- Компьютер не принимает ssl сертификаты – что делать?
- Что нужно сделать после привязки ssl-сертификата к сайту на advantshop
- Недействительный сертификат
- Устаревшая версия протокола безопасности
- Несоответствие имени сертификата
- Устаревший алгоритм шифрования
- Возможные ошибки при подключении
- Возможные проблемы при использовании ssl
- Как заказать бесплатный ssl-сертификат из панели управления?
- Как исправлять типичные ошибки ssl/tls
- Как отключить переадресацию?
- Обеспечьте сайту бескомпромиссную защиту
Компьютер не принимает ssl сертификаты – что делать?
Впервые столкнулся с такой проблемой – не грузятся некоторые сайты. На них написано, что подключение не защищено. Все бы ничего, но в числе незагружающихся сайтов Пикабу и Рутрекер, а так же мой собственный проект, где точно знаю, что SSL действительный.
Если говорим браузеру, что на свой страх и риск переходим на небезопасный сайт, то простые сайты типа моего работают полноценно. Например https://doit3d.ru/ или https://prom-kapital.ru/ А вот тот же Пикабу и Рутрекер прогружаются так, но без стилей.
Проблема с загрузкой некоторых сайтов, в том числе упомянутых, возникла еще позавчера. Но тогда просто выскакивала ошибка ERR_TIMED_OUT. Собственно, третий вечер уже голову ломаю. Перепробовал все варианты решения этой ошибки, предлагаемые гуглом. Пропала сама по себе и сменилась проблемой с сертификатами сайтов, где выскакивала..
Сертификат отмечается как недействительный даже у https://cps.letsencrypt.org. Во всех случаях написано, что срок действия сертификата еще не наступил или истек. Хотя фактически указанный соответствует актуальной дате. Обратил внимание, что у всех обнаруженных сайтов с якобы недействительным сертификатом, сертификат от letsencrypt.У работающих нормально сертификаты digicert и sectigo.
Проблема локальная, только на одном ПК. Были мысли, что шалит Comodo Firewall, дошло до удаления, а ничего не поменялось. Перепробовал Хром, Оперу, Лису, Тор – у всех с одними и теми же сайтами. Проверил на ноуте – та же домашняя сеть, тот же хром под моим логином – все отлично работает. Посмотрел сертификаты, сроки действия совпадают. Но на примере того же Пикабу, отличается путь сертификации. На ноуте, где работает, путь начинается с ISRG Root X1. На ПК, где не работает с DST Root CA X3. В обоих случаях далее R 3 и за ним сам сайт.
На обоих устройствах стоят “бесплатные” Win7 Ultimate.
Подскажите, куда копать, что делать? Ладно бы еще сайты прогружались нормально, по необходимости проигнорить отсутствие SSL еще можно, но работать на ресурсе с незагрузившимися стилями, то еще удовольствие.
Что нужно сделать после привязки ssl-сертификата к сайту на advantshop
После привязки SSL-сертификата сайт будет доступен сразу по двум протоколам: защищённому (HTTPS) и незащищённому (HTTP). К примеру, http://my-site.ru и https://my-site.ru . Поисковые системы могут расценить это как дублирование сайта и начать снижать позиции сайта в поисковой выдаче.
Чтобы предотвратить это, необходимо произвести “переезд” сайта HTTP на HTTPS. При переезде сайта позиции в поисковых системах тоже могут временно понизиться – но не так сильно и не на такой долгий срок, как в том случае, если переезд сайта не делать.
Решение о переезде сайта принимается в каждом случае индивидуально, в зависимости от возраста домена и текущих позиций сайта в поисковой выдаче. Мы рекомендуем вам по возможности принимать решение о переезде после консультации у SEO-специалиста.
Внимание!
после переезда сайта на HTTPS в синхронизации с 1C может возникнуть ошибка (если обработка для обмена с 1С является старой). Для её исправления необходимо обратиться к партнерам, производившим настройку обмена магазина с 1С.
Если вы приняли решение о переезд сайта HTTP на HTTPS, произведите следующие настройки:
Изменить протокол домена в настройках магазина
В видео ниже рассмотрим, как изменить протокол домена в настройках магазина. После этого все ссылки на сайте, которые формируются автоматически, поменяют свой протокол на защищённый (HTTPS).
Изменить протокол домена в карте сайта в файле robots.txt
В видео ниже рассмотрим, как изменить протокол домена в адресе карте сайта в файле robots.txt.
Заметка
Если в robots.txt отсутствует директива Sitemap – её нужно добавить вручную по инструкции.
С более подробной информацией о настройке файла robots.txt вы можете ознакомиться в инструкции.
Настроить 301 редирект с HTTP на HTTPS
В видео ниже рассмотрим, как настроить редирект (перенаправление) с протокола HTTP на протокол HTTPS.
С более подробной информацией о настройке 301 редиректа вы можете ознакомиться в инструкции.
Переезд сайта на HTTPS в сервисе Яндекс.Вебмастер
В видео ниже рассмотрим, как настроить переезд сайта на HTTPS в сервисе Яндекс.Вебмастер. Через некоторое время после этого действия Яндекс переиндексирует страницы вашего сайта по защищённому соединению.
Перевод сайта на протокол HTTPS в сервисе Google Search Console
В видео ниже рассмотрим, как перевести сайт на протокол HTTPS в сервисе Google Search Console. Через некоторое время после этого действия Google переиндексирует страницы вашего сайта по защищённому соединению.
Готово. Мы рассмотрели все действия, которые желательно произвести после привязки SSL-сертификата к домену (в случае, если домен с HTTPS вы планируете использовать как основной).
Недействительный сертификат
У сертификата безопасности есть определенный срок действия. Он постоянно уменьшался: до 5 лет в 2021-м, до 3 лет в 2021-м, до 2 лет в 2021-м. Сейчас сертификаты действительны только 398 дней (13 месяцев) — с 2020 года Safari, Chrome и Mozilla прекратили поддержку сертификатов с большим сроком действия.
Информация о дате истечения действия сертификата доступна в браузере:
Что же происходит, если SSL-/TLS-сертификат устаревает? Сайт становится недоступен — пользователи увидят сообщение о небезопасности в браузере. Результат — существенные потери трафика и, соответственно, прибыли.
Устаревшая версия протокола безопасности
Технологии шифрования совершенствуются, но и хакерские атаки становятся все изощреннее. Постоянно растущие риски — одна из причин сокращения срока действия SSL-/TLS-сертификатов и обновления протокола.
Протокол TLS был представлен как апгрейд SSL (версии 3.0 на тот момент), поэтому любая версия TLS более безопасна чем SSL. Самый актуальный протокол — TLS 1.3, выпущенный в 2021 году, — имеет усовершенствованный криптографический алгоритм и позволяет браузеру быстрее подсоединиться к серверу сайта.
Важно использовать актуальную версию протокола безопасности и отключать все предыдущие версии. Существует несколько способов проверить, какой протокол у сайта:
- Во вкладке Security в Chrome DevTools:
- В онлайн-инструментах, проверяющих, какие версии TLS и SSL включены на сайте. Например:
Чтобы включить последнюю версию TLS, прежде всего убедитесь, что ваш сайт поддерживает ее. Запустите серверную проверку — например, в SSL Labs — и просмотрите результаты конфигурации:
После этого свяжитесь со своим хостинг-провайдером, чтоб узнать, как именно подключить актуальную версию протокола. Вам нужно будет указать правильную версию в файле конфигураций сервера.
Скажем, ваш сайт размещен на сервере Nginx. Вам нужно отредактировать файл nginx.conf, указав в нем установленную версию TLS. Также удалите из файла все ранее используемые версии, которые признаны устаревшими. Строка конфигурации будет выглядеть так:
ssl_protocols TLSv1.2 TLSv1.3;
Если же окажется, что ваш сайт не поддерживает TLS 1.2 или 1.3, стоит обратиться к провайдеру и по возможности сменить тариф (или провайдера).
Несоответствие имени сертификата
Ошибка неверного имени сертификата вызвана тем, что доменное имя, указанное в SSL-/TLS-сертификате, не соответствует введенному в адресной строке. Пользователи в таком случае не смогут зайти на сайт.
Причины несоответствия имени SSL-/TLS-сертификата:
Устаревший алгоритм шифрования
Когда пользователь заходит на сайт, происходит процесс «рукопожатия»: клиент (браузер) и сервер идентифицируют друг друга, браузер при этом проверяет подлинность SSL-/TLS-сертификата. Набор алгоритмов шифрования очень важен для этого процесса: браузер сообщает, какие комбинации шифров он поддерживает, и сервер выбирает лучшую из подходящих.
Набор алгоритмов шифрования состоит из нескольких шифров, отвечающих за разные функции. Перед разработкой TLS 1.3 самой надежной была такая комбинация:
- Алгоритм для обмена ключами между сервером и браузером (ECDHE)
- Цифровая подпись, удостоверяющая сертификат (ECDSA)
- Шифр для обмена данными (AES-256-GCM)
- Алгоритм для аутентификации сообщений (SHA384)
Комбинация в TLS 1.3 содержит только два последних шифра и по умолчанию не поддерживает устаревшие алгоритмы для обмена ключами и аутентификации сертификата.
Версия TLS 1.2 до сих пор считается достаточно надежной, но у нее есть уязвимости из-за большей вариативности алгоритмов шифрования и их качества. С TLS 1.3 выбор шифров ограничен самыми безопасными и весь процесс «рукопожатия» происходит проще и быстрее.
Если вы не знаете, какие шифры поддерживаются вашим сертификатом, стоит проверить их актуальность. Можно запустить онлайн-тест:
Если вы обнаружите устаревшие алгоритмы, нужно отключить их в настройках сервера. Кроме того, можно проанализировать рейтинг шифров и указать приоритетный порядок, чтобы браузеры выбирали самый надежный из поддерживаемых в вашем сертификате.
Возможные ошибки при подключении
При подключении SSL сертификата к сайтам, работающим с версией WordPress 4.4 и ниже, наблюдаются ошибки mixed content.
Возможные проблемы при использовании ssl
Стоит обратить внимание на возможные проблемы при использовании SSL:
Как заказать бесплатный ssl-сертификат из панели управления?
- Зайдите в раздел Домены и поддомены и выберите напротив домена «Управление SSL сертификатами».
- В открывшемся окне перейдите на вкладку «Бесплатный сертификат» и нажмите кнопку «Установить».
- После заказа SSL-сертификата вы получите письмо на контактный email о подаче заявки на выпуск SSL, а затем еще одно письмо о завершении его установки.
- В момент установки для домена будет автоматически изменена A-запись, если домен работает на наших DNS. Если вы используете не наши DNS, необходимо самостоятельно прописать на них указанный в письме IP-адрес в качестве А-записи для домена.
Как исправлять типичные ошибки ssl/tls
Если у вас уже есть SSL-/TLS-сертификат, он требует регулярного обновления и мониторинга. Чтобы избежать ошибок, проверяйте свой сайт на наличие проблем с SSL/TLS. Вы можете быстро обнаружить возможные ошибки с помощью «Аудита сайта» SE Ranking — для этого перейдите в раздел «Отчет об ошибках» и секцию «Безопасность сайта»:
Давайте рассмотрим 4 частые ошибки SSL-/TLS-сертификатов и объясним, как их исправить.
Как отключить переадресацию?
Отключить переадресацию можно почти так же, как и включить. Необходимо:
Шаг 1 – отключить принудительное перенаправление.Если перенаправление было включено в разделе «Сайты» Панели управления — соответствующую опцию необходимо отключить, если в .htaccess были добавлены соответствующие правила — нужно удалить их из файла.
Обеспечьте сайту бескомпромиссную защиту
Продвигать сайт без заботы о его безопасности не получится. Чтобы защитить свой сайт от кибератак и уязвимости данных, нужен надежный SSL-/TLS-сертификат с самыми актуальными настройками. Мы рекомендуем использовать последнюю версию TLS, поставить напоминания о дате истечения срока действия, подключить самые надежные алгоритмы шифрования и регулярно проверять состояние протокола.