Зачем и кому нужен HTTPS?
В современном мире очень много внимания уделяется безопасности в том числе и безопасности в интернете. В связи с этим, разработчики веб-стандартов и браузеров, приняли решение использовать HTTPS, в качестве основного протокола, для безопасной передачи данных пользователя.
О протоколе HTTPS и SSL-сертификатах
Протокол HTTPS был разработан для передачи данных в зашифрованном виде, он обеспечивает шифрование данных пользователя, передаваемых по сети. Т.е. исключает перехват данных веб-провайдерами и хакерами, за исключением случаев когда троянские и/или шпионские программы установлены на компьютере пользователя.
В связи активно растущей аудиторией интернета и ухудшением ее интернет-грамотности, основные поисковые системы, решили включить в свои алгоритмы ранжирования такой фактор как использование HTTPS сайтами, что бы хоть как-то обезопасить своих пользователей от фишинга и кражи персональных данных. Это и стало основной причиной массового перехода сайты на данный стандарт.
Дополнительным стимулом для перехода на HTTPS, стали законы принятые в ЕС и ряде других стран, которые обязывают большинство сайтов обрабатывающих персональные данные пользователей, обеспечивать их защиту и обработку в соответствии с нормами и требованиями безопасности.
Для обеспечения данного рода защиты используются SSL-сертификаты, служащие защищенным «хранилищем» для ключей шифрования и дешифровки данных, передаваемых между браузером пользователя и веб-сервером, где расположен сайт.
Какие бывают сертификаты?
В большинстве случаев, используется самый простой SSL-сертификат, удостоверяющий только доменное имя — DV. Его вполне хватит, для перехода сайта с HTTP на HTTPS.
SSL-сертификаты бывают нескольких видов, для ознакомления, приведу весь список, возможных вариантов:
- DV — Domain Validation — для подтверждения одного домена
- OV — Organization Validation — для подтверждения организации и домена
- EV — Extended Validation — для расширенного подтверждения организации и домена
- SGC — Server Gathered Certificates — для старых браузеров, с принудительно высоким уровнем шифрования
- SAN — Subject Alternative Name — сертификат для домена и 100 поддоменов
- WildCard — для основного сайта и любого числа поддоменов, расположенных на одном IP
- Code Signing — сертификаты для программ и приложений
Использование типа сертификата зависит от цели, например если ваш сайт не использует суб-доменов, то вам подойдёт самый простой и недорогой вариант — DV.
В случае, если на вашем сайте используется множество суб-доменов, вам потребуется приобрести сертификат WildCard или SAN, либо использовать несколько сертификатов DV, выданных на отдельные суб-домены.
Что из себя представляет SSL-сертификат?
По факту, это несколько файлов (3, реже 2), содежащие последовательность букв и цифр, используемых сервером и браузером, для кодирования и декодирования зашифрованной информацией, передающейся по открытым каналам связи.
Практически все сертификаты состоят из трёх файлов:
- открытого ключа — публичный “паспорт”, в котором кроме ключа дешифровки, указаны все данные о владельце
- закрытого ключа — код, используемый для шифрования сервером, исходящих данных. При его краже, злоумышленники могут расшифровать передаваемые данные
- цепочки сертификации — web и ip адреса удостоверяющего центра и его “зеркал”, используется для верификации
По степени шифрования, SSL-сертификаты, бывают разные по длине (40, 56, 128 и и 256 бит), стойкость сертификата ко взлому, кратна его длине.
Самыми безопасными считаются сертификаты выданные с маркой WildCard и с расширенной верификацией (EV), проведенной в офисе регистратора, либо по нотариально заверенным документам.
Зачем платить, когда есть бесплатный Let’s Encrypt?
Существует и бесплатный вариант сертификации — это использование Let’s Encrypt.
Его отличие от других сертификатов заключается в том что он выдается всего на 3 месяца и при этом ничего не стоит.
При этом его “защитные” характеристики, практически ничем не отличаются от платных версий SSL, удостоверяющих только доменное имя.
Основным минусом данного сертификата является короткий срок действия в три месяца, но при использовании современной системы управления сервером или сайтом его можно обновлять автоматически.
С недавних пор, Let’s Encrypt, стал поддерживать мультидоменный сертификаты типа SAN, что значительно упрощает работу с ним.
Выводы
Для крупных проектов и в корпоративном секторе рекомендуется использовать платные сертификаты известных удостоверяющих центров, во всех остальных случаях можно обойтись простым Let’s Encrypt, и правильной настройкой сервера/хостинга.
Если вам нужно помочь выбрать или установить сертификат — обращайтесь в службу поддержки. А при заказе сертификата через нас, вы получите хорошую скидку, на его установку.
