Что такое ssl?
SSL (англ. Secure Sockets Layer — уровень защищённых сокетов) — криптографический протокол, который подразумевает более безопасную связь.
Протокол SSL гарантирует безопасное соединение между браузером пользователя и сервером.
При использовании SSL информация передается в шифрованном виде и расшифровать ее невозможно без ключа.
1с-битрикс разработчикам – бесплатный ssl-сертификат для интернет магазина на битрикс и коробки битрикс24
Как широко известно, с 1 января 2021 года наступает три важных события в жизни интернет-магазинов.
- Google и Mozilla выпускают новые версии популярных браузеров Google Chrome и Firefox, которые начнут помечать сайты, работающие без ssl-сертификата, как небезопасные. И предупреждать об этом пользователей. Ничего ужасного, но доверие к таким сайтам упадет.
- Поисковые системы начнут приоритетно ранжировать сайты, работающие по HTTPS, с ssl-сертификатом
- Начинается подготовка к передаче данных об онлайн-оплатах в интернет-магазинах в ФНС через операторов фискальных данных. Обязательное подключение интернет-касс начнется с 01 июля 2021. Для передачи потребуется SSL-сертификат. Настроить ваш интернет-магазин на
План работ
SSL-сертификат используется для шифрования трафика между сервером интернет-магазина и браузером пользователя. В большинстве случаев он гарантирует, что никто не “подслушивает” и не подменяет данные.
Итак, нам нужно перевести интернет-магазин на HTTPS. Эта задача решается в несколько крупных шагов:
- Достать ssl-сертификат.
- Установить ssl-сертификат на хостинг.
- Настроить сайт.
- Оповестить поисковые системы о переходе на HTTPS.
Обо всем по порядку.
Шаг 1. Покупаем или устанавливаем бесплатный SSL-сертификат
Базовый ssl-сертификат (domain validation – DV)
Обычно ssl-сертификат покупают на 1 год или более (далее его надо снова покупать). Минимальная стоимость ssl-сертификата – 600 рублей, эту цену легко найти через поисковик. За 600 рублей можно купить базовый ssl-сертификат компании Comodo на 1 год для одного доменного имени, например, magazin.ru и .
Сертификаты такого уровня дают нормальную базовую защиту (проверяется лишь факт принадлежности вам домена), признаются большинством браузеров, но не имеют дополнительного подтверждения: имя вашей компании не покажется при проверке сертификата. Заветная иконка замочка будет показана на сайте, но большинство браузеров отобразят его в сером цвете. Как, например, у нас 
:
Если вам нужен сертификат на несколько доменов, его стоимость возрастет. Wildcard-сертификаты, которые можно устанавливать на любое число поддоменов, например, test.magazin.ru, piter.magazin.ru, ufa.magazin.ru, стоят от 7 тысяч рублей и выше. Для крупных магазинов, может быть, это не является проблемой, но средние и небольшие магазины лучше потратят эти деньги на развитие сайта.
Подведем итог. Базовый ssl-сертификат:
- шифрует трафик;
- повышает доверие клиентов к сайту;
- подтверждает только доменное имя сайта.
- добавляет заветный замочек в браузере к адресу сайта;
- можно купить на один или несколько поддоменов;
- доступен физическим или юридическим лицам;
- дешев и сердит).
Деловой ssl-сертификат (Company/Organization validation)
Отличается от базового процедурой проверки компании, которая покупает сертификат, по ЕГРЮЛ. Имя компании, адрес ее местонахождения будут отображены в подробной информации о сертификате. Но при этом “заветный замочек” все еще будет серым. Начинается стоимость таких сертификатов от 5000 р. Для кириллических доменов, есть сведения, дешевле.
Характеристики делового ssl-сертификата:
- шифрует трафик;
- повышает доверие клиентов к сайту;
- подтверждает доменное имя, название и адрес компании;
- добавляет серый замочек к адресу сайта в браузере;
- можно купить на один или несколько поддоменов;
- доступен только юридическим лицам;
- добавляет компанию в реестр на dnb.ru или yp.ru
- не столь дешевый, но и менее сердитый 8).
SSL-сертификат с расширенной проверкой (тот самый зеленый замочек
– EV)
Дает максимальную уверенность пользователям, но нужен только для крупных интернет-магазинов. Для получения сертификата надо пройти расширенную проверку телефона компании, юридического лица, должностного лица, подающего заявку. Процедура ускоряется, если у компании уже есть регистрация в реестрах.
Платим от 13 000 рублей и, наконец, искатели заветного зеленого замочка достигают своей мечты:
Характеристики расширенного ssl-сертификата:
- шифрует трафик также, как и другие типы сертификатов;
- дает максимальное доверие клиентов к сайту;
- выводит имя компании рядом с адресом сайта.
- добавляет зеленый замочек в браузере к адресу сайта;
- можно купить только на один домен;
- доступен только юридическим лицам;
- добавляет компанию в реестр на dnb.ru или yp.ru
- Самый дорогой вариант.
Как получить ssl-сертификат бесплатно
Чтобы сделать интернет безопаснее, крупные западные корпорации совместно с фондом Electronic Frontier Foundation основали первый некоммерческий авторизационный центр Let’s Encrypt. Подробнее – см. по (на английском). Сервис разработан и поддерживается компанией Internet Security Research Group (ISRG).
Суть этого сервиса в том, что теперь любой сайт может бесплатно получить ssl-сертификат и продлять его без ограничения срока.
Получить бесплатный ssl-сертификат можно двумя способами:
- Вручную на сайте и далее через раздел Ручной режим –
- Полуавтоматически или автоматически (в зависимости от ПО вашего сервера, на котором работает интернет-магазин, сайт или Битрикс24) через бота Certbot
Если Вы решили получить сертификат вручную, а затем установить его на свою Виртуальную машину Bitrix VM, воспользуйтесь
.
Шаг 2. Установка ssl-сертификата на сервер
Если ваш интернет-магазин, сайт или портал Битрикс24 в коробке работает на виртуальной машине Битрикс, вы сможете установить и настроить ssl-сертификат от Let’s Encrypt при наличии у вас базовых знаний по администрированию серверов на Unix. Если вы не хотите тратить свое время или не обладаете такими навыками, пожалуйста, обращайтесь в нашу компанию, мы поможем перевести ваш сайт на HTTPS.
Если сайт работает на shared-хостинге, стоит обратиться к хостинг-провайдеру для установки ssl-сертификата. Процедура установки сертификата Let’s Encrypt на сервера без виртуальной машины принципиально не отличаются. В помощь Вам будет этот мастер на сайте Certbot – .
Стоит заметить, что для большинства веб-серверов Certbot работает в автоматическом режиме: он получает, устанавливает и продляет сертификаты самостоятельно. Например, Apache на Ubuntu Server 16.10. А вот для Nginx на CentOS 6 не содержит в своем репозитории Certbot и работает только в ручном режиме. Подробнее – см.
Установка ssl-сертификата Let’s Encrypt на Виртуальную машину Битрикс
Как мы помним, за работу по HTTPS в виртуальной машине Битрикс отвечает NGINX. Мы вернемся к нему, как только получим сертификат.
1. Для начала зайдем установим Certbot
Зайдем на сервер с интернет-магазином по ssh с правами root и установим Certbot в папку /usr/local/sbin напрямую в с сайта EFF.
Получить последнюю версию Certbot можно также с Github (убедитесь, что у вас есть git):
Далее переходим в директорию со свежескаченным Certbot-ом и дадим боту права на исполнение:
2. Приступим к получению сертификата
.
Для получения сертификата необходимо выполнить команду с вызовом Certbot’a с определенными параметрами:
где,
–webroot — специальный ключ, повышающий надежность работы Certbot под Nginx;
–agree-tos — автоматическое согласие с Условиями предоставления услуг (Terms of Services;
–email — Ваш e-mail. Будьте внимательны, его нельзя изменить, он потребуется, например, для восстановления доступа к домену и для его продления;
-w /home/bitrix/www — указываем корневую директорию сайта основного сайта; если у вас несколько многосайтовая конфигурация, укажите путь к доп. сайту – /home/bitrix/ext_www/
-d domen.ru — через ключ -d мы указываем, для каких доменов мы запрашиваем сертификат. Начинать надо c домена второго уровня domen.ru и через такой же ключ указывать поддомены, например, -d -d opt.domen.ru
Скрипт Certbot начнем свою работу, предложит установить дополнительные пакеты, соглашайтесь и ждите окончания работы.
При успешном завершении работы Certbot поздравляет Вас с генерацией сертификата и выдает следующее сообщение:
* – если вместо этого сообщения появляется ошибка “Failed to connect to host for DVSNI challenge “, то вам необходимо настроить ваш Firewall так, чтобы был разрешен TCP-трафик на портах 80 и 443.
** – если вы используете сервисы типа Cloudflare для вашего домена, предварительно отключите их на время генерации сертификата.
3. Настройка Nginx
Ура! Мы получили бесплатный ssl-сертификат на 3 месяца. Нам осталось только настроить Nginx и поставить автоматическое продление сертификата на cron.
Но сначала давайте повысим уровень безопасности и сгенерируем группу . Это повысит уровень шифрования и поможет нам в дальнейшем получить оценку А при проверке сертификата.
Ждем примерно 2-4 минуты и переходим к конфигурированию Nginx.
Открываем файл /etc/nginx/bx/conf/ssl.conf и прописываем в нем пути к только что полученным сертификатам.
Ниже вы найдете дополнительные директивы Nginx, которые позволяет получить вам оценку А при проверке сертификата на sslanalyzer:
Сохраняем изменения, тестируем конфигурацию Nginx:
Если никаких ошибок нет, перезапускаем Nginx:
И идем проверять свежеустановленный сертификат на сервисе SSL Analyzer –
.
Если вы все сделали правильно, то должны увидеть приятную картинку — как эта:
Для автоматического продления сертификата необходимо добавить в крон команды запуска certbot:
И добавляем строки
Теперь каждый понедельник в 2-30 наш сертификат(ы) будет продляться автоматически, результат запишется в лог. В 2-35, после продления сертификата, перезагрузится конфигурация Nginx.
Вручную же можно продлить сертификаты следующей командой:
Так как наши сертификаты уже сгенерированы, Certbot их просто продлит.
Если теперь вы хотите переключить весь трафик на HTTPS, то в ВМ Битрикс это делается согласно .
Итог
- Мы узнали, зачем нужен ssl-сертификат, какие виды сертификатов бывают.
- Получили бесплатный ssl-сертификат или купили его.
- Установили ssl-сертификат на сайт и проверили, что теперь сайт работает по HTTPS, как того добивался великий Google и иже с ними.
Про настройку интернет-магазина под HTTPS и оповещение поисковиков мы напишем в следующей статье.
Спасибо всем, кто дочитал до конца.
Оригинал статьи доступен:
Инструкция по установке ssl-сертификата
1. Сначала необходимо получить SSL-сертификат от центра сертификации, который вы выбираете сами (этот процесс в данной статье описывать не будем).
У вас должны быть файлы:
- site.key – приватный ключ домена (созданный вами на этапе отправки заявки на получение сертификата или присланный центром сертификации),
- site.crt – публичный сертификат домена (присланный центром сертификации).
2. Авторизуйтесь на сервере с правами root.
3. Перейдите в директорию /etc/nginx/bx/conf и откройте файл ssl.conf:
4. Измените строки:
ssl_certificate /etc/nginx/ssl/cert.pem;
ssl_certificate_key /etc/nginx/ssl/cert.pem;
ssl_dhparam /etc/nginx/ssl/dhparam.pem
На
ssl_certificate /etc/nginx/ssl/site.crt;
ssl_certificate_key /etc/nginx/ssl/site.key;
5. Перейдите в директорию /etc/nginx/ssl/ и скопируйте туда полученные вами ключ (site.key) и сертификат (site.crt).
6. Перезагрузите nginx.
Инструкция по установке бесплатного сертификата let’s encrypt из битрикс окружения
1. Перейдите в раздел «8 Manage poll web serers»:
2. Перейдите в раздел «3 Conigure certificates»:
3. Перейдите в раздел «1 Configure “Let’s encrypt” certificate»:
4. Заполните необходимые поля:
- адрес сайта,
- email для подтверждения.
Мастер самостоятельно запросит и установит сертификат в течение нескольких минут. Пути SSL-сертификатов будут указаны в этом же разделе.
Просмотреть историю задач, а также выполняемые в данный момент задачи, можно с помощью пункта меню 5. Background tasks in the pool
Установка ssl-сертификата на виртуальную машину битрикс
Решение:
1. Для начала Вам необходимо выбрать и купить SSL-сертификат. Можно взять простой вариант Thawte SSL123, который действует только на один домен. Обратите внимание, что домен – это infospice.ru ИЛИ www.infospice.ru.
Если Вам нужен 1 сертификат на все домены *.infospice.ru – выбирайте сертификат с Wildcard.
2. После покупки сертификата на руках у вас должны быть следующие файлы:
- файл ключа, который был создан Вами при генерации CSR-запроса для получения сертификата (в нашем примере это private.key).
- файл вашего сертификата, обычно присылается в тексте письма. Текст сертификата от скоровать в отдельный файл и назвать vash_domen.crt, например, infospice.crt
- файлы корневого и/или промежуточного сертификата, например, root.crt – предоставляется компанией, которая выпустила Ваш сертификат. Этот файл необходимо скачать с сайта компании-издателя. Обратите внимание, что для разных операционных системы эти файлы отличаются.
В случае установки сертификатов Comodo Вы можете получить несколько промежуточных сертификатов. Например:
Все эти файлы (private.key, vash_domen.crt и промежуточный сертификаты) копируем под root по ssh на вашу ВМ Битрикс в папку /etc/nginx/ssl/1 – папку надо предварительно создать.
После чего нам необходимо объединить ваш сертификат домена и промежуточный сертификат в один файл pem. Здесь важно соблюсти обратную последовательность: сначала должен быть сертификат для вашего домена, затем промежуточные сертификаты №2, №1 и корневой сертификат. Сделать это можно через любой текстовый редактор или через командную строку сервера.
Полученный файл сертификата cert.pem скопировать в папку /nignx/ssl/, заменив старый файл, и прописать в конфигурационном файле nginx путь к публичному ключу – /etc/nginx/bx/conf/ssl.conf:
Перезагружаем nginx и проверяем результат, набрав ваш домен по протоколу https – https://www.infospice.ru
Браузер не должен выдать никаких предупреждений безопасности. Корректность установки также можно проверить через сайт компании-издателя сертификата. В случае Thawte делается это тут. Если у вас сертификат от Comodo, проверяем тут: https://sslanalyzer.comodoca.com