Certyfikat SSL: co to właściwie jest i czy trzeba za niego płacić
Certyfikat SSL kojarzy się z kłódką przy adresie i z poczuciem, że strona jest bezpieczna. Kłódka nie mówi jednak nic o bezpieczeństwie serwisu. Mówi tylko, że połączenie między przeglądarką a serwerem jest zaszyfrowane i że ktoś potwierdził, iż serwer należy do właściciela tej domeny. Sklep z kłódką może mieć dziurawą wtyczkę i wyciekającą bazę.
Co certyfikat robi, a czego nie
Robi dwie rzeczy. Szyfruje ruch, więc hasła wpisanego w formularz nie da się odczytać po drodze, na przykład w publicznym wi-fi. I uwierzytelnia serwer, więc przeglądarka wie, że rozmawia z właściwą maszyną, a nie z podstawioną. Nie sprawdza, czy strona jest uczciwa, nie chroni przed włamaniem i nie zabezpiecza danych już zapisanych w bazie.
Trzy typy i realna różnica
| Typ | Co jest weryfikowane | Czas wydania | Dla kogo |
|---|---|---|---|
| DV (Domain Validation) | tylko kontrola nad domeną | minuty | blogi, strony firmowe, większość sklepów |
| OV (Organization Validation) | dodatkowo istnienie firmy w rejestrach | 1–3 dni | instytucje, firmy chcące pokazać dane w certyfikacie |
| EV (Extended Validation) | pogłębiona weryfikacja podmiotu | do 2 tygodni | banki, ubezpieczyciele |
Przeglądarki od kilku lat wyglądają tak samo dla wszystkich trzech. Zielony pasek z nazwą firmy, który był argumentem sprzedażowym za EV, zniknął z Chrome i Firefoksa. Z punktu widzenia zwykłego użytkownika różnicy nie widać.
Kiedy darmowy wystarczy
Let’s Encrypt wydaje certyfikaty DV bezpłatnie i szyfruje dokładnie tak samo mocno jak płatny odpowiednik. Dla bloga, strony firmowej i typowego sklepu to rozwiązanie wystarczające. Ograniczenia są dwa: ważność 90 dni, więc odnawianie musi działać automatycznie, i brak certyfikatów OV oraz EV.
Za certyfikat płaci się głównie wtedy, gdy potrzebne są dane firmy w treści certyfikatu, gwarancja finansowa wystawcy albo wsparcie techniczne z umową. Sporo hostingów ma Let’s Encrypt włączony jednym przyciskiem w panelu, więc zanim kupisz, sprawdź, czy nie masz go już w pakiecie.
Co zrobić, gdy wygaśnie
- Sprawdź, czy to naprawdę wygaśnięcie. Ten sam komunikat pojawia się przy przestawionym zegarze w komputerze i przy niepełnym łańcuchu certyfikatów.
- Zajrzyj do panelu hostingu. Automatyczne odnawianie zwykle zawodzi z jednego powodu: domena przestała wskazywać na ten serwer albo weryfikacja przez plik w katalogu została zablokowana przekierowaniem.
- Wymuś odnowienie ręcznie i sprawdź stronę w trybie prywatnym, bo przeglądarka trzyma stary certyfikat w pamięci.
- Ustaw przypomnienie na tydzień przed terminem, jeśli certyfikat nie odnawia się sam.
Najczęstszy problem po wdrożeniu
Strona ma certyfikat, a kłódka pokazuje ostrzeżenie. To zwykle mieszana treść: sam dokument idzie po HTTPS, ale obrazek, skrypt albo czcionka ładują się przez HTTP. Przeglądarka blokuje wtedy część zasobów i strona wygląda na zepsutą. Rozwiązaniem jest podmiana adresów w treści i w motywie, a nie kolejny certyfikat.
