- Что такое ssl-сертификат?
- Что такое ssl-сертификат и для чего он нужен
- Лучше выглядит в браузере
- CloudFlare
- Положительно сказывается (или будет) на позициях в поисковых системах
- Получить бесплатный SSL сертификат
- Купить SSL сертификат у продавца
- Где купить ssl-сертификат
- Где купить ssl-сертификат?
- Другие варианты:
- Защита для бизнеса и клиентов
- Как заказать выпуск бесплатного ssl-сертификата
- Может ли работать без сертификата?
- Мой магазин не на эквиде
- Насколько важно иметь ssl сертификат для сайта?
- Плюсы и минусы бесплатного ssl-сертификата от let’s encrypt
- Уровни проверки ssl-сертификатов
- Я использую стартовый сайт эквида
- Я поставил эквид на собственный сайт
- Заключение
Что такое ssl-сертификат?
Многие наверняка слышали про
, но не все чётко представляют, что это такое и для чего они нужны. По сути, SSL-сертификат — цифровая подпись вашего сайта, подтверждающая его подлинность. Использование сертификата позволяет защитить как владельца сайта, так и его клиентов. SSL-сертификат даёт возможность владельцу применить к своему сайту технологию SSL-шифрования.
Что такое ssl-сертификат и для чего он нужен
Безопасность и конфиденциальность в интернете — важнейший фактор для пользователей при посещении любого сайта. Согласитесь, никому не хочется лишиться пароля от банковской карты или другой конфиденциальной информации после невинного серфинга в сети. От того насколько защищен ваш сайт зависит доверие к нему со стороны пользователей и поисковиков.
SSL — это сертификат или своего рода «удостоверение», подтверждающее, что ваш сайт безопасен для пользователей. Без этого сертификата, данные, которые вы вводите на сайте, могут быть перехвачены злоумышленниками.
Простой пример: вы покупаете книгу в интернет-магазине и вводите данные карты, чтобы расплатиться. Сайт передает их серверу и вот как раз во время передачи они могут быть перехвачены. SSL защищает данные, а вернее шифрует так, что даже если они и попадут в третьи руки, вместо ценной информации злоумышленники получат бесполезный набор случайных символов.
Если пользователь попадает на сайт без SSL, то видит вот такую ужасную картину (с Google):
Аналогично с Яндекса:
В адресной строке все не менее печально.
Как вы понимаете, увидев подобное предупреждение, пользователь тут же покинет сайт. Поэтому SSL нужен не только магазинам, но и вообще любому современному сайту, включая личные блоги.
Соответственно дело за малым — получить сертификат и установить его на сайт. Получить SSL можно бесплатно и платно.
Лучше выглядит в браузере
Браузеры, с недавних пор, очень не любят сайты без SSL. И они будут пытаться помешать вашим посетителям регистрироваться и оплачивать покупки.
Вот так выглядит сайт без SSL (обычная страница) в современных браузерах:
Не так плохо, но веселье начинается если вы начнете вводить пароль или данные банковской карты. Будет вот так:
Как думаете, отпугнет ли это часть ваших посетителей? Конечно да. И это еще не все, Firefox, когда ваш посетитель будет вводить свои данные, покажет ему вот такое окошко:
С SSL сертификатом же все выглядит намного лучше:
CloudFlare
Это бесплатный CDN провайдер, используя который, вы получаете кучу полезного, включая бесплатные SSL сертификаты.
Минимальные требования к браузерам и ОС для работы сертификата можно найти внизу этой страницы (Windows Vista , Firefox 2 , Android 4.0 и т.п.)
Положительно сказывается (или будет) на позициях в поисковых системах
В Google сайты с SSL начали ранжироваться выше с 2021 года, но на очень ограниченном числе запросов. Сейчас это влияет все больше и больше.
Насчет Яндекса я не нашел информации по этому поводу, но, скорее всего, они тоже это учитывают как один из второстепенных параметров.
Получить бесплатный SSL сертификат
Если ваш хостер не продает SSL сертификаты или ваш бюджет ограничен, можете установить бесплатный сертификат. Они бывают только одного вида — с проверкой домена (DV). Для защиты данных этого достаточно.
Для получения бесплатного сертификата рекомендуем сервисы:
CloudflareВыдает бесплатный SSL сертификат на срок до 15 лет. Кроме защиты данных у сервиса есть другие плюсы:
- базовая защита от DDoS-атак;
- автоматическое ускорение работы сайта.
Но есть и минусы:
Купить SSL сертификат у продавца
Если вы не готовы тратить время на настройку сертификата от Let’s Encrypt и не хотите использовать Cloudflare, можно купить сертификат у одного из множества продавцов, например:
Выбирайте SSL сертификат с проверкой домена (DV) на понравившемся вам сервисе. Как мы уже говорили, нет смысла покупать дорогой, потому что все они работают одинаково.
Где купить ssl-сертификат
Платные SSL выпускают разные центры сертификации, самые распространенные: Comodo, IdenTrust, Symantec Group, GeoTrust.
Перед покупкой выберите, какой тип сертификата вам нужен, они бывают:
Где купить ssl-сертификат?
Приобретают сертификаты обычно не напрямую у удостоверяющего центра, а через партнёров. В России продажей сертификатов известных удостоверяющих центров (УЦ), таких как Comodo, Geotrust, GoDaddy, GlobalSign, Symantec и прочих, занимается множество компаний.
Другие варианты:
- Еще бесплатные сертификаты выдает StartCom. Я пользовался им пока, в конце 2021 Mozilla, Apple и Google решили перестать доверять этим сертификатам в новых версиях браузеров. И, пока что, StartCom это не исправил.
Защита для бизнеса и клиентов
Каким же сайтам нужна защита SSL? Да практически всем. Особенно тем, которые в наибольшей степени подвержены атакам: ресурсам финансовых учреждений, крупных брендов, сайтам, работающим с персональными данными и платёжной информацией.
Как заказать выпуск бесплатного ssl-сертификата
Рассказываем кратко на примере установки бесплатного SSL для сайта на веб-сервере, работающем на Linux или Windows:
Для подтверждения владения доменом и успешной генерации сертификата нужно будет иметь доступ к записям DNS а также уметь работать с командной строкой.
Может ли работать без сертификата?
Короче говоря, нет, но могут быть тонкие случаи в зависимости от того, как вы хотите развернуть систему.
HTTPS – это HTTP поверх SSL / TLS, и вы можете использовать SSL / TLS без сертификата или с сертификатами других типов, кроме X.509 .
Строго говоря, спецификация HTTP over TLS гласит следующее:
Как правило, запросы HTTP / TLS генерируются путем разыменования URI. Как следствие, имя хоста для сервера известно клиенту. Если имя хоста доступно, клиент ДОЛЖЕН проверить его на соответствие идентификатору сервера, как указано в сообщении сертификата сервера, для предотвращения атак «человек посередине».
Если клиент имеет внешнюю информацию относительно ожидаемой идентификации сервера, проверка имени хоста МОЖЕТ быть опущена. (Например, клиент может подключаться к машине, адрес и имя хоста которой являются динамическими, но клиент знает сертификат, который будет представлять сервер.) В таких случаях важно максимально ограничить область допустимых сертификатов в Чтобы предотвратить нападение человека в середине. В особых случаях может быть целесообразным, чтобы клиент просто игнорировал идентификатор сервера, но следует понимать, что это оставляет соединение открытым для активной атаки.
Короче говоря, он явно предназначен для использования с сертификатом X.509 (он явно ссылается на RFC 2459, позже замененный RFC 3280 и 5280: PKI с сертификатами X.509).
Может быть крайний случай, когда вы используете наборы шифров Kerberos. Может иметь смысл рассматривать билет службы Kerberos на сервере, который может предполагать, что он имеет ту же цель, что и сертификат X.509 в обычном HTTPS, для проверки личности удаленной стороны. Он не совсем вписывается в правила RFC 2818 (хотя он может попадать в раздел « Если у клиента есть внешняя информация относительно ожидаемой идентификации сервера, проверка имени хоста МОЖЕТ быть опущена »), но это не будет совершенно абсурдно. При этом, я не думаю, что обычные браузеры в целом поддерживают наборы шифров TLS Kerberos (некоторые могут поддерживать Kerberos посредством аутентификации SPNEGO, но это не имеет отношения). Кроме того, это также будет работать только в среде, где подходит Kerberos.
« Предоставление потребителю уверенности в том, что он подключается к нужному веб-сайту », на самом деле является одним из ключевых требований для обеспечения безопасности связи между ними и вашим сервером. Используйте сертификат, который они могут проверить, с соответствующими соглашениями об именах (RFC 2818 или более поздний RFC 6125).
Мой магазин не на эквиде
Если ваш сайт не защищен SSL сертификатом, следуйте описанным выше инструкциям.
Насколько важно иметь ssl сертификат для сайта?
Согласна с Денис Инешин, SSL-сертификат в первую очередь нужен не для ранжирования, а для защиты данных пользователей. Повышение ранжирования это скорее бонус, также как и повышение лояльности и доверия к вам ваших посетителей.
По поводу “просадки” в топе. Временное падение возможно, но со временем все вернется на свои места. Сколько составит этот период “просадки”, сказать трудно.
Вообще тенденция использования SSL-сертификатов, а также некоторые исследования, проведенные независимыми экспертами говорят о том, что использование SSL-сертификатов благоприятного сказывается на уровне посещаемости ресурса. По некоторым данным проведенных исследований, отмечается прирост посещаемости в среднем от 0,5 до 5%.
SSL-сертификат нужен в случае когда на сайте присутствуют любые скрипты/поля для ввода персональных данных посетителей (будь-то даже email для подписки). А уж тем более, если вы используете на сайте платежные системы. Многие платежные агрегаторы обязывают использовать ssl-сертификат.
По поводу Гугл, еще где-то в 2021 году, они заявляли, что использование сертификата повысит ранжирование в их поисковой системе, но буквально на 1%
Плюсы и минусы бесплатного ssl-сертификата от let’s encrypt
Стоит ли устанавливать бесплатный сертификат или лучше купить платный — разбираем достоинства и недостатки:
Плюсы Let’s Encrypt:
- он бесплатный (да, КЭП) и его могут использовать владельцы небольших сайтов;
- надежное шифрование;
- есть возможность обновлять сертификат автоматически при помощи специального клиента, который устанавливается на сервер и может менять его конфигурацию.
Минусы:
- не каждый хостинг поддерживает автоматический выпуск и обновление сертификата;
- сложная установка в ручном режиме;
- клиент для автоматического обновления получает разрешение на изменение конфигурации сервера (при ручной установке на VDS, виртуальных хостингов это не касается). С одной стороны, мы записали это в плюсы, а с другой стороны, из-за неправильных настроек может пострадать весь сайт;
- короткий срок действия. Чаще всего SSL от Let’s Encrypt выпускается на 90 дней, реже на год. То есть каждые 90 дней нужно следить, не слетел ли сертификат во время автоматического обновления или перевыпускать его вручную. Если забыть о сроках, сайт на время может оказаться без сертификата и это повлияет на доверие к нему со стороны пользователей, а также на позицию в выдаче поисковиков;
- могут возникнуть проблемы при установке на виртуальный хостинг (а это обычно самый дешевый хостинг);
- у сертификата есть проблема совместимости с разными устройствами, ОС и операционными системами. Например, сертификат не работает на мобильных устройствах с версией прошивки ниже Android 2.3.6;
- нет гарантий. Let’s Encrypt не несет ответственности за использование своих сертификатов. Если пользователь потеряет деньги на сайте с бесплатным сертификатом, например, в результате взлома, он не сможет их вернуть. Коммерческие центры сертификации возмещают убытки в зависимости от типа SSL-сертификата;
- нет поддержки клиентов — только техническая документация на сайте, которая может показаться сложной для новичков;
- бесплатные сертификаты менее функциональны, чем платные аналоги. Например, SSL Let’s Encrypt не выпускает сертификаты с зеленой строкой или проверкой организации, то есть, не подходит серьезным компаниям.
Как видите, минусов немало и есть над чем подумать. Стоит ли рисковать или лучше купить платный сертификат на год и забыть о нем до очередного продления?
Уровни проверки ssl-сертификатов
Существуют сертификаты разных уровней проверки. Для защиты персональных данных пользователей подойдёт сертификат с упрощённой проверкой — DV (Domain validation). Сертификат с проверкой доменов — самый низкий и недорогой уровень. Он доступен физическим и юридическим лицам, выдаётся владельцу или администратору доменного имени и просто подтверждает это доменное имя.
Следующий уровень — сертификат OV (Organization validation) для организаций, применяемый для проверки связи между доменным именем, хозяином домена и использующей сертификат компанией. То есть такой сертификат удостоверяет не только доменное имя, но и то, что сайт принадлежит действительно существующей организации.
Для более качественной проверки компании и её полномочий на приобретение сертификатов используются так называемые сертификаты с расширенной проверкой — EV (Extended validation). Это самый престижный вид сертификатов. Такие сертификаты вызывают больше всего доверия.
После установки сертификата расширенной проверки адресная строка в браузере становится зелёной — это визуальный индикатор надёжности сайта. В таком сертификате указано название организации и название удостоверяющего центра, выпустившего сертификат.
Эта схема показывает доли сертификатов DV, OV и EV у основных удостоверяющих центров. Сертификаты DV составляют около 70% от сертификатов всех типов, на EV приходится менее 5%.
Бывают сертификаты для одного, нескольких доменов (SAN) и сертификаты для всех прямых поддоменов выбранного домена (Wildcard).
Я использую стартовый сайт эквида
Каждый, кто зарегистрировался в Эквиде, бесплатно получает готовый сайт со встроенным интернет-магазином — стартовый сайт Эквида.
Если вы используете этот сайт, то у вас уже есть SSL сертификат по умолчанию. Магазин на стартовом сайте Эквида соответствует всем требованиям международного стандарта безопасности передачи данных.
Я поставил эквид на собственный сайт
Магазин от Эквида можно поставить на любой сайт и не беспокоиться за сохранность данных клиентов. Всё потому, что данные вашего магазина хранятся и обрабатываются на наших серверах, то есть вне вашего сайта. Наши сервера надежно защищены SSL сертификатом и данные ваших покупателей в безопасности.
Заключение
Заниматься наполнением и продвижением сайта без SSL нет смысла, так как браузеры просто будут помечать его, как опасный и обрезать трафик. Для небольшого сайта, на котором пока низкая посещаемость, можно установить бесплатный SSL Let’s Encrypt, а уже по мере роста трафика переходить на платный сертификат.
Если решили покупать платный SSL, сначала советуем найти хостера у которого процесс покупки и установки наиболее автоматизирован или есть подробная пошаговая инструкция, а затем выбрать и оплатить оптимальный тип сертификата, который подходит именно вашему сайту.
Полезные ссылки: