Нужен ли SSL-сертификат и как его получить

Что такое ssl-сертификат

SSL (Secure Sockets Layer — уровень защищённых сокетов) — это протокол шифрования, который позволяет кодировать данные для более безопасного обмена.

Cloudflare

Компания специализируется на защите от DDoS-атак и других IT-решениях, в том числе бесплатных SSL. Сертификаты Cloudflare выдаются на один год, поддерживают IDN‑домены и защиту поддоменов. Однако решение не будет работать с некоторыми OC. Придётся столкнуться и с тем, что один сертификат выдаётся сразу на 50 сайтов.

Let’s encrypt

Проект создан в 2021 году, чтобы выдавать бесплатные SSL-сертификаты любому пользователю на 90 дней (затем их нужно обновлять). Основные плюсы SSL Let’s Encrypt в том, что защита распространяется на IDN-домены и поддомены сайта. К недостаткам можно отнести поддержку далеко не всех OC и старых браузеров, также сложности в плане совместимости с некоторыми устройствами.

При этом наиболее существенным минусом будет отсутствие гарантии сохранности данных сайта и печати доверия (картинка с логотипом удостоверяющего центра, которая подтверждает, что сайт проверен). Также у Let’s Encrypt нет страхования деятельности, то есть в случае проблем этот удостоверяющий центр ограничится лишь извинениями.

Безопасность данных

Конечно же, стоит начать с этого пункта, ведь в этом заключается основная цель использования SSL-сертификатов. Если вы работаете с персональными данными пользователей, вам просто необходимо их шифровать при передаче к серверу. Само по себе использование сертификата не лекарство от всех бед, злоумышленники могут перехватить данные ещё до момента передачи их на сервер на заражённом компьютере или устройстве посетителя сайта. Однако использование протокола шифрования — значительный вклад в снижение уязвимости сайта.

Бесплатные доверенные сертификаты

Такие SSL-сертификаты можно оформить довольно быстро. Часто ими пользуются стартапы, чтобы понять, что вообще такое SSL и как это работает. Бывают только одного вида — DV SSL (Domain Validation). Это сертификаты, удостоверяющие доменное имя.

Бренд не гарантирует надежность

Удостоверяющий центр может утратить доверие или просто развалиться. Так уже случалось. При этом именитое название ничего не гарантирует. Недавно доверие утратило подразделение Symantec, занимающееся выдачей SSL-сертификатов. При этом компания Symantec – один из лидеров в области производства ПО – продолжила существовать.

Владелец сайта

От владельца зависит уровень проверки, который необходимо пройти сайту для получения SSL-сертификата.

Независимо от вида, SSL-сертификат выполняет главную функцию: шифрует передаваемые данные и избавляет от уведомления о небезопасном соединении.

Доверие к сайту

Пользователи привыкают, что все крупные проекты используют SSL-сертификаты. Надпись «Защищено» и замочек дают посетителю сайта представление о том, что он и его данные находятся в безопасности.

Другие бесплатные ssl‑сертификаты

Среди бесплатных SSL есть два популярных решения: сертификаты от Let’s Encrypt и Cloudflare. Однако во время их установки и дальнейшей работы есть ряд нюансов, которые стоит учитывать.

Замечание про comodo

Еще одно замечание из нашего опыта. Сегодня Comodo является самым популярным удостоверяющим центром в мире. Этот УЦ выдает сертификаты быстро, здесь одни из самых дешевых сертификатов и быстрая выдача. При этом сертификаты с проверкой организации или расширенной проверкой выдаются только после покупки DUNS-номера. Из-за этого сертификат обходится в несколько раз дороже. У других УЦ подобного требования нет.

Возможно есть и другие особенности, которые нам неизвестны. Если есть что сказать о различиях удостоверяющих центров – пишите в комментариях, обсудим.

Как выбрать ssl-сертификат

Существует несколько видов SSL-сертификатов. Подробнее о них уже писали, поэтому пройдемся тезисно. Выбор зависит от того, владеет сайтом физ- или юрлицо, а также от количества сайтов и поддоменов.

Как выбрать удостоверяющий центр

Вы прошлись по пунктам выше и получилось, что вам нужен мультидоменный SSL-сертификат с уровнем проверки OV. Осталось выбрать, где его купить. SSL выдают удостоверяющие центры (УЦ). Они подтверждают подлинность ключей шифрования с помощью сертификатов электронной подписи.

Как заказать выпуск бесплатного ssl-сертификата

Рассказываем кратко на примере установки бесплатного SSL для сайта на веб-сервере, работающем на Linux или Windows:

Для подтверждения владения доменом и успешной генерации сертификата нужно будет иметь доступ к записям DNS а также уметь работать с командной строкой.

Как получить ssl-сертификат

Процесс получения зависит от места покупки. Универсальная история выглядит примерно так:

Как установить ssl

SSL-сертификат устанавливается в файлах конфигурации веб-сервера (Apache или Nginx). Инструкции по установке высылает центр сертификации. Процесс упрощается, если вы используете панель управления веб-сервером – ISPmanager, CPanel, Plesk и другие. Инструкции по установке найдете в документации разработчиков панелей.

Каким сайтам нужен ssl?

SSL-сертификат необходимо подключать к сайтам, которые работают с финансами и персональными данными пользователей. Это интернет-магазины, банки, платёжные системы, социальные сети, почтовые сервисы и любые другие проекты. 

SSL-сертификат лучше ставить с самого начала, чтобы иметь более высокие позиции в поисковых системах. Если всё же изначально не использовался сертификат, то переехать можно быстро, а вот поисковики могут увидеть это только спустя пару месяцев. Тем более сегодня поставить SSL можно и бесплатно.

Минусы

• Небольшой срок действия. Например, сертификаты Let`s Encrypt необходимо перевыпускать каждые 3 месяца.
• Сложности с продлением. Хостеры автоматически продлевают некоторые бесплатные сертификаты. Но здесь бывают проблемы. Перед выпуском сертификационный центр обращается к сайту за специальным файлом. Иногда он в системе не обнаруживается: не было места на диске и файл не записался, во время проверки почему-то закрылся доступ к сайту и пр. Итог один — сертификат не обновляется, а вы даже не узнаете об этом, если не решите вдруг проверить срок действия вручную.
• Отсутствие поддержки. Для корректной работы SSL-сертификата важна грамотная полноценная поддержка (по телефону, по email, в чатах). Она недоступна для бесплатных SSL. На официальных сайтах удостоверяющих центров, как правило, размещены ответы на часто задаваемые вопросы, которые в основном описывают общие случаи и могут быть бесполезны для решения конкретной проблемы. Также есть неофициальная информация на тематических форумах, но среди неё ещё надо найти нужную.
• Есть вероятность не заметить, что сертификат не работает. Как мы писали выше, посмотреть сроки действия сертификата можно вручную. Есть и другой способ: проверять даты с помощью специального скрипта, который не так просто создать. Поддержки нет. Если не проверять сроки, можно пропустить время продления, и сертификаты будут аннулированы. В безопасности сайта появятся дыры, посетители, увидев уведомление о ненадёжности сайта, станут покидать сайт и трафик снизится.

В 2021 году кредитное бюро Equifax сообщило о масштабном взломе: хакеры украли данные 143 млн человек — почти половины населения США. Это произошло отчасти из-за истечения срока действия сертификата, который был неактивным в течение 19 месяцев.

• Несовместимость с некоторыми браузерами. Как правило, такие сертификаты не могут использовать устаревшие версии браузеров и платформ. Это значит, что даже с сертификатом ваш сайт может не открыться у части клиентов. Они увидят предупреждающее об опасности окно и, скорее всего, уйдут с вашей страницы.
• Отсутствие гарантий и компенсаций. При использовании бесплатного сертификата сертификационный центр берёт на себя ответственность за шифрование данных. Но при утечке ответственность будет на вас. Гарантии и компенсацию за взлом вы не получите.
• Для самостоятельного выпуска и установки нужны навыки администрирования. При том, что выпустить и установить сертификат бывает не так трудно, навыки администрирования всё же пригодятся, если вы не хотите просидеть несколько часов за инструкциями.
• Нежелательны для сайтов с платежами. Бесплатные SSL-сертификаты обычно поддерживают технологию SNI (Server Name Identification). С её помощью можно установить сразу несколько сертификатов на один IP-адрес. Иногда это и удобно, но далеко не все платёжные системы работают с такой технологией. Плюс без надёжного SSL-сертификата покупатель не поймёт, кому принадлежит сайт и куда он собирается перевести деньги. Поэтому, если вы работаете с банком, финансовыми организациями, если у вас интернет-магазин или другой сайт, который принимает электронные платежи, не экономьте на SSL-сертификате.

Организация

Если сайтом владеет компания, может быть несколько вариантов:

• Сайт-визитка компании или организации. На сайте не собирают никакие платежные данные. Существует только для информирования. В таком случае подойдет сертификат с уровнем проверки Domain Validation. Он шифрует данные, избавляет от заглушки с надписью «небезопасно» в браузере, и – все.
• Сайты банков, платежных систем, сетевых гипермаркетов или СМИ. На сайте собирают деньги или данные, которые дают доступ к деньгам. Чтобы получить доступ к деньгам, мошенники могут его скопировать. Поэтому нужен сертификат с проверкой организации – Extended Validation (EV). Его может получить только реальная организация-владелец сайта, ее название и вид деятельности будет указан в сертификате. В строке браузера появится зеленая полоска с названием компании.
• Небольшой интернет-магазин, сайт благотворительного фонда, форум. Сайт неинтересен мошенникам, но клиенты могут пожелать удостовериться в существовании организации. Здесь нужен сертификат с проверкой организации – Organization Validation (OV). Название организации будет отражено в сертификате, в строке браузера появится зеленый замочек.

Наличие SSL-сертификатов показывает не только Google Chrome. Его отображают также «Яндекс.Браузер», Microsoft Edge, Firefox, Safari, Opera.

Самоподписанные сертификаты

Самоподписанный (самоизданный, самозаверенный, self-signed) сертификат — тот, который вы сами создали для своего домена или IP-адреса. Многим владельцам сайтов может показаться, что это идеальный вариант:

• Бесплатно.
• Доступно. Такой SSL-сертификат может создать любой владелец домена.
• Без обращения к поставщикам услуг. Не нужно ждать ответа от центра сертификации.
• Быстро. Но только если вы знаете, что делать и как пользоваться специальными программами или библиотеками. Например, для Windows можно воспользоваться криптографическим хранилищем OpenSSL или консолью PowerShell. 
• Можно создать сколько угодно сертификатов.

Следование трендам

Протокол нужен для «прогрессивных веб-приложений» – сайтов, которые на десктопе работают как стандартные веб-страницы, а на мобильном или планшете – как приложения. Они надежны, быстро загружаются, работают офлайн.

Формальность или необходимость

По состоянию на март 2021, Google Chrome используют 48.2 % пользователей рунета, поэтому веб-мастерам приходится считаться с мнением Google. При этом многие из них не согласны с IT-гигантом.

Основные аргументы «против»:

Цена не показатель

С SSL-сертификатами не так, как с хлебом или машиной: дороже не значит качественней. Все доверенные удостоверяющие центры выпускают SSL-сертификаты по установленным стандартам, поэтому смысла доплачивать за бренд нет. Большая разница в цене объясняется скорее маркетинговой политикой удостоверяющих центров: кто-то нацелен на корпоративных клиентов, кому-то интересны только западные рынки, а кто-то хочет продавать как можно больше и поэтому снижает цену до минимума.

Число сайтов и поддоменов

Цена SSL зависит от его типа. Самые дешевые сертификаты (от 1 тыс. рублей) – DV с поддержкой одного домена. Самые дорогие (от 22 тыс. рублей) – мультидоменные с расширенной проверкой организации.

Выводы

SSL нужен, если вы:

• собираете конфиденциальные данные пользователей (пароли, данные банковских карт);
• хотите снять часть возражений покупателей перед покупкой;
• не хотите, чтобы незащищенностью вашего сайта воспользовались мошенники;
• работаете над SEO и для вас важны все, даже минимальные факторы повышения в выдаче.

Заключение

Заниматься наполнением и продвижением сайта без SSL нет смысла, так как браузеры просто будут помечать его, как опасный и обрезать трафик. Для небольшого сайта, на котором пока низкая посещаемость, можно установить бесплатный SSL Let’s Encrypt, а уже по мере роста трафика переходить на платный сертификат.

Если решили покупать платный SSL, сначала советуем найти хостера у которого процесс покупки и установки наиболее автоматизирован или есть подробная пошаговая инструкция, а затем выбрать и оплатить оптимальный тип сертификата, который подходит именно вашему сайту.

Полезные ссылки: