SSL-сертификат – что это такое и как его установить

SSL — протокол шифрования данных, которыми посетитель обменивается с сайтом. Аббревиатура расшифровывается как Secure Sockets Layer, дословный перевод — «уровень защищенных сокетов». Благодаря кодированию информации ее не могут перехватить третьи лица, в том числе администратор Wi-Fi, провайдер. Наличие SSL-сертификата подтверждает надежность ресурса, выполняет функцию цифрового идентификатора. Если он есть, в URL-адресе отображается пиктограмма в виде закрытого замка, что свидетельствует о защищенности соединения.

При защищенном соединении пользователю доступна информация о домене, сроке действия криптографического протокола, организации, которая его выпустила.

Наличие SSL-сертификата обеспечивает возможность подключения по безопасному протоколу HTTPS.

Чем HTTP отличается от HTTPS

При внесении текстовых данных в поле ввода они направляются на сервер, а затем обратно. По умолчанию пересылка информации обеспечивается протоколом HTTP (Hypertext Transfer Protocol). Данные отправляются в исходном виде, без кодирования информации — ее можно перехватить. Этим часто пользуются злоумышленники, чтобы узнать конфиденциальные сведения (логин, пароль, банковские реквизиты и прочее).

HTTPS в отличие от HTTP обеспечивает криптографическое шифрование (Hypertext Transfer Protocol Secure). Передача информации становится доступной только после того, как браузер свяжется с удостоверяющим центром и проверит действительность защищенного сертификата. Если все в порядке, генерируется разовый шифр. Теперь посетитель и сервер получают возможность обмениваться данными. Такое подтверждение требуется каждый раз при отправке запросов/ответов.

Кому нужен SSL

SSL-технология востребована на всех сайтах, где предполагается передача личных данных посетителей (ввод паролей,банковских реквизитов и прочего). Основные категории:

торговые площадки;
платежные системы;
доски объявлений;
соцсети;
почтовые сервисы;
другие проекты с необходимостью защиты персональных данных.

Рекомендуем устанавливать SSL-сертификат сразу после запуска сайта. Это один из элементов SEO в рамках комплексной оптимизации. Если вы перешли на защищенный протокол после использования незащищенного, поисковики увидят это с задержкой до двух месяцев.

Виды SSL-сертификатов

Защищенные сертификаты выпускают удостоверяющие центры. Среди популярных сервисов — Comodo, DigiCert, GeoTrust, RapidSSL, GlobalSign. Ключи шифрования подтверждаются посредством электронной цифровой подписи. Перечисленные организации предоставляют платные услуги. Есть и бесплатные варианты (на 3 месяца): CloudFare (выдается на 50 проектов, что несет определенные риски), Let’s Encrypt. CloudFare и Let’s Encrypt не гарантируют безопасность передачи информации, нет печати доверия (знака, уведомляющего о безопасном соединении).

Классификация по источнику подписи:

Самоподписанные (подпись генерируется сервером по инициативе посетителя). При посещении ресурсов с подобным сертификатом пользователь видит уведомление о незащищенном соединении.
Валидные (подпись удостоверена аккредитованным центром сертификации). Гарантируется недоступность данных, которыми пользователь обменивается с браузером, третьим лицам.

Продажа SSL-сертификатов осуществляется в УЦ, также их можно приобрести у большинства провайдеров хостинга.

Классификация по способу проверки:

DV (Domain Validation). Технология кодирования информации без удостоверения организации.
OV (Organisation Validation). Кодирование + проверка владельца сайта. Подобные решения доступны исключительно юридическим лицам.
EV (Extended Validation). Максимальный уровень защиты. Востребованы в online-коммерции, выдаются после углубленного контроля (легальность организации, дополнительно придется подтвердить право владения доменом).

Упомянутые выше варианты служат для кодирования трафика между ресурсом и браузером. Дополнительные функции: WildCard — защита соединения с доменом/поддоменами, SAN — Защита доменов, внесенных в список при выпуске SSL-сертификата.

Как выбрать сертификат

Выбор обусловлен спецификой сайта и требованиями к уровню безопасности. Для площадок, на которых предполагаются выполнение финансовых операций и ввод личных данных, советуем приобрести Extended Validation. Если вы хотите избавиться от бесконечных уведомлений об опасности ресурсов, устанавливайте Domain Validation. Для корпораций, групп компаний, использующих более двух веб-адресов, рекомендуем варианты с опциями Wildcard и SAN.

Критерии выбора: совместимость с распространенными браузерами, степень защиты, наличие печати доверия. Еще обратите внимание на срок действия, тариф.

SSL-сертификат от Let’s Encrypt (бесплатно)

Вариант подойдет для информационных ресурсов, на которых не предусмотрена отправка платежных данных посетителей (SSL-сертификат DV). Особенности:

256-битное кодирование (симметричный ключ);
сведения доступны всем;
срок действия 90 дней.

Платные сертификаты

Востребованы на торговых площадках, сайтах коммерческих компаний или с отправкой персональных данных посетителей. Степень защиты выше, чем у SSL-сертификатов типа DV. В случае взлома ключа центр аккредитации выплатит компенсацию, предусмотрена техподдержка пользователей. Представляем подборку удостоверяющих центров:

Let’s Encrypt. Помимо продажи выполняет выдачу бесплатных SSL-сертификатов.
GlobalSign by GMO. Авторитетный центр сертификации действует с 1996 года. Среди наиболее известных клиентов — Microsoft, Airbnb.
GoDaddy. 128- и 256-битное кодирование. Доступны SHA-2 и 2048-битное шифрование. Отличный вариант для сайтов, на которых выполняются платежи.

В случае взлома ключей шифрования от NaneCheap предусмотрена максимальная компенсация ущерба в размере 50 000$. Лидирующий поставщик сертификатов — SSLStore.

Покупка SSL-сертификата у хостинг-провайдера

Почти все провайдеры сотрудничают с удостоверяющими центрами. Приобрести сертификат можно в админпанели, здесь же предусмотрена возможность установки и настройки. Основные этапы:

выбор типа;
ввод данных (для решений с повышенным уровнем защиты);
выбор домена, на который собираетесь установить SSL-сертификат.

Обязательно настройте редирект на HTTPS. Для установки используйте функционал панели управления. Аналогичный процесс в CMS предполагает установку расширений. Например,SSL Insecure Content Fixer или SSL Mixed Content Fix — для WP. Для WordPress есть подробная инструкция с описанием процесса (на английском языке). Владельцам площадок на Bitrix рекомендуем руководство по переводу на протокол https. Пошаговые алгоритмы для других CMS легко найти в поиске по запросу «mixed content».

Зачем нужен SSL-сертификат

Есть несколько причин, чтобы обеспечить защищенность соединения. Рассмотрим самые веские:

Безопасность данных. Установка протокола шифрования усложнит несанкционированный доступ к информации со стороны злоумышленников. Учтите, что https-протокол не защищает от перехвата сведений до отправки на сервер.
Сайты с SSL-сертификатом пользуются большим доверием у посетителей. Пользователь лояльнее относится к площадкам с символом «замка» и сообщением «защищено».

Сотрудничество со сторонними сервисами. Многие системы платежей, специальные сервисы заключают партнерские соглашения с ресурсами, на которых есть HTTPS-протокол. Защищенность соединения — обязательное условие.
Ранжирование в результатах выдачи Google и Yandex.
Соответствие требованиям ФЗ № 152. Владелец обязан обеспечить надежную защиту персональных данных, в том числе от перехвата при обмене информацией.

Протокол HTTPS исключает перехват личных данных посетителей. Злоумышленникам не удастся выведать номер платежной карты, контакты, логины, пароли и другие ценные сведения.

#web-development