Безопасность информации в Интернете – одна из самых серьезных тем в наше время. Как защитить свой сайт от утечки информации и несанкционированного доступа третьими лицами? Что такое SSL-сертификат и где его взять? Чем HTTPS лучше HTTP? Предлагаем вам материал, который направлен на людей, не обладающих специальными техническими знаниями и навыками.
Читать далее >>>
Протокол SSL
Протокол SSL (от англ. Secure Sockets Layer – уровень защищенных сокетов) используется миллионами сайтов для защиты данных в Интернете. Он гарантирует безопасное соединение между браузером пользователя и сервером. При использовании SSL-протокола информация передается в закодированном виде по HTTPS и расшифровать ее можно только с помощью специального ключа в отличие от привычного протокола HTTP. Для работы SSL-протокола требуется, чтобы на сервере был установлен SSL-сертификат. SSL-сертификат
SSL-сертификат – это своего рода уникальная цифровая подпись вашего сайта. Такой сертификат нужен, в первую очередь, банкам, платежным системам и другим организациям, работающим с персональными данными, – для защиты транзакций и предотвращения несанкционированного доступа к информации. SSL-сертификат содержит следующую информацию:
SSL-cертификат подтверждает, что домен принадлежит реальной компании и что его владелец вправе пользоваться секретным ключом на законных основаниях. Разница между HTTP и HTTPS
HTTPS (HyperText Transfer Protocol Secure) – это расширение протокола HTTP, поддерживающее шифрование. Данные, передаваемые по протоколу HTTP, «упаковываются» в криптографический протокол SSL или TLS. По умолчанию HTTPS использует 443 TCP-порт (для незащищенного HTTP – 80). Чтобы подготовить веб-сервер для обработки HTTPS-соединений, администратор должен получить и установить в систему сертификат для этого веб-сервера. Сертификат состоит из двух частей (двух ключей) – public и private. Public-часть сертификата используется для шифрования трафика от клиента к серверу в защищенном соединении; private-часть – для расшифровывания полученного от клиента зашифрованного трафика на сервере. После того как пара ключей приватный/публичный сгенерированы, на основе публичного ключа формируется запрос на SSL-сертификат в Центр сертификации. Существует возможность создать такой сертификат, не обращаясь в Центр сертификации. Подписываются такие сертификаты этим же сертификатом и называются самоподписанными (self-signed). Разновидности SSL-сертификатов
Существует несколько типов SSL-сертификатов: SSL-сертификаты с проверкой домена (Domain Validation) – это сертификаты начального уровня, являются самыми распространенными в мире, а скорость выдачи таких сертификатов варьируется от 2 до 10 минут, зависит от бренда. Чтобы получить такой сертификат, не требуется специальных документов. Такие сертификаты подойдут для небольших сайтов и маленьких проектов, когда нет необходимости в большом доверии со стороны клиентов и посетителей сайта. Нужно подтвердить владение доменом:
проверка через электронную почту (DCV Email) – центр сертификации высылает верификационное письмо, в котором будет ссылка для подтверждения владением домена. Выслать такое письмо могут либо на почту, указанную во Whois вашего домена, либо на один из золотой пятерки: admin@, administrator@, hostmaster@, postmaster@,webmaster@ вашего сайта;
проверка при помощи DNS-записи (DNS CNAME) – способ для тех, у кого настроен мейл-сервер, а почта во Whois закрыта приватной регистрацией. Необходимо создать особую запись в вашем DNS, и центр сертификации его проверит. Метод полностью автоматический;
проверка при помощи хеш-файла (HTTP CSR Hash) –пользователю будет предоставлен специальный .txt файл, который необходимо загрузить на свой сервер, при этом центр сертификации убедится в его наличии и сертификат будет выдан. Метод полностью автоматический.
SSL-сертификаты с проверкой компании (Business Validation) – такие сертификаты актуальны для тех, кто думает о доверии к своим продуктам, компании и сервисам, так как центр сертификации проводит более тщательную проверку. Необходимо выслать документы компании, пройти процесс «отзвона» на корпоративный телефон. SSL-сертификаты с расширенной проверкой (Extended validation) – только EV сертификаты обеспечат сайт зеленой адресной строкой в браузере. Чаще всего такие сертификаты можно встретить у банков, онлайн-систем с большим количеством посетителей. SSL-сертификаты c поддержкой субдоменов (Wildcard) – это очень удобный сертификат, когда речь идет о защите большого количества субдоменов в рамках одного домена. Он может защитить любое количество субдоменов на неограниченном количестве серверов. SAN SSL-сертификаты – единые сертификаты связи, которые способны защищать множество доменов, субдоменов, локальных доменов и серверов. Данные сертификаты работают как с внешними, так и внутренними доменными именами. SGC SSL-сертификаты – устаревающие сертификаты, которые принудительно увеличивают уровень шифрования для старых браузеров с 40 бит до полноценных 256 бит. SSL-cертификаты для ПО (CodeSigning SSL) – такие сертификаты могут помочь, когда ваши пользователи получают предупреждения и ошибки при скачивании программного кода с ваших ресурсов. Это идеальный продукт для разработчиков программного обеспечения, он используется для защиты программных продуктов распространяемых в сети.
[свернуть]
Где получить SSL-сертификат
Для получения сертификата необходимо обратиться в компании, которые выдают SSL-сертификаты. Например, в rомпания SSL.com.ua осуществляет выдачу самых популярных SSL-сертификатов от наиболее известных международных центров сертификации — GeoTrust, Comodo и VeriSign. Принимая решение купить SSL-сертификат в нашей компании, вы освобождаетесь от длительных и трудоемких процедур. С нами вы получите необходимый SSL-сертификат вовремя и без проблем. Стоимость SSL-сертификата на 1 год может составлять от 975 рублей. Если на вашем сайте до сих пор не установлен SSL-сертификат, самое время это сделать. Это не только обеспечит безопасную передачу данных, но и заставит Google полюбить ваш сайт!
Последний раз редактировалось kayros; 27.09.2016 в 17:48.
В этом он прав. Гугл любит https сайты, можно ещё включить HTTP/2, что даст ещё плюсов. Да и браузеры не будут делать пометку на сайте, что он небезопасный.
Облачный хостинг из TOP-3 - от 1 Gb ОЗУ, от 25 GB SSD.
Ems, пару недель назад перешел на https + http/2, пока результатов в трафике и позициях по нулям. Думаю больше времени нужно. Но это вполне логично, что к защищенным сайтам особое внимание поиск уделяет.
Это может иметь значение только для пользователей. Гугл, говорят, смотрит на серт лишь там, где используются транзакции - интернет магазины, сервисы, там где есть оплата и т д.
Сообщение от Ems
Ненужно. Есть Let's Encrypt.
Let's Encrypt вариант неплохой, но на три месяца даётся, надо продлевать постоянно.
Есть вариант получить серт на 3 года и забыть об этом.
На шаред его не запилить, к примеру. В крон надо ставить обновлялку. Значит только на VPS.
На шаред обычно сертификат не поставить и так. Либо отдельно денег за такое хотят. Нормальные хостинги сделали для своих клиентов бесплатную фичу с Let's Encrypt. Где тоже всё автоматом им ставится. Ну и традиционно - хостинги ненужны.
Облачный хостинг из TOP-3 - от 1 Gb ОЗУ, от 25 GB SSD.