάπτυξης που διαχειρίζονται δικούς τους servers
Αφού αποκτήσεις το πιστοποιητικό
- Μόλις εγκατασταθεί ένα πιστοποιητικό, όλοι οι εσωτερικοί σύνδεσμοι και οι αναφορές σε αρχεία του site πρέπει να δείχνουν σε διευθύνσεις HTTPS, για να αποφύγεις τις προειδοποιήσεις μικτού περιεχομένου
- Πρέπει να ρυθμιστεί ανακατεύθυνση από HTTP σε HTTPS, ώστε οι επισκέπτες που φτάνουν στην έκδοση HTTP να στέλνονται αυτόματα στην ασφαλή έκδοση
Για μια πλήρη εξήγηση του τι σημαίνει το HTTPS και πώς επηρεάζει τους επισκέπτες και την κατάταξή σου, δες το άρθρο τι είναι το HTTPS και πώς προστατεύει το site σου. Για έναν πλήρη οδηγό προστασίας του site σου πέρα από το ίδιο το πιστοποιητικό, δες το άρθρο πώς προστατεύεις το site σου από hackers. Για τα αντίγραφα ασφαλείας ως συμπληρωματικό μέτρο ασφάλειας, δες το άρθρο πώς κάνεις αντίγραφα ασφαλείας του site σου.
Πώς χειρίζεται το WEMASY τα πιστοποιητικά SSL
Τα πιστοποιητικά SSL περιλαμβάνονται σε κάθε πακέτο WEMASY. Όταν δημιουργείται ένα site στην πλατφόρμα WEMASY, το πιστοποιητικό εγκαθίσταται και ενεργοποιείται αυτόματα. Όλες οι σελίδες σερβίρονται από προεπιλογή με HTTPS, χωρίς καμία ρύθμιση από τον ιδιοκτήτη του site.
Τα πιστοποιητικά ανανεώνονται αυτόματα πριν λήξουν. Δεν υπάρχει χειροκίνητη διαδικασία ανανέωσης και δεν υπάρχει κίνδυνος να λήξει το πιστοποιητικό και να εμφανιστούν προειδοποιήσεις στον browser. Η υποδομή SSL συντηρείται σε επίπεδο πλατφόρμας, οπότε οι ιδιοκτήτες site δεν χρειάζεται να τη διαχειρίζονται οι ίδιοι.
Δες τι περιλαμβάνεται στον δημιουργό ιστοσελίδων WEMASY ή δες τις επιλογές πακέτων στη σελίδα τιμών.
Συχνές ερωτήσεις
Τι είναι ένα πιστοποιητικό SSL;
Ένα πιστοποιητικό SSL είναι ένα ψηφιακό αρχείο που εγκαθίσταται σε έναν web server και επιτρέπει κρυπτογραφημένες συνδέσεις ανάμεσα στον server και στους browsers των επισκεπτών. Είναι αυτό που επιτρέπει σε ένα site να χρησιμοποιεί HTTPS αντί για HTTP. Όταν ο browser ενός επισκέπτη επαληθεύει ένα έγκυρο πιστοποιητικό SSL, δημιουργεί κρυπτογραφημένο κανάλι, ώστε τα δεδομένα που μεταδίδονται στη συνεδρία να μην μπορούν να διαβαστούν αν υποκλαπούν. Με τον δημιουργό ιστοσελίδων του WEMASY μπορείς να το στήσεις κατευθείαν στο site σου.
Χρειάζομαι πιστοποιητικό SSL για το site μου;
Ναι. Κάθε δημόσια προσβάσιμο site χρειάζεται πιστοποιητικό SSL. Οι browsers δείχνουν προειδοποίηση «Μη ασφαλές» σε site που δεν έχουν, και το HTTPS είναι επιβεβαιωμένο σήμα κατάταξης για τις μηχανές αναζήτησης. Ακόμα και ένα site που συλλέγει μόνο φόρμες επικοινωνίας μεταδίδει δεδομένα επισκεπτών που πρέπει να προστατεύονται κατά τη μετάδοση. Ο τύπος του πιστοποιητικού SSL που χρειάζεται εξαρτάται από τον σκοπό του site, αλλά κάποια μορφή πιστοποιητικού είναι απαραίτητη για όλα τα site.
Ποια είναι η διαφορά ανάμεσα στο SSL και στο TLS;
Το TLS (Transport Layer Security) είναι η σύγχρονη, ενημερωμένη έκδοση του πρωτοκόλλου SSL (Secure Sockets Layer). Το SSL δεν χρησιμοποιείται ενεργά εδώ και πάνω από δύο δεκαετίες, αλλά ο όρος χρησιμοποιείται ακόμα ευρέως, άτυπα, για την τεχνολογία που ασφαλίζει τις συνδέσεις στον ιστό. Όταν κάποιος λέει «πιστοποιητικό SSL», σχεδόν πάντα εννοεί πιστοποιητικό που χρησιμοποιεί TLS. Το πρωτόκολλο που χειρίζεται την κρυπτογράφηση έχει ενημερωθεί, αλλά τα ίδια τα πιστοποιητικά δεν έχουν αλλάξει σημαντικά ως προς τη χρήση τους.
Τι γίνεται αν λήξει το πιστοποιητικό SSL μου;
Όταν λήξει ένα πιστοποιητικό SSL, οι browsers δείχνουν αμέσως προειδοποίηση πλήρους οθόνης στους επισκέπτες που προσπαθούν να μπουν στο site. Η προειδοποίηση λέει ότι η σύνδεση δεν είναι ιδιωτική και αποθαρρύνει τους επισκέπτες από το να συνεχίσουν. Το site γίνεται ουσιαστικά απρόσιτο για όποιον δει την προειδοποίηση και δεν επιλέξει να την προσπεράσει. Οι μηχανές αναζήτησης μπορεί επίσης να μειώσουν την ορατότητα του site. Τα πιστοποιητικά πρέπει να ανανεώνονται πριν λήξουν, κάτι που οι περισσότεροι πάροχοι φιλοξενίας και τα συστήματα διαχείρισης πιστοποιητικών το κάνουν αυτόματα.
Επηρεάζει το πιστοποιητικό SSL την απόδοση του site;
Η χειραψία TLS που δημιουργεί μια κρυπτογραφημένη σύνδεση προσθέτει λίγο χρόνο στην αρχική σύνδεση. Σε σύγχρονους servers και δίκτυα, αυτή η επιβάρυνση μετριέται συνήθως σε χιλιοστά του δευτερολέπτου και δεν γίνεται αντιληπτή από τους επισκέπτες. Το HTTP/2, που υποστηρίζεται ευρέως και απαιτεί HTTPS, μπορεί να βελτιώσει την απόδοση φόρτωσης σε σχέση με το HTTP/1.1, οπότε στην πράξη ένα σωστά ρυθμισμένο site HTTPS φορτώνει συχνά πιο γρήγορα από το αντίστοιχο HTTP.
Είναι ένα δωρεάν πιστοποιητικό SSL τόσο καλό όσο ένα πληρωμένο;
Ως προς την κρυπτογράφηση, ένα δωρεάν πιστοποιητικό επικύρωσης domain δίνει το ίδιο επίπεδο κρυπτογράφησης με ένα πληρωμένο πιστοποιητικό του ίδιου επιπέδου επικύρωσης. Το εικονίδιο του λουκέτου και το πρόθεμα HTTPS εμφανίζονται ακριβώς το ίδιο στον browser. Τα πληρωμένα πιστοποιητικά επικύρωσης οργανισμού ή εκτεταμένης επικύρωσης προσφέρουν πρόσθετη επαλήθευση ταυτότητας, που μπορεί να έχει σημασία για χρηματοπιστωτικά ιδρύματα ή μεγάλες πλατφόρμες e-commerce όπου είναι σημαντικά τα επαληθευμένα στοιχεία του οργανισμού. Για τα περισσότερα site, ένα δωρεάν πιστοποιητικό αρκεί απολύτως.