Содержание
- 0.1 Протокол SSL
- 0.2 SSL-сертификат
- 0.3 Разница между HTTP и HTTPS
- 0.4 Разновидности SSL-сертификатов
- 0.5 Где получить SSL-сертификат
- 1 Что такое SSL-сертификат?
- 2 Разница между HTTP и HTTPS
- 3 Для чего нужен SSL-сертификат для сайта?
- 4 Разновидности SSL-сертификатов
- 5 Можно ли взломать сайт с SSL-сертификатом?
- 6 Чем опасны сертификаты?
- 7 Где можно получить SSL-сертификат?
- 8 Что такое SSL-сертификат
- 9 Кому не обойтись без SSL-сертификата
- 10 Типы SSL-сертификатов
- 11 Выбор цифровой подписи
- 12 Получение и установка SSL-сертификата
- 13 Заключение
Алексей Ница
Всего материалов: 1296
Безопасность информации в Интернете – одна из самых серьезных тем в наше время. Как защитить свой сайт от утечки информации и несанкционированного доступа третьими лицами? Что такое SSL-сертификат и где его взять? Чем HTTPS лучше HTTP? Предлагаем вам материал, который направлен на людей, не обладающих специальными техническими знаниями и навыками.
Протокол SSL
Протокол SSL (от англ. Secure Sockets Layer – уровень защищенных сокетов) используется миллионами сайтов для защиты данных в Интернете. Он гарантирует безопасное соединение между браузером пользователя и сервером. При использовании SSL-протокола информация передается в закодированном виде по HTTPS и расшифровать ее можно только с помощью специального ключа в отличие от привычного протокола HTTP. Для работы SSL-протокола требуется, чтобы на сервере был установлен SSL-сертификат.
SSL-сертификат
SSL-сертификат – это своего рода уникальная цифровая подпись вашего сайта. Такой сертификат нужен, в первую очередь, банкам, платежным системам и другим организациям, работающим с персональными данными, – для защиты транзакций и предотвращения несанкционированного доступа к информации.
Так, если вы являетесь организацией и хотите использовать наш плагин для сбора пожертвований «Онлайн-Лейку» , то для подключения платежной системы Яндекс.Деньги необходимо использование SSL-сертификата.
SSL-сертификат содержит следующую информацию:
- доменное имя, на которое оформлен SSL-сертификат;
- юридическое лицо, которое владеет сертификатом;
- физическое местонахождение владельца сертификата (город, страна);
- срок действия сертификата;
- реквизиты компании-поставщика SSL-сертификатa.
SSL-cертификат подтверждает, что домен принадлежит реальной компании и что его владелец вправе пользоваться секретным ключом на законных основаниях.
Разница между HTTP и HTTPS
HTTPS (HyperText Transfer Protocol Secure) – это расширение протокола HTTP, поддерживающее шифрование. Данные, передаваемые по протоколу HTTP, «упаковываются» в криптографический протокол SSL или TLS. По умолчанию HTTPS использует 443 TCP-порт (для незащищенного HTTP – 80).
Чтобы подготовить веб-сервер для обработки HTTPS-соединений, администратор должен получить и установить в систему сертификат для этого веб-сервера. Сертификат состоит из двух частей (двух ключей) – public и private. Public-часть сертификата используется для шифрования трафика от клиента к серверу в защищенном соединении; private-часть – для расшифровывания полученного от клиента зашифрованного трафика на сервере.
После того как пара ключей приватный/публичный сгенерированы, на основе публичного ключа формируется запрос на SSL-сертификат в Центр сертификации.
Существует возможность создать такой сертификат, не обращаясь в Центр сертификации. Подписываются такие сертификаты этим же сертификатом и называются самоподписанными (self-signed).
Разновидности SSL-сертификатов
Существует несколько типов SSL-сертификатов:
SSL-сертификаты с проверкой домена (Domain Validation) – это сертификаты начального уровня, являются самыми распространенными в мире, а скорость выдачи таких сертификатов варьируется от 2 до 10 минут, зависит от бренда. Чтобы получить такой сертификат, не требуется специальных документов. Такие сертификаты подойдут для небольших сайтов и маленьких проектов, когда нет необходимости в большом доверии со стороны клиентов и посетителей сайта. Нужно подтвердить владение доменом:
- проверка через электронную почту (DCV Email) – центр сертификации высылает верификационное письмо, в котором будет ссылка для подтверждения владением домена. Выслать такое письмо могут либо на почту, указанную во Whois вашего домена, либо на один из золотой пятерки: [email protected], [email protected], [email protected], [email protected],[email protected] вашего сайта;
- проверка при помощи DNS-записи (DNS CNAME) – способ для тех, у кого настроен мейл-сервер, а почта во Whois закрыта приватной регистрацией. Необходимо создать особую запись в вашем DNS, и центр сертификации его проверит. Метод полностью автоматический;
- проверка при помощи хеш-файла (HTTP CSR Hash) – пользователю будет предоставлен специальный .txt файл, который необходимо загрузить на свой сервер, при этом центр сертификации убедится в его наличии и сертификат будет выдан. Метод полностью автоматический.
SSL-сертификаты с проверкой компании (Business Validation) – такие сертификаты актуальны для тех, кто думает о доверии к своим продуктам, компании и сервисам, так как центр сертификации проводит более тщательную проверку. Необходимо выслать документы компании, пройти процесс «отзвона» на корпоративный телефон. SSL-сертификаты с расширенной проверкой (Extended validation) – только EV сертификаты обеспечат сайт зеленой адресной строкой в браузере. Чаще всего такие сертификаты можно встретить у банков, онлайн-систем с большим количеством посетителей. SSL-сертификаты c поддержкой субдоменов (Wildcard) – это очень удобный сертификат, когда речь идет о защите большого количества субдоменов в рамках одного домена. Он может защитить любое количество субдоменов на неограниченном количестве серверов. SAN SSL-сертификаты – единые сертификаты связи, которые способны защищать множество доменов, субдоменов, локальных доменов и серверов. Данные сертификаты работают как с внешними, так и внутренними доменными именами. SGC SSL-сертификаты – устаревающие сертификаты, которые принудительно увеличивают уровень шифрования для старых браузеров с 40 бит до полноценных 256 бит. SSL-cертификаты для ПО (CodeSigning SSL) – такие сертификаты могут помочь, когда ваши пользователи получают предупреждения и ошибки при скачивании программного кода с ваших ресурсов. Это идеальный продукт для разработчиков программного обеспечения, он используется для защиты программных продуктов распространяемых в сети.
Где получить SSL-сертификат
Для получения сертификата необходимо обратиться в компании, которые выдают SSL-сертификаты. Например, в RU-CENTER – крупнейший регистратор доменов и один из ведущих хостинг-провайдеров в России. Стоимость SSL-сертификата на 1 год может составлять от 2600 до 5000 рублей. Часто SSL-сертификат может входить в стоимость хостинга сайта.
Мы также писали про бесплатный SSL для любого сайта от Cloudflare – возможно, именно такой вариант подойдет для вашего сайта.
Про SSL-сертификаты уже написано немало статей, однако интерес к ним не спадает, тем более что количество людей, решивших открыть свою сайт в сети, постоянно возрастает. Эта статья – специально для тех, кто хочет узнать, что такое SSL-сертификат, зачем использовать его на своем сайте, какие варианты сертификатов существуют, и о чем обязательно стоит помнить при установке сертификата на свой сайт. 
Что такое SSL-сертификат?
SSL-сертификат – это специальный сертификат, который устанавливается на сайт для того, чтобы данные можно было передавать по протоколу SSL. SSL расшифровывается как Secure Sockets Layer, в переводе уровень защищенных сокетов. Этот протокол обеспечивает безопасную передачу данных между сервером, на котором находится сайт, и браузером пользователя.
SSL-сертификаты содержат данные о физических лицах или организациях, для сайтов которых они были выданы.
Наличие SSL-сертификата на сайте легко проверить, просто посмотрев на строку с адресом сайта в браузере. В адресной строке вы (в зависимости от выбранного владельцем сайта сертификата) вы увидите:
- значок закрытого замка, при нажатии на который вы увидите фразу «Безопасное соединение», а также сможете получить более подробную информацию об установленном сертификате;
- либо рядом с значком замочка будет также указано название компании-собственника сайта.
Если же на сайте SSL-сертификат не установлен, то перед адресом будет написано «Не защищено».
Разница между HTTP и HTTPS
HTTP – это протокол прикладного уровня, который используется для передачи данных в сети. Этот протокол дает возможность передавать запросы от клиента к серверу и получать от сервера ответы на эти запросы.
Что касается HTTPS, то это не другой отдельный протокол, а расширение протокола HTTP. Это можно понять уже по расшифровке аббревиатур:
- HTTP – HyperText Transfer Protocol (в переводе «протокол передачи гипертекста»);
- HTTPS – HyperText Transfer Protocol Secure (в переводе «защищенный протокол передачи гипертекста»).
Если по HTTP данные передаются в незащищенном виде, то HTTPS обеспечивает их криптографической защитой, то есть уберегает данные от несанкционированного доступа.
Почему важно, чтобы на сайте использовался HTTPS? Потому что никто не хочет, чтобы его данные авторизации (если речь о социальных сетях) или платежные данные (если речь об интернет-магазинах) оказалась в руках злоумышленников.
Для чего нужен SSL-сертификат для сайта?
Как уже было сказано выше, очень важно, чтобы данные, которые передаются между пользовательским компьютером и сайтом, не попали в третьи руки. В первую очередь речь идет о данных, связанных с финансовыми операциями: денежных транзакциях, банковских картах и так далее.
Так что ответ на вопрос «Для чего нужен SSL-сертификат для сайта» – для того, чтобы обеспечить безопасное соединение между браузером клиента и сервером, и используется SSL-сертификат.
Но перед дальнейшим разговором о сертификатах необходимо сказать несколько слов о том, что такое SSL.
Как уже было сказано, SSL расшифровывается как “Secure Sockets Layer” (уровень защищенных сокетов). Именно этот протокол позволяет зашифровать данные, передающиеся между компьютером пользователя и веб-сайтом. И для работы именно этого протокола на сайте должен быть установлен SSL-сертификат.
То есть, если подвести итог, сертификат необходим для безопасной передачи данных между компьютером пользователя и сервером, на котором расположен сайт.
Следующий вопрос, который может у вас возникнуть, – а так ли необходимо устанавливать SSL-сертификат на свой сайт? Ответ один – да, это абсолютно необходимый в данный момент элемент сайта. 
Раньше SSL-сертификаты чаще всего использовались на сайтах, связанных с электронной коммерцией (например, в интернет-магазинах), и других ресурсах, где используются конфиденциальные данные пользователей. Но сейчас наступило время, когда сетевой безопасности уделяется особое внимание, поэтому любой сайт, который не имеет SSL-сертификата, воспринимается как потенциально опасный для пользователей.
Разновидности SSL-сертификатов
SSL-сертификаты базово можно разделить по двум критериям – по компаниям (проектам), которые их выпускают, и по типу самих сертификатов.
Начнем с первого критерия. Существует несколько компаний, которые выпускают сертификаты, мы остановимся на одних из самых известных на данный момент – это Sectigo и Let’s Encrypt.
Let’s Encrypt завоевал популярность за счет своего бесплатного распространения. А Sectigo выпускает несколько видов платных SSL-сертификатов. На примере сертификатов от Sectigo мы рассмотрим, какие виды бывают у SSL-сертификатов:
- Sectigo Positive SSL – это самый базовый и недорогой вариант SSL-сертификата. Поэтому он является и самым распространенным. К тому же этот сертификат наиболее легко оформить с точки зрения документов – пользователю нужно лишь подтвердить владение доменом, другие документы предоставлять не требуется. По времени процесс оформления сертификата тоже довольно быстрый – если вы захотите установить Sectigo Positive SSL, вам понадобится всего несколько часов.
- Sectigo Postitive Wildcard SSL – сертификат, который можно установить не только на сам домен, но и все поддомены этого адреса. Это намного выгоднее и удобнее, чем покупать для каждого поддомена отдельный сертификат.
- Sectigo EV SSL – сертификат с расширенной проверкой. От предыдущих вариантов отличается тем, что при его заказе происходит проверка и подтверждение владельца сайта (компании или юридического лица), этим занимаются центры сертификации, и поэтому на выпуск этого сертификата требуется больше времени – несколько дней. Именно такой вид сертификата стоит на тех сайтах, где вы видите название компании перед адресом сайта.
Можно ли взломать сайт с SSL-сертификатом?
SSL-сертификаты направлены на безопасную передачу данных, они никак не влияют на защиту самого сайта от взлома. Что дает SSL-сертификат для сайта – информация, которая поступает от пользователя на сайт и обратно, будет защищена, но над защищенностью самого сайта нужно работать отдельно. О защите сайта можно прочитать в статье « Как защитить сайт от взлома ».
Чем опасны сертификаты?
Пользователи, которые только начинают разбираться в том, что это, SSL-сертификат, наверняка захотят узнать, может ли установка SSL-сертификата как-то негативно отразиться на самом сайте.
В целом можно ответить, то нет, SSL-сертификат – это большой плюс сайту, можно даже сказать, что необходимость. Однако есть один нюанс, с которым вы можете столкнуться после его установки, – это проблема смешанного содержимого (или “mixed content”).
Такая ситуация возникает в тех случаях, когда страница передается по протоколу HTTPS, но часть содержимого отправляется все еще по HTTP (например, изображения). В этом случае соединение будет считаться не полностью, а лишь частично зашифрованным, ведь все, что передается по HTTP, можно перехватить.
Если вы столкнулись с такой проблемой и не обладаете какими-либо знаниями в редактировании кода, то наилучшим решением будет обратиться к специалисту. Он проанализирует сайт и поможет вам решить эту проблему. Часто проблема заключается в том, что на сайте остались ссылки, ведущие на небезопасный протокол (“http://”) – и тогда необходимо либо изменить эти ссылки на относительные, либо на “https://”.
Где можно получить SSL-сертификат?
Самый простой, быстрый и удобный вариант получить SSL-сертификат для сайта – это заказать его у своего хостинг-провайдера, например в нашей компании . Помимо хостинга, компания Timeweb также является регистратором доменов , поэтому мы стремимся оказывать нашим клиентам все необходимые услуги, связанные с работой сайтов – в том числе выпуск сертификатов.
Если вы уже являетесь нашим клиентом, то можете оформить заказ прямо в своей панели управления.
Безопасность информации в Сети — один из основных вопросов, на который должны обращать пристальное внимание владельцы сайтов. В мире стремительно развивающихся кибер-угроз им нужно чётко понимать, как предотвратить утечку данных или защитить свой ресурс от доступа к нему третьим лицам.
Современным стандартом безопасности сайтов стала установка SSL-сертификатов. Однако подобный механизм защиты относительно нов и сложен для массового пользователя. Давайте разберемся, что из себя представляет данная технология и как она обеспечивает безопасность информации на веб-ресурсах.
Что такое SSL-сертификат
Прежде чем перейти к пункту о том, зачем сайту нужен SSL-сертификат, стоит обозначить понятие самого протокола SSL. Это криптографический протокол, обеспечивающий надежную передачу данных в сети. Он является гарантией безопасного соединения между пользовательским браузером и ресурсом.
Протокол HTTPS значительно расширил возможности обеспечения безопасности данных HTTP.
Если на сайте установлен SSL, то все данные передаются по HTTPS — защищенному варианту протокола HTTP. Он зашифровывает данные пользователя и переправляет их владельцу сайта через транспортный протокол TCP. Другими словами, вся информация, передаваемая пользователем, скрыта шифрованием от третьих лиц: операторов, администраторов Wi-Fi и провайдеров.
Как работает SSL-протокол
Как известно, основой всех методов кодирования является ключ, который помогает зашифровать или прочитать информацию. SSL-протокол использует ассиметричный шифр с двумя видами ключей:
- Публичный. Это собственно и есть SSL-сертификат. Он зашифровывает данные и используется при передаче пользовательской информации серверу. Например, посетитель вводит на сайте номер своей банковской карточки и нажимает на кнопку «Оплатить».
- Приватный. Необходим для раскодирования сообщения на сервере. Он не передается вместе с информацией, как в случае с публичным ключом, и всегда остается на сервере.
Чтобы сайт обрабатывал такие соединения, его владельцу нужен SSL-сертификат. Это своеобразная цифровая подпись, которая индивидуальна для каждой платформы.
Что внутри SSL-сертификата
SSL-сертификат может содержать следующую важную информацию:
- домен площадки, на которую устанавливается сертификат;
- название компании-владельца;
- страну, город прописки компании;
- срок действия SSL-сертификата;
- информация о удостоверяющем центре.
Доверенные и недоверенные сертификаты
Главным источником SSL-сертификатов служат доверенные центры сертификации или удостоверяющие центры (Certification authority, CA). Это организации, имеющие неоспоримый авторитет на рынке IT-услуг и пользующиеся известным открытым криптографическим ключём. В браузерах их список обычно можно посмотреть в разделе «Доверенные корневые центры сертификации».
Цифровая подпись, заверенная сертификатом такого центра, является доказательством подлинности компании, которой принадлежит доменное имя, и обуславливает право владельца законно использовать секретный ключ. Она называется доверенной.
SSL-сертификат от крупного центра — не всегда гарантия отсутствия проблем для сайта.
К недоверенным подписям относятся:
- Самоподписанный сертификат, который владелец сайта выдает себе сам. Он также обеспечивает безопасность соединения, но при этом не является гарантией подлинности компании. В этом случае браузер будет предупреждать посетителя, что SSL не надежен.
- Сертификат, который подписан недоверенным центром. В этом случае ресурс будет считаться проверенным, однако «проверяющий» остается под сомнением. Обычно такие центры продают сертификаты абсолютно всем, не проверяя подлинность фирмы.
- Цифровая подпись, выданная центром, который потерял доверие. К этому разряду относятся, например, SSL-сертификаты от удостоверяющего центра Symantec, которую Google обвинил в выдаче большого числа неликвидных сертификатов. В браузере Google Chrome 70 была прекращена поддержка сертификатов, выпущенных этой компаний и аффилированными с ней центрами GeoTrust и Thawte до 1 декабря 2017 года.
SSL сертификаты Eternalhost — выгодный способ получить электронную цифровую подпись от 100% надёжного Удостоверяющего Центра.
Кому не обойтись без SSL-сертификата
Предоставляя данные о своих банковских картах, контактную и личную информацию, пользователь должен быть уверен, что они не попадут в руки третьего лица. Поэтому получение SSL-сертификата — важный пункт для интернет-магазинов, а также банков, платежных систем и площадок, где требуется создание аккаунта.
Для SEO-специалистов, которые учитывают малейшие аспекты продвижения, также рекомендуется подключение подписи. Хотя на данный момент этот фактор слабо влияет на ранжирование страниц.
А вот чисто информационным ресурсам — блогам, визиткам и личным страницам можно обойтись и без сертификации.
Типы SSL-сертификатов
SSL-сертификаты делятся не несколько видов в зависимости от количества доменных и субдоменных имен, на которые они будут устанавливаться, а также от способа проверки платформы. По методу проверки существует три основных варианта:
-
DV (Domain Val >
Зелёный замочек в адресной строке — сайту можно доверять.
Помимо этого, существуют дополнительные типы SSL:
- WildcardSSL — понадобится для того, чтобы защитить большое количество субдоменных имен в корне одного домена.
- UC (Unified Communications) или SAN (Subject Alternative Name) — способен взять под свою защиту не только множество субдоменов, но и доменов как внешних, так и внутренних.
- SGC (Server-Gated Cryptography) — поддерживает 40-битные расширения, что пригодится для операционных систем и браузеров старого образца.
- CS (CodeSigning) — сертификаты для программных продуктов, которые позволяет пользователю безопасно скачивать ПО с сайтов разработчиков.
Выбор цифровой подписи
Какой SSL-сертификат выбрать, в первую очередь, зависит от владельца ресурса. Для физических лиц подойдет тип DV, который является подтверждением права на владение доменным именем.
Для компаний дело обстоит несколько сложнее:
- Если это сайт-визитка, цель которого — проинформировать о деятельности организации, то можно установить DV SSL. Он предотвратит появление всплывающего в браузере окна с информацией о небезопасности площадки и надежно закодирует данные. Обычно предоставляется бесплатно.
- Ресурсы, которые связаны с транзакциями и другими видами доступа к деньгам, должны подключить EV подпись. Она подтвердит подлинность компании, а в браузерной строке появится полоска зеленого цвета с названием фирмы. Это касается банков, СМИ, платежных систем.
- Интернет-магазины, форумы и благотворительные платформы должны позаботиться об установке OV SSL. Такие сайты практически не находятся в поле зрения злоумышленников. Однако пользователи захотят удостовериться в подлинности компании, где они планируют сделать заказ или куда собираются вложить свои деньги. SSL-сертификаты с проверкой организации предоставляются только платно.
Получение и установка SSL-сертификата
Чтобы получить цифровую подпись, необходимо зайти на сайт центра сертификации и предоставить необходимую информацию для данного типа цифровой подписи. Например, для получения DV SSL достаточно предоставить доменное имя, email и номер телефона. Для других разновидностей могут понадобится документы, которые подтверждают наличие юридического лица: ИНН, сведения из ЕГРЮЛ и прочее.
После активации, ссылка на которую придет на указанную почту, следует дождаться окончания проверки. Этот процесс может занять от десятка минут до нескольких суток, после чего на e-mail придет архив с сертификатом, который требуется установить на сайт.
Приватный ключ SSL-сертификата выглядит именно так.
В архиве обычно содержаться три файла – приватный и публичный ключи, а также цепочка SSL-сертификатов (CA Bundle), которая нужна для повышения доверия к ресурсу. Далее можно подключить SSL-сертификат через панель управления хостингом или сервером. После этого меняем протокол с HTTP на HTTPS, путём настраивания редиректа.
Для содания самоподписанных сертификатов в Центр сертификации обращаться не нужно. Для этого необходимо создать корневой сертификат с информацией о стране, городе, названии компании и домене, а к нему уже выпускать самоизданные, используя файлы конфигурации.
Заключение
Использование SSL-сертификата повышает доверие пользователей к вашему сайту. Это стоит учитывать владельцам интернет-магазинов, банковских и платежных систем, а также площадок, где посетителям требуется предоставить свои персональные данные для создания аккаунта. Однако важно понимать, что цифровая подпись не является стопроцентной гарантией защиты от хакерских или DDoS-атак.
