SSL-СЕРТИФИКАТ: ЧТО ЭТО ТАКОЕ И КАК РАБОТАЕТ?

Бронирование номера в отеле или билета на рейс, интернет-покупка или запись на консультацию, даже обычная подписка на новости — все эти действия предусматривают отправку личных данных на сервер сайта.

Перехват этой информации злоумышленниками может привести к значительным неприятностям. Их масштаб зависит от того, насколько конфиденциальными были данные. Это может быть просто имя и e-mail или же детали банковской карты. В первом случае вы без собственного согласия будете получать различные рассылки. Во втором — преступники могут устроить онлайн-шопинг за ваш счет или оформить на вас кредит.

Чтобы избежать подобных ситуаций, перед заполнением любых лид-форм и использования сайтов в целом всегда проверяйте наличие SSL-сертификата. Этот файл служит для защиты данных от мошенников и подтверждает надежность веб-ресурса.

О чем идет речь?

• SSL-сертификат и принцип его работы
• Для чего нужен сертификат безопасности?
• Типы SSL-сертификатов
• Как получить сертификат безопасности?
• Выводы

SSL-сертификат и принцип его работы

SSL расшифровывается как «secure sockets layer», что в переводе означает «уровень защищенных сокетов». Он представляет собой криптографический протокол для безопасной связи с сайтом. После совершенствования протокола аббревиатура SSL могла быть заменена на TLS («transport layer security» — безопасность транспортного уровня), однако название первоначальной версии осталось. Поэтому на сегодняшний день под понятием SSL подразумевают TLS.

«Сертификат безопасности веб-сайта — это цифровой файл, содержащий информацию, которая указывает на безопасность и идентичность веб-сайта, использующего зашифрованное соединение. Центр сертификации (ЦС) отвечает за утверждение информации в этих сертификатах. ЦС принимают меры для проверки того, что веб-сайт принадлежит правильной организации. Целью этих сертификатов является защита веб-сайтов и проверка личных данных». «What Are Website Security Certifications? And How To Get One», — Indeed Editorial Team

Протоколом называют набор правил, который использует браузер и сервер в процессе обмена информацией. При его отсутствии хакеры могут взламывать базу данных сайта, перехватывать логины и пароли, данные кредитных карт, телефоны, адреса и многое другое.

О том, защищен ли сайт протоколом, может узнать каждый пользователь. Для этого в адресной строке рядом с URL отображается один из трех символов. В разных браузерах значок безопасности может отображаться по-разному.

• Default (Secure) — соединение безопасное, а значит, информация, которой вы обмениваетесь с сайтом, остается засекреченной.
• Info or Not Secure — отсутствует конфиденциальное соединение. Вполне вероятно, что постороннее лицо может просматривать и использовать данные, которые вы вводите в лид-формы на страницах сайта.
• Not Secure or Dangerous — соединение незащищенное или опасное. На таком сайте нельзя оставлять личную информацию, особенно конфиденциальную. В целом желательно отказаться от пользования таким веб-ресурсом.

Значок «Default (Secure)» означает также наличие дополнительной информации о сертификате. Вы можете просмотреть ее, нажав на шестеренку и перейдя на вкладку «Certificate is valid».

В некоторых случаях сертификат безопасности обозначается замочком, свидетельствующим о его действительности и соответствии требованиям безопасности. Он может быть зеленого, золотого или серого цвета. Шестеренка также подтверждает соответствие стандартам и требованиям безопасности. То, какой символ используется для обозначения сертификата безопасности, может отличаться в зависимости от страны, отрасли и браузера пользователя.

Перечеркнутый замок, как и предупреждение «Not Secure or Dangerous» в виде восклицательного знака на фоне красного треугольника, свидетельствует о неконфиденциальности соединения.

Еще одним индикатором безопасности данных является надпись HTTPS перед адресом сайта. То есть, ссылка https://www.forbes.com подтверждает, что веб-ресурс защищен протоколом. И наоборот — сайт был бы опасным, если бы адрес выглядел следующим образом: http://www.forbes.com.

На сайтах с HTTPS в адресе защита личной информации пользователей обеспечивается протоколом TLS, который предусматривает три уровня предотвращения незаконного использования данных:

• шифрование данных, исключение возможности их перехвата при передаче информации на сервер;
• сохранность сведений, в рамках которого любое их изменение всегда фиксируется;
• аутентификация отвечает за то, что пользователи попадают на нужные им ресурсы.

Если на сайте есть SSL-сертификат, между браузером посетителя и веб-ресурсом устанавливается защищенное соединение. Защита заключается в преобразовании номера карты в случайный набор символов перед его отправкой на сервер. Для расшифровки сообщения понадобится специальный ключ, который хранится на сервере. И даже если мошенники перехватят информацию, они не смогут ее понять и применить.

Три ключа шифрования

• Публичный ключ зашифровывает сообщение при отправке пользовательских данных серверу. Например, это происходит в момент, когда пользователь вводит свои данные в лид-форме и нажимает «Заказать».
• Приватный ключ расшифровывает сообщение, которое поступило на сервер, он хранится на нем же и не передается дальше.
• Сеансовый ключ является временным, действует до завершения сеанса, то есть до закрытия вкладки в браузере. Он одновременно зашифровывает и расшифровывает сообщение.

Шифрование с двумя разными ключами называют асимметричным. Этот метод является надежным, но более трудоемким. Браузер и сервер используют его один раз, а именно для генерирования сеансового ключа. При симметричном шифровании уникальный ключ создается исключительно для конкретного сеанса и не хранится на сервере.

SSL-соединение устанавливается при каждом посещении сайта. Процесс называется «handshake», то есть «рукопожатие». Можно сказать, что пока веб-ресурс загружается, браузер и сервер «здороваются» друг с другом.

Принцип действия HTTPS-соединения

1. Пользователь вводит в браузере доменное имя.
2. Сервер отправляет информацию о SSL-сертификате и публичном ключе.
3. Браузер проверяет информацию, генерирует сеансовый ключ, зашифровывает его публичным ключом и отправляет обратно.
4. Сервер расшифровывает сеансовый ключ.
5. Устанавливается безопасное соединение.

Процесс можно сравнить с распознаванием лица устройством iPhone. Функция Face ID не разблокирует смартфон, пока не убедится, что он находится в руках владельца. Подобный принцип работы и у SSL-сертификата, благодаря которому браузер не устанавливает безопасное соединение, пока не проверит подлинность сертификата.

Для чего нужен сертификат безопасности?

SSL-сертификат защищает данные посетителей сайта, и это его ключевая функция. Такая защита позволяет избежать громких скандалов, если речь идет о популярных коммерческих ресурсах, маркетплейсах, а также социальных сетях. Ведь утечка информации портит репутацию бренда и значительно уменьшает доверие пользователей.

Если сертификат безопасности отсутствует или недействителен, пользователи получают соответствующее оповещение.

«Если вы видите красное предупреждение, которое отображается на всю страницу, это означает, что функция «Безопасный просмотр» обозначила сайт как опасный. Сайт может недопустимым образом использовать полученную информацию или злоупотреблять ею, а также попытаться установить вредоносное программное обеспечение на ваш компьютер. Когда вы пользуетесь этим сайтом, ваша конфиденциальность и безопасность под угрозой». «Check if a site’s connection is secure», — Google Chrome Help

Естественно, после получения такого оповещения пользователь покинет сайт и уйдет к конкурентам. Компания, которая пренебрегает безопасностью клиентов, теряет прибыль. Важнейшим наличие сертификата является для сайтов банков, платежных систем, государственных предприятий и т. д. Там люди могут оставлять конфиденциальные данные и даже скриншоты документов. Однако для интернет-магазинов, маркетплейсов, форумов и даже сайтов-визиток, где посетитель может заказать и оплатить определенную услугу, SSL-сертификат является обязательным условием доверия клиентов и поисковой системы.

Преимущества использования SSL-сертификата

• Улучшение позиций в органической выдаче. Google, как и некоторые другие поисковые системы, учитывают наличие SSL-сертификата при ранжировании сайта. Поэтому ресурс с SSL-сертификатом имеет преимущество по сравнению с незащищенным сайтом.
• Соблюдение требований GDPR. Защищенное соединение помогает выполнять правила по защите личных данных, установленные регулятивными органами, например, GDPR в Европейском Союзе.
• Возможность использования HTTPS протокола. Сайт с установленным SSL-сертификатом может использовать безопасный протокол HTTPS, и это тоже положительно влияет на репутацию и SEO.
• Безопасность субдоменов, что актуально для владельцев нескольких сайтов.
• Пользователи не боятся оформлять заказы онлайн и проводить на сайте много времени.

«SSL-сертификаты могут значительно повысить коэффициент конверсии. Пользователь с гораздо большей вероятностью купит у вас, если ваш сайт защищен». «How to Choose Between these 5 SSL Certificates for Your Site», — Neil Patel Blog

Вопрос наличия сертификата регулирует закон «О персональных данных». Так что защищенное соединение — это не бонус, а обязательное условие для полноценного веб-ресурса. Поэтому на сегодняшний день доля сайтов с SSL среди лидеров поисковой выдачи превышает 80%.

Типы SSL-сертификатов

Чем дороже сертификат, тем лучше он считается, ведь на цену влияет сложность проверки и технические возможности. Конечно, не стоит выбирать наиболее престижное решение для лендинга, блога или сайта-визитки. Следует учитывать специфику бизнеса и масштаб компании. Существуют сертификаты для защиты одной страницы или же для многих страниц на субдоменах.

По назначению и сложности SSL-сертификаты можно поделить на несколько типов.

• Сертификаты с проверкой доменного имени (DV)
  Подойдут для физических лиц, а именно для личного сайта, блога, форума и т. д. Возможно, посетители подписываются на электронные рассылки или оставляют свой номер телефона для консультации — в таком случае это решение будет оптимальным. Сертификат с проверкой домена выдается за 15 минут и не требует наличия документов владельца сайта или компании.
• С проверкой организации (OV)
  Такой SSL-сертификат использует малый и средний бизнес: корпоративные сайты, социальные сети, небольшие интернет-магазины, страховые агентства, туристические фирмы. Если пользователи используют веб-ресурс как платформу для переписки, оплачивают что-либо с помощью платежных систем, установленных на сайт, проверки домена будет недостаточно, поэтому этот тип подойдет как нельзя лучше.
• SSL-сертификат с расширенной проверкой документов (EV)
  Крупные коммерческие организации и государственные учреждения несут ответственность перед большим количеством людей, а информация, оставленная на их сайтах, может быть полностью конфиденциальной. В некоторых случаях такие сертификаты выбирают для крупных интернет-магазинов, сайтов банков, инвестиционных фондов и др.

Их может получить только юридическое лицо, а на процесс выдачи понадобится примерно две недели. Кроме этого, перед выпуском сертификата поддержка центра сертификации проверяет доменное имя, регистрацию компании, ее контактные данные и право на коммерческую деятельность. SSL-сертификат с расширенной проверкой документов легко распознать, поскольку при переходе на сайт с таким сертификатом в браузере появляется зеленая строка с названием компании.

Также существуют мультидоменные сертификаты, предназначенные для сетевого бизнеса, почтовых серверов и др. Некоторые из них могут защищать до 100 доменов. Они также могут быть с проверкой домена, организации или с расширенной проверкой документов и зеленой строкой. А вот Wildcard-сертификаты для субдоменов бывают только двух видов — с проверкой домена и организации.

Для того чтобы проверить надежность защиты данных, можно использовать специальный SSL-сертификат чекер. Сервис оценивает правильность работы файла. Базовую проверку каждый пользователь осуществляет непосредственно с помощью браузера, однако последний действует по своим принципам, и не всегда предоставляет объективную информацию. Поэтому лучше выбрать чекер, например, SSL Checker или SSL Shopper.

Проверка занимает несколько секунд. Например, так выглядят результаты на сайте sslchecker.com.

Как получить сертификат безопасности?

Чтобы установить на сайте сертификат безопасности, для начала его придется купить. Цена может колебаться в широком диапазоне — от $20 до $500. Сумма зависит от уровня защиты. К тому же, дорогие сертификаты, как правило, выпускаются только после проверки многочисленных документов, поэтому, кроме средств, понадобится время.

Такие регистраторы сертификатов как Letsencrypt и Startssl являются бесплатными. Однако технология идентификации SNI, которую они используют, не совместима со значительным количеством платежных систем. Поэтому для новостных порталов и блогов они подойдут, а вот для коммерческих проектов — нет.

Платные сертификаты отличаются удобством проведения платежей. Это улучшает юзабилити сайта и увеличивает его конверсию. Также платные регистраторы предоставляют гарантии защиты от взлома.

Получение сертификата безопасности веб-ресурса происходит в несколько этапов.

1. Выбор центра сертификации.
   Некоторые хостинг-провайдеры предлагают сертификацию безопасности сайтов. Важно найти доверенную организацию, которая предоставит действительный сертификат с надежной защитой.
2. Создание запроса на подписание сертификата..
   Такое заявление нужно отправить в выбранный центр сертификации. В нем должно содержаться доменное имя веб-ресурса, лицо, организация или устройство, которому принадлежит сертификат, название центра сертификации с подписью, который его выдал, дата выдачи сертификата и дата окончания срока действия сертификата, а также открытый ключ для шифрования и дешифрования данных.
3. Ожидание проверки.
   На этом же этапе происходит оплата. Центры сертификации анализируют вашу информацию и подписывают сертификаты с помощью приватных ключей.
4. Установка сертификата на сервере сайта.
   Это может сделать как владелец сайта, так и служба веб-хостинга. После этого происходит активация сертификата, а HTTP в адресе веб-ресурса может смениться на HTTPS.
   

Выводы

SSL-защита — это специальная технология, которая применяется для безопасного соединения между браузером и сайтом. SSL расшифровывается как Secure Sockets Layer (уровень защищенных сокетов), что представляет собой небольшие файлы данных, которые привязывают криптографический ключ к учетным данным компании и связывают между собой доменные имена, имена серверов и информацию об организации.

SSL-сертификат представляет собой файл, устанавливаемый на сайт и являющийся своеобразным паспортом веб-ресурса, который защищает личные и платежные данные пользователей. Таким образом он предотвращает кибератаки и похищение конфиденциальных данных. Если у вас есть свой сайт, убедитесь, что сертификат защищает платежные страницы, страницы входа, формы регистрации или же сайт в целом.

О наличии сертификата безопасности свидетельствует символ замка зеленого, золотого или серого цвета, или шестеренки слева от адреса веб-ресурса. Пользователь может просмотреть дополнительную информацию о сертификате, нажав на шестеренку и перейдя на вкладку «Certificate is valid». Еще одним подтверждением являются буквы HTTPS перед URL в поисковой строке.

Сертификаты отличаются по надежности и цене. Оба фактора зависят от уровня защиты. Владелец веб-ресурса может выбрать сертификат с проверкой доменного имени, с проверкой организации или с расширенной проверкой документов, а также сертификат для доменов и субдоменов.

Частые вопросы