Автор – Стефани Левонн (Stephanie LeVonne), SEO-аналитик в маркетинговом агентстве Elite SEM.
На сегодняшний день на рынке доступен ряд SSL-продуктов, которые обслуживают различные потребности клиентов. В статье мы разберёмся, что они собой представляют, и в чём преимущества каждого из них.
Данное руководство поможет вам ответить на частые вопросы, возникающие в процессе поиска сертификата, который лучше всего подходит под ваши нужды. А именно:
- Какой тип SSL-сертификата нужно приобрести?
- Что выбрать: платный или бесплатный сертификат?
- Какой сертификат лучше всего подойдёт для защиты поддомена? Нескольких доменов?
- Какое гарантийное покрытие вам нужно?
- Как решить частые проблемы, связанные с сертификатами?
Что такое SSL-сертификат
Прежде чем перейти к ответам на эти вопросы, давайте пройдёмся по базовым вещам. В частности, рассмотрим, что представляет собой SSL-сертификат.
SSL (аббревиатура от англ. Secure Sockets Layer) – криптографический протокол, который обеспечивает зашифрованное соединение между веб-сервером (сайтом) и браузером. SSL-сертификаты позволяют нам использовать HTTPS-протокол и защитить передачу персональных данных (номеров кредитных карт, паролей и логинов и т.п.).
Как это работает
SSL-сертификаты используют публичные и приватные ключи шифрования для установки защищённого соединения. Обычно же данные, пересылаемые между браузером и веб-сервером, представлены в виде простого текста. Это делает их уязвимыми к перехвату хакерами.
Зачем нужно использовать SSL
Преимуществом SSL-сертификатов является то, что они обеспечивают защиту данных от перехвата во время их передачи из браузера на сервер. Они также помогают завоевать доверие клиентов и защитить их от фишинга.
Кроме того, Google даёт небольшой импульс в ранжировании всем сайтам, использующим HTTPS. При этом толчок получают даже те сайты, у которых нет валидного сертификата. Предполагается, что со временем Google ужесточит свой подход и начнёт обращать внимание на ошибки протокола.
Виды SSL-сертификатов по уровню валидации
По уровню валидации выделяют три вида SSL-сертификатов:
1. SSL-сертификат с проверкой домена (Domain Validation — DV), также известный как начальный сертификат, – это стандартный тип SSL-сертификата. Его выпуск производится автоматически после того, как центр сертификации проверит, что доменное имя зарегистрировано. При проверке такого сертификата отсылается письмо со специальной ссылкой, по которой нужно кликнуть, чтобы подтвердить выпуск сертификата.
- Время обработки запроса: от нескольких минут до нескольких часов.
- Рекомендован для: внутреннее использование.
2. Сертификат с проверкой домена и организации (Organization Validation — OV). После получения запроса на выпуск такого сертификата центр сертификации производит проверку, реально ли существует данная организация и принадлежит ли ей указанный домен. При этом потребуется предоставить дополнительную документацию, подтверждающую существование компании.
- Время обработки запроса: от нескольких часов до нескольких дней.
- Рекомендован для: все бизнесы и компании.
3. Сертификат с расширенной проверкой (Extendet Validation — EV). Это самый дорогой сертификат и получить его труднее всего. Центр сертификации проверяет существование организации и документы, подтверждающие права на владение доменом. Эксклюзивной опцией, которую обеспечивает этот сертификат, является так называемый «green bar»: при входе на сайт с таким сертификатом в строке браузера появится зелёная строка с указанием названия организации. Это позволяет повысить доверие пользователей к ресурсу.
- Время обработки запроса: от нескольких дней до нескольких недель.
- Рекомендован для: все виды коммерческих сайтов.
Цены и провайдеры
У кого покупать?Среди самых крупных центров сертификации значатся GeoTrust, DigiCert и Symantec. На рынке также представлены реселлеры, которые предлагают ту же защиту, но по сниженным ценам.
Как насчёт бесплатных сертификатов?Зачем платить за то, что можно получить бесплатно? Ответ прост: когда пользователь посещает сайт с бесплатным или самоподписным сертификатом, браузер выдаёт ошибку с предупреждением о том, что сайт не проверен. Некоторые люди перейдут по ссылке, несмотря на оповещение. При этом многие другие, увидев его, уйдут и больше не вернутся.
Проблема в том, что самоподписные сертификаты не регулируются в виртуальном пространстве. Если сайт будет скомпрометирован, он по-прежнему будет выглядеть как безопасный. При этом сертификаты, выданные уполномоченными центрами, в таком случае могут быть отозваны, а пользователи – предупреждены о возможных рисках.
Бесплатные сертификаты следует использовать только для служебных целей и внутреннего использования.
Какие гарантии нужны?SSL-сертификаты также различаются по объёму предоставления гарантий. Важно отметить, что в этом случае речь идёт о гарантиях для конечных пользователей, а не сайта.
Если покупатель понесёт убытки после совершения сделки на мошенническом сайте, технически ответственность за это будет лежать на центре сертификации, который не смог обеспечить защиту пользователей. В такой ситуации пострадавшему пользователю будет выплачена компенсация.
Важно отметить, что подобные ситуации возникают очень редко. Если человека обманули, он в первую очередь обращается в банк, выдавший ему кредитную карту. Однако покупатель также может посмотреть, кем выдан сертификат безопасности сайта, и обратиться по поводу компенсации к провайдеру.
Защита нескольких ресурсов
Обычные SSL-сертификаты подтверждают только домен. К примеру, если вы покупаете сертификат для www.wonderfullywhisked.com, то вы не сможете защитить baking.wonderfullywhisked.com.
Wildcard-сертификаты позволяют обеспечить шифрование на всех поддоменах одного домена. К примеру, купив такой сертификат для домена www.wonderfullywhisked.com, вы также обезопасите поддомены baking.wonderfullywhisked.com, cooking.wonderfullywhisked.com и т.д. Мультидоменные сертификаты позволяют защитить до 210 различных доменов с помощью одного сертификата (в зависимости от выбранного поставщика).Частые проблемы с SSL-сертификатами
Есть несколько распространённых проблем, которые могут привести к аннуляции SSL-сертификата:
- Наличие смешанного содержимого на сайте;
- Несоответствие имени сертификата;
- Отсутствие промежуточного сертификата;
- Истёкший срок действия сертификата;
- Подмена сертификата.
Давайте рассмотрим эти пункты подробнее.
Наличие смешанного содержимого (HTTP и HTTPS-контента) может привести к потере сертификата, поскольку весь контент должен загружаться из безопасного источника. Эта проблема зачастую возникает с плагинами, изображениями и элементами JavaScript. Чтобы выявить незащищенный контент на странице, можно использовать инструмент WhyNoPadLock.com.
Ошибка несоответствия имени домена может возникнуть в том случае, если сертификат был выдан для домена с «www», а сайт загружается в версии без «www». Для установки защищённого соединения указанный в сертификате домен должен полностью совпадать с доменом в строке браузера.
Многие люди не знают, что для корректной работы SSL-сертификата нужен промежуточный сертификат.
Всегда следите за тем, чтобы срок действия сертификата не истёк. Многие браузеры дают возможность проверить эти данные через расширенные настройки. Для этого также можно использовать инструмент SSL Checker. Большинство сертификатов можно продлить как минимум за 90 дней до истечения срока их действия.
Выбор сертификата
Выбор подходящего сертификата может быть непростой задачей, поскольку разные провайдеры предлагают разные решения. Чтобы облегчить себе этот процесс, вы можете использовать таблицу ниже. В ней мы сравнили SSL-решения от шести компаний. Цены в таблице указаны на основании годовой подписки.
Стоит отметить, что при покупке сертификата на срок от 2 лет и больше, вы можете получить ощутимую скидку.
Приобретение сертификата через реселлера – это, чаще всего, самый дешёвый вариант. Вопрос лишь в качестве клиентской поддержки, которую вы получите.
Чтобы выбрать подходящий сертификат, ответьте на следующие вопросы:
- Какие типы ресурсов вы хотите защитить (домен, поддомен).
- Вам нужна защита для одного ресурса или нескольких сразу?
- Какой уровень защиты вам нужен:
- сертификат с проверкой домена – низкий уровень;
- сертификат с проверкой домена и организации – средний;
- сертификат с расширенной проверкой – высокий.
Вместо заключения
Автор статьи надеется, что предложенное руководство облегчит специалистам поиск и выбор подходящего сертификата для сайта.
