Информация

ПОДРОБНЕЕ на другом моем сайте:

Акции

Любое действие в интернете — это обмен данными. Каждый раз, когда вы запускаете видеоролик, посылаете сообщение в социальной сети или открываете любимый сайт, ваш компьютер отправляет запрос к нужному серверу и получает от него ответ. Как правило, обмен данными происходит по протоколу HTTP. Этот протокол не только устанавливает правила обмена информацией, но и служит транспортом для передачи данных — с его помощью браузер загружает содержимое сайта на ваш компьютер или смартфон.

При всём удобстве и популярности HTTP у него есть один недостаток: данные передаются в открытом виде и никак не защищены. На пути из точки А в точку Б информация в интернете проходит через десятки промежуточных узлов, и, если хоть один из них находится под контролем злоумышленника, данные могут перехватить. То же самое может произойти, когда вы пользуетесь незащищённой сетью Wi-Fi, например, в кафе. Для установки безопасного соединения используется протокол HTTPS с поддержкой шифрования.

Применение HTTPS
В некоторых сервисах, например, в электронных платёжных системах, защита данных исключительно важна, поэтому в них используется только HTTPS. Этот протокол также очень часто применяется и в других сервисах, которые обрабатывают приватную информацию, в том числе любые персональные данные. Многие сервисы Яндекса работают только по протоколу HTTPS: Паспорт, Почта, Директ, Метрика, Такси, Яндекс.Деньги, а также все формы обратной связи, имеющие дело с персональными данными пользователей.

Все современные браузеры поддерживают протокол HTTPS. Его не нужно специально настраивать — он автоматически включается в процесс, когда это необходимо и возможно.

Почему HTTPS безопасен
Защиту данных в HTTPS обеспечивает криптографический протокол SSL/TLS, который шифрует передаваемую информацию. По сути этот протокол является обёрткой для HTTP. Он обеспечивает шифрование данных и делает их недоступными для просмотра посторонними. Протокол SSL/TLS хорош тем, что позволяет двум незнакомым между собой участникам сети установить защищённое соединение через незащищённый канал.

Предположим, сегодня последний день месяца, и вы вспомнили, что нужно заплатить за интернет. На сайте провайдера вы находите нужную ссылку и переходите в личный кабинет. Всю передаваемую информацию вы наверняка хотите сохранить в секрете, поэтому она должна быть зашифрована: это и ваш пароль, и сумма платежа и номер кредитной карты. Проблема в том, что изначально ваш компьютер обменивался данными с сервером провайдера по открытому каналу, то есть по HTTP. Как в таких условиях можно установить безопасное соединение по HTTPS, если предположить, что канал всё время прослушивается? Сделать это позволяет простая математическая уловка.

Как работает безопасное соединение
Представьте, что вы хотите передать какую-то вещь другому человеку. Вы кладёте её в ящик и отправляете по почте. А чтобы курьер — или кто угодно другой — не украл её, вы запираете ящик на замок. Курьер доставляет ящик, но ваш адресат не может его открыть — у него нет ключа. Тогда он вешает на ящик свой замок и отправляет обратно вам. Вы получаете ящик под двумя замками, снимаете свой — теперь это безопасно — и отправляете снова. Адресат получает, наконец, ящик, на котором висит только его замок, открывает его и достаёт то, что вы ему послали.

Это было нужно, чтобы обменяться с собеседником зашифрованными сообщениями. В ящике вы послали ему ключ от шифра, и теперь он известен вам обоим. Теперь вы можете открыто обмениваться зашифрованными сообщениями, не опасаясь, что их кто-то перехватит — всё равно их невозможно понять без ключа. Зачем такие сложности и почему нельзя было передать посылку отдельно, а ключ от замка отдельно? Конечно, можно было, но в таком случае нет гарантии, что ключ не перехватят и посылку не откроет кто-то другой.

На похожем принципе основана работа протокола SSL/TLS. При установке безопасного соединения по HTTPS ваш компьютер и сервер сначала выбирают общий секретный ключ, а затем обмениваются информацией, шифруя её с помощью этого ключа. Общий секретный ключ генерируется заново для каждого сеанса связи. Его нельзя перехватить и практически невозможно подобрать — обычно это число длиной более 100 знаков. Этот одноразовый секретный ключ и используется для шифрования всего общения браузера и сервера. Казалось бы, идеальная система, гарантирующая абсолютную безопасность соединения. Однако для полной надёжности ей кое-чего не хватает: гарантии того, что ваш собеседник именно тот, за кого себя выдаёт.

Зачем нужны цифровые сертификаты
Представьте, что ваша посылка не дошла до адресата — её перехватил кто-то другой. Этот человек вешает на неё свой замок, подделывает адрес отправителя и отправляет вам. Когда он таким образом узнаёт секретный ключ к шифру, он сообщает его вашему настоящему адресату от вашего имени. В результате вы и ваш собеседник уверены, что ключ к шифру был передан безопасно и его можно использовать для обмена зашифрованными сообщениями. Однако все эти сообщения легко сможет прочитать и перехватить третье лицо, о существовании которого вы никак не можете догадаться. Не очень-то безопасно.

Таким же образом в соединение между двумя устройствами в интернете может незаметно вклиниться третий участник — и расшифровать все сообщения. Например, вы заплатили за интернет по безопасному соединению, и платёж был получен. Но злоумышленник перехватил номер и код проверки подлинности вашей кредитки. Вы об этом ещё не знаете, а когда узнаете, будет уже поздно. Избежать такой ситуации помогает цифровой сертификат — электронный документ, который используется для идентификации сервера.

Вам как пользователю сертификат не нужен, но любой сервер (сайт), который хочет установить безопасное соединение с вами, должен его иметь. Сертификат подтверждает две вещи: 1) Лицо, которому он выдан, действительно существует и 2) Оно управляет сервером, который указан в сертификате. Выдачей сертификатов занимаются центры сертификации — что-то вроде паспортных столов. Как и в паспорте, в сертификате содержатся данные о его владельце, в том числе имя (или название организации), а также подпись, удостоверяющая подлинность сертификата. Проверка подлинности сертификата — первое, что делает браузер при установке безопасного HTTPS-соединения. Обмен данными начинается только в том случае, если проверка прошла успешно.

Если вернуться к аналогии с ящиком и замками, цифровой сертификат позволяет убедиться в том, что замок вашего собеседника на ящике принадлежит именно ему. Что это уникальный замок, который невозможно подделать. Таким образом, если кто-то посторонний попытается вас обмануть и пришлёт ящик со своим замком, вы легко это поймёте, ведь замок будет другой.

Распространение HTTPS
Одна из самых популярных рекомендаций любых интернет-сервисов — всегда использовать последние версии программного обеспечения. Если вы никогда не задумывались о том, зачем это нужно, то вот вам одна из причин — поддержка последних разработок в области безопасности.

Распространение HTTPS и вообще новых технологий в интернете во многом зависит от того, насколько быстро появляется инфраструктура для их использования. К примеру, если бы у половины пользователей интернета браузеры не поддерживали HTTPS, многие сайты просто не смогли бы его использовать. Это привело бы к тому, что сайт какого-нибудь банка, полностью перешедший на HTTPS, был бы недоступен у половины клиентов.

Кроме того, в криптографических протоколах, в том числе и в SSL/TLS, время от времени находят уязвимости, которые позволяют перехватывать даже зашифрованную информацию. Для устранения этих уязвимостей протоколы регулярно обновляют, и каждая следующая версия, как правило, надёжнее предыдущей. Поэтому чем больше людей устанавливают современные версии браузеров и других важных программ, тем надёжнее они будут защищены.

Подготовительный этап к переходу на https протокол

  1. Заменить все абсолютные ссылки в рамках внутренней перелинковки на относительные. Этот пункт желательно выполнить до того, как начать использовать протокол https, чтобы избежать неожиданных технических проблем с доступностью элементов веб-сайта и его переиндексацией поисковиками  после перехода.
     
  2. Исправить ссылки для вложений с медиа-контентом. Если контент находится на сторонних сайтах, то изменять в таких URL http на https следует только, если конечный веб-ресурс доступен по данному протоколу. Но если медиа-файлы расположены в пределах веб-сайта, то их адреса необходимо переделать на относительные по аналогии с обычными внутренними ссылками.
     
  3. Проверить и при необходимости исправить настройки подключения внешних скриптов. Если в скриптах используются абсолютные ссылки, в них также нужно сделать соответствующие изменения и прописать относительные пути.

Эти три этапа являются предварительной подготовкой и в основном являются самой затратной (с точки зрения временных ресурсов) статьей расходов при переходе на https протокол.

Основной этап настройки протокола https

  1. Выбрать и приобрести SSL-сертификат. Придется выбирать, учитывая Ваши потребности и возможности, среди таких видов сертификатов:

    a) Обычные. Используются для одного домена. Подходят физ. и юр. лицам. Выпускаются всего за несколько минут. Требуется лишь проверка принадлежности домена тому, кто запрашивает  SSL-сертификат.

    b) Extended Validation (EV). В этой категории находятся сертификаты с расширенной проверкой: помимо подтверждения прав доступа к домену, проверяется свидетельство о госрегистрации организации, наличие имени организации в данных Whois, совершаются проверочные звонки и т. д.
    При приобретении сертификата данного вида появляется возможность получить зеленую пометку в виде «замочка» с названием компании в адресной строке, что для большинства интернет-пользователей является символом надежности веб-сайта.

    c) Wildcard-сертификаты. Используются для поддоменов.

    d) Сертификаты, поддерживающие IDN. Используются для сайтов с доменом на кириллице.
     
  2. Установить SSL-сертификат на сервере. В большинстве случаев эта процедура выполняется через панель управления, предоставленную хостером, и занимает всего несколько минут.

    В случае, если самостоятельно выполнить ее не удается, на помощью приходит техподдержка. Еще вариант – обратиться за помощью к специалисту в программировании.

    Кстати перед тем, как установить https протокол, следует поинтересоваться у хостера, поддерживает ли он эту возможность. Большинство крупных компаний, предоставляющих услуги хостинга, давно ввели поддержку SLL-сертификатов, но некоторые все еще продолжают «пасти задних».
    Поэтому может потребоваться перенос сайта на сервера более современного хостера.
     
  3. Проверить доступность веб-сайта. Убедитесь в том, что доступ к успешно настроенному сайту с протоколом https имеется по обоим вариантам: и с http, и с https в начале адреса. Теперь по умолчанию при вводе в адресную строку URL сайта с http должно происходить автоматическое перенаправление на защищенный протокол https.

Если сайт недоступен по одному из вариантов или же не осуществляется перенаправление, значит настройка выполнена неверно или имеются проблемы со стороны хостера. В любом случае нужно искать причину этого и как можно скорее ее устранять.

Этап настройки сайта после перехода на https протокол

  1. Изменить значение директивы Host в файле robots.txt. Так как для поисковиков версии сайта с протоколами https и http являются совершенно разными, следует позаботиться о том, чтобы в их индексах остался лишь один вариант. Поэтому нужно произвести правильную настройку robots.txt и указать главное зеркало с защищенным протоколом https, используя директиву Host.
     
  2. Настроить 301 редирект. Чтобы не заниматься тратой времени, внося соответствующие команды в код каждой странички сайта, следует воспользоваться возможностью прописывания редиректа 301 в файле .htaccess с помощью модуля  mod_rewrite или же обратиться за соответствующей просьбой к техподдержке хостера.
     
  3. Найти и устранить ошибки. В процессе перехода сайта на https протокол невозможно уследить за всеми нюансами. Поэтому по завершению этого процесса следует убедиться в том, что доступны все страницы веб-сайта, ссылки на них работают корректно, медиа-вложения отображаются верно и находятся на своих местах.
     
  4. Уведомить поисковики о переходе на https протокол. Этот этап необходим для того, чтобы обезопасить свой веб-сайт от потери трафика из поисковиков.
    Используя Google Search Console, нужно добавить и указать в качестве главного зеркала новую версию сайта с протоколом https.

В Яндекс.Вебмастере в разделе настроек индексирования имеется функция «Переезд сайта», воспользовавшись которой нужно указать домен и поставить галочку «Добавить HTTPS».

На этом все. Остается только дождаться переиндексации сайта после перехода на https протокол. После этого в поисковых выдачах начнут отображаться URL его страниц с https.

На этом этапе возможны скачки в количестве загруженных в индекс поисковика страничек и занимаемым ими позициями. Но если все вышеперечисленные рекомендации были выполнены правильно, довольно скоро все должно вернуться к изначальным показателям (с допустимыми потерями в 2-3%).

Как установить https на свой сайт

Чтобы на веб-сайт установить защищенный протокол передачи данных, потребуется последовательно выполнить следующие действия:

  1. Первым делом нужно выбрать SSL сертификат, с помощью которого можно будет установить защищенный протокол.
    И вот что Вам нужно знать для этого:

    a) Среди самых надежных поставщиков SSL сертификатов числятся Comodo, Thawte, GeoTrust и RapidSSL.

    b) Из-за имеющихся отличий SSL cертификаты  подразделяют на несколько основных типов:

    – DV (Domain Validation) SSL – с проверкой домена;
    – BV (Business Validation) SSL – с верификацией данных компании/организации;
    – EV (Extended Validation) SSL – с расширенной проверкой компании.

    c) Физические лица и частные предприниматели могут установить https на сайт с помощью сертификатов DV SSL, так как для их получения нужна лишь проверка доменного имени без необходимости предъявления каких-либо документов.

    d) Другие два типа (BV SSL и EV SSL) могут приобрести только юридические лица, поскольку кроме проверки домена производится проверка компании (регистрационные документы, адрес и т. д.). 

    Если выбрать SSL сертификат такого вида, уровень доверия клиентов любого веб-проекта  существенно повысится. При посещении защищенных таким образом сайтов в адресной строке браузера будет отображаться специальный значок (обычно – зеленый замок) и название организации, на которую выдан сертификат.

    e) Рекомендуем сертификат Comodo Positive SSL. Он выдается в течение всего 15 минут после осуществления покупки и CSR запроса (внесения данных сертификата). С его помощью защищаются абсолютно все данные клиентов (посетителей), в том числе и при совершении финансовых сделок (если подключена оплата кредитками).

    f) Если установить защищенный протокол с помощью сертификата Comodo Positive SSL, у которого будет дополнительная пометка Wildcard, это значит, что его действие, кроме основного домена, распространяется и на все его поддомены. Стоимость его, конечно же, выше, но в некоторых случаях он необходим, например, когда процесс оплаты происходит на поддомене.
     
  2. Решая, какой SSL сертификат выбрать, обращайте внимание на цену, тип, подробное описание свойств и условий получения.

    При оформлении заказа предоставляйте только достоверные данные как о владельце, так и о самом веб-ресурсе, на который собираетесь установить https.
    Если в процессе возникнут вопросы, у обоих сайтов имеется отзывчивая техническая поддержка, которая всегда готова Вас проконсультировать.
     
  3. В зависимости от типа выбранного сертификата у Вас могут запросить некоторые дополнительные данные для генерирования CSR подписи.

    В результате Вы получите CERTIFICATE REQUEST и PRIVATE KEY, состоящие из множества непонятных символов, которые нужно будет обязательно сохранить на компьютере или в любом другом безопасном месте.
     
  4. Последним и самым важным этапом является правильная настройка SSL сертификата на сервере.
     
  5. Иногда после выполнения процедуры установки защищенного протокола может потребоваться дополнительно переключить сайт с http на https в используемой Вами CMS.

Как видите, если приложить совсем немного усилий и разобраться в том, какой SSL сертификат выбрать, перейти на https сможет каждый, кто желает обезопасить посетителей своего сайта.

Какой SSL сертификат выбрать для своего сайта

Ведь от того, какой SSL сертификат выбрать, зависит не только то, как будет отображаться URL Вашего веб-сайта в адресной строке браузера (цвет, символ «замочка», название т. д.), что является фактором, повышающим доверие к нему посетителей, но и некоторые другие вещи.

В первую очередь, это финансовая сторона: стоимость разных видов SSL сертификатов может варьироваться от нескольких долларов до нескольких тысяч долларов за год.

А еще, если провести разностороннее сравнение SSL сертификатов, станет понятно, что некоторые из них не только дорого стоят, но и требуют выполнения целого ряда условий для их получения.

Чтобы помочь Вам правильно выбрать SSL сертификат, предлагаем немного пройтись по теории. Сначала давайте разберемся, для чего нужен SSL сертификат, а затем перейдем к их видам.

SSL сертификат – зачем он нужен

Тут все просто – без него не получится использовать протокол HTTPS, принцип действия которого основан на SSL-технологиях, позволяющих осуществлять защищенный обмен данными через Всемирную паутину.

SSL сертификат – это выданный уполномоченным центром сертификации цифровой документ (уникальная цифровая подпись), обеспечивающий подтверждение подлинности сервера сайта и достоверности данных о его владельце, а также защищенности установленного канала для обмена данными с клиентом (пользователем).

Например, наличие одного из видов SSL сертификатов с проверкой подлинности данных компании, дает понять, что:

  • сайт, на который зашел пользователь, действительно принадлежит организации, о которой на нем идет речь;
     
  • эта организация является реальной, зарегистрированной надлежащим способом и имеющей все необходимые документы для осуществления своей деятельности;
     
  • данные о ней проверены уполномоченным центром цифровой сертификации.

Получается, что SSL сертификат нужен не только для обеспечения защиты передачи данных, но и для повышения уровня доверия со стороны посетителей сайта, что безусловно положительно сказывается на поведенческих факторах и, как следствие, на его позициях в поисковых выдачах.

Основные виды SSL сертификатов

Чтобы выделить отдельные виды SSL сертификатов, нужно обратиться к перечислению объединяющих признаков:

  1. По поддерживаемому количеству доменов/поддоменов:

    a) Стандартные. Используются для защиты лишь одного доменного имени, без поддержки субдоменов, в том числе и www.

    b) Групповые (WildCard). Обеспечивают защиту основного зарегистрированного домена и всех его поддоменов. Некоторые сертификаты по умолчанию относятся к этой категории, ну а другие, даже если они самые дорогие, могут и не поддерживать субдомены. На этот момент нужно обращать особое внимание, чтобы выбрать правильный вид SSL сертификата.

    c) Мультидоменные (MDC — Multidomain Certificates). Один такой сертификат можно использовать для защиты нескольких отдельных доменов.
     
  2. По типу проверки данных:

    a) Самоподписанные сертификаты (Self-Signed). Да, сертификат можно сгенерировать самостоятельно и использовать его для защиты сайта. Но проблемой является то, что при переходе на сайт с таким сертификатом любой современный браузер выдаст сообщение о том, что ему доверять нельзя.

    Причиной этому послужит факт отсутствия подписи доверенного Центра сертификации. Поэтому собственноручно созданные никем не проверенные сертификаты использовать нет смысла, так как большинство пользователей будут уходить, как только увидят предупреждающее сообщение о низком уровне защищенности.

    b) Essential SSL (DV – domain validation). Данный вид SSL сертификатов предполагает проведение проверки права владения заявленным доменом путем размещения файла в корне сайта или добавления небольшого кода в его шаблон. Такие сертификаты могут получать как физические так и юридические лица без необходимости указания каких-либо дополнительных данных о себе.

    Поэтому выпускаются они довольно быстро – через 5–15 минут после подтверждения права владения. Идеально подходят для персонального использования физическими лицами, владеющими веб-сайтами, не связанными с проведением коммерческих операций. Наличие такого сертификата у сайта в основном обозначается лишь указанием протокола HTTPS в адресной строке (иногда с «замочком»).

    c) Instant (OV - organization validation). Чтобы получить сертификат этого типа, потребуется кроме подтверждения права владения доменом предоставить данные и документы для верификации того, что компания реально существует и является юридическим лицом.

    Проверка также обычно включает сверку данных заявителя по домену с указанной во Whois информацией. Учитывая количество проверок, выпуск таких сертификатов обычно происходит в течение нескольких дней.

    При использовании таких сертификатов в адресной строке отображается «замочек» зеленого цвета (иногда желтого с названием организации).

    d) EV (Extended validation). Такой сертификат выдается в результате проверки, описанной в предыдущем пункте, но уже более расширенной. Обязательно осуществляется проверочный звонок на номер организации, указанный в открытых источниках, а также требуется предоставить пример существующей документации (счета, акты выполненных работ и т.д.).

Сайт, защищенный с помощью EV-сертификата, будет отображаться в адресной строке с «замочком» и подсвеченным зеленым цветом названием организации (в некоторых браузерах зеленым подсвечивается вся строка и может добавляться подпись «Trusted»).

EV-сертификаты обходятся дороже всего и используются для тех сайтов, которые связаны с проведением массовых финансовых операций (крупные интернет-магазины, сайты банков и т. д.).

В отдельную категорию стоит выделить виды SSL сертификатов, поддерживающих IDN (Internationalized Domain Names), которые можно использовать для веб-сайтов с кириллическими доменами.

Выбирайте с умом

Если у Вас обычный информационный сайт, который кроме адреса электронной почты не собирает никаких важных данных о посетителях, подойдет любой недорогой сертификат и даже бесплатный (такие тоже бывают, но обычно они выдаются на срок до трех месяцев).

Во всех остальных случаях, чтобы верно выбрать SSL сертификат, нужно учитывать специфику обрабатываемых веб-сайтом данных, сферу его деятельности, наличие субдоменов и т. д. Также не забывайте об уровне авторитетности сайта в глазах его посетителей. Понятно, что зеленой строке с названием компании доверяют намного больше, чем банальному https с желтым замочком.

Ну а если определиться с видом SSL сертификата совсем сложно, можно использовать небольшую хитрость – проведите анализ конкурентов и выберите вариант немного лучше, чем у большинства из них, ну или по крайней мере не хуже.

На рекомендуем мною хостинге NetAngels предлагаются по реальной стоимости SSL-сертификаты COMODO.

Читайте подробнее о тарифах и Как подключить SSL-сертификат для сайта на виртуальном хостинге или Как подключить SSL-сертификат для сайта на облачном VDS с панелью управления NetAngels.

 

Добавить комментарий

Защитный код
Обновить

Просьба! Если заметили опечатку или ошибку на этой странице, выделите ошибочный фрагмент текста и нажмите Ctrl+Enter