Любое действие в интернете представляет собой обмен данными. Когда-то он проходил напрямую между сервером и пользователем, но с развитием киберпреступности появилась необходимость шифровать передаваемые данные. Если соединение не защищено, злоумышленники могут украсть данные ваших банковских карт, почитать переписку или воспользоваться паспортными данными. Чтобы защитить посетителей сайта от подобных неприятных вещей, используют SSL-сертификаты (Secure Sockets Layer).
Каким образом они защищают информацию, полученную от пользователя, какой тип сертификата стоит выбрать и дорого ли это обойдется, расскажем в статье.
Что такое SSL-сертификат?
SSL-сертификат представляет собой ряд правил, которых придерживаются браузер и сервер при обмене информацией.
Когда-то адреса сайтов, на которых используется расширенный сертификат, выделялись зеленым цветом, но с августа 2020 браузеры отказались от такого подхода. Чтобы понять, есть ли у сайта сертификат, достаточно посмотреть на адресную строку:
- http используется для обозначения протокола передачи гипертекста;
- https указывает на защищенный вариант протокола.
Благодаря криптографическому протоколу, злоумышленники не смогут перехватить данные, введенные пользователем на сайт.
Как владелец сайта, вы должны обеспечивать безопасность и конфиденциальность информации в сети. Более того, если у вас нет сертификата или он выдан сомнительным центром, браузер может предупредить посетителей при переходе на сайт, что их данные никак не защищены. В большинстве случаев потенциальные клиенты прерывают сессию после такой информации. На Западе наличие SSL-сертификата вызывает доверие у посетителей сайта.
Сертификат выдается на доменное имя и содержит сведения о владельце веб-сайта и сертифицирующем центре. Чтобы убедиться в безопасности соединения, вы можете нажать на значок замка в левой части адресной строки и ознакомиться с этой информацией. Так вы узнаете, на какой домен устанавливался сертификат, какой компании он принадлежит, в какой стране и городе она зарегистрирована и сколько еще продлится действие криптографического протокола.
Что делает SSL-сертификат?
SSL-сертификат кодирует все введенные данные таким образом, чтобы их нельзя было расшифровать без специальных ключей. Алгоритм шифрования и ключи к нему выбираются еще до начала сессии.
SSL-сертификат выполняет следующие функции:
- Повышает уровень защиты информации;
- Обеспечивает безопасность передачи данных между двумя сторонами;
- Подтверждает подлинность сайта: доказывает, что ресурс не клон и не фишинговая страница;
- Делает закодированные данные абсолютно неинформативными для третьих лиц;
- Показывает клиентам, что вы о них заботитесь и вам можно доверять;
- Обеспечивает соблюдение закона 152 о персональных данных.
Информация, которую ввел посетитель сайта, преобразуется в набор символов, который сообщается серверу и только он сможет их расшифровать, так как обладает ключом. Даже если киберпреступники захватят введенную информацию, они получат бесполезный набор знаков, который невозможно распознать без ключа.
Процесс установки SSL-сертификата происходит следующим образом:
- Сертификат устанавливается на сайт;
- Запросы, приходящие на HTTP, перенаправляются на HTTPS, а смешанный контент удаляется, чтобы избежать частичного шифрования.
SSL-сертификаты выдаются доверенными центрами сертификации. Они несут ответственность за качество сервиса и берут на себя финансовые обязательства в случае, если посетитель сайта пострадает из-за перехвата персональных данных.
Кому необходим SSL-сертификат?
Серьезная защита от перехвата данных необходима крупным организациям, проводящим финансовые транзакции непосредственно на сайте, (а не с помощью сторонних агрегаторов), и ресурсам, обрабатывающим персональные данные:
- Интернет-магазинам;
- Банкам;
- Соцсетям;
- Платежным системам;
- Почтовым серверам;
- Компаниям-разработчикам.
Для таких ресурсов, как личный сайт, блог, тематический форум, защита информации может не потребоваться.
Кто и зачем хочет украсть данные посетителей сайта?
Мошенники, хакеры, провайдеры, хостеры и любые злоумышленники, использующие ваш Wi-Fi, могут попытаться похитить персональные данные. Какая информация интересует преступников?
- Логины;
- Пароли;
- Переписка;
- Адреса электронной почты;
- Паспортные данные;
- Номера банковских карт;
- Адрес проживания пользователя.
Как преступник распорядится информацией, которую украдет с незащищенного сайта, зависит только от его намерений и фантазии. Некоторых интересует оплата чужими кредитными картами, а кто-то хочет заменить контент сайта своим или разместить на нем сомнительную рекламу. Также злоумышленники могут похитить cookie-файлы посетителей, чтобы потом демонстрировать им таргетированную рекламу. В любом случае кража персональной информации приведет к негативным последствиям.
Важно понимать, что SSL-сертификат никак не защищает сайт от взлома, для этого применяются другие решения. Главная функция криптографического протокола – обеспечить передачу конфиденциальных сведений по безопасному каналу. Даже если сайт взломают – преступники не расшифруют закодированные данные.
Типы SSL-сертификатов
SSL-сертификаты делятся на отдельные виды, в зависимости от их признаков. Например, по количеству проверок платформы выделяют 3 типа:
- DV (Domain Validation). Это один из самых распространенных вариантов, для проверки которого не нужны специальные документы. Такой сертификат говорит о том, что домен подтвержден. Введенные на сайте данные он переводит в код, используя HTTPS. Использовать его могут юридические и физические лица. Проверка выполняется с помощью электронной почты, DNS-записи или Hash-файла. Установка DV займет от 10 минут до 3 часов;
- OV (Organization Validation). Эта разновидность не только позволяет уберечь персональные данные от перехвата третьими лицами, но и гарантирует подлинность организации, которая его приобрела. Получить такой сертификат может только юридическое лицо. Для получения OV фирме потребуется подтвердить свой номер телефона. Действие сертификата начнется в течение 3 дней;
- EV (Extended Validation) совмещает функции двух предыдущих вариантов и подвергается дополнительной проверке. Перед выдачей сертификата проверяют налоговую и коммерческую деятельность компании, её географическое местоположение и контактные телефоны. На оформление такого сертификата потребуется 5 дней.
Еще SSL-сертификаты типизируют по количеству доменов. Они могут предназначаться для:
- 1 домена;
- 1 домена со множеством субдоменов;
- Большого количества доменов (мультидоменный сертификат).
Если вы хотите обеспечить безопасность данных на домене со множеством субдоменов, то отличным выбором будет сертификат от Wildcard. Достаточно одного сертификата, вместо нескольких, потому что Wildcard-сертификаты рассчитаны на неограниченное количество поддоменов. Еще одно весомое преимущество – автоматическое обновление сертификата. Вам не потребуется отслеживать срок его годности, как в случае с доменом. Такой вариант отлично подойдет для многостраничного корпоративного сайта или торговой сети.
Стоимость SSL-сертификатов
Цена зависит от степени сложности проверки и технических характеристик сертификата. Чтобы сделать правильный выбор, отталкивайтесь от специфики сайта и его возможностей.
*Не знаете, какому поставщику услуг можно обратиться? Доверие вызывают крупные сертифицирующие центры:
- GlobalSign – от 9000 р.;
- Comodo – от 725 р.;
- GeoTrust – от 4200 р.;
- RapidSSL – от 1350 р.;
- Thawte – от 2800 р.
Когда-то SSL-сертификат стоил дорого, но теперь есть возможность выбрать бесплатный вариант.
Определенные неприятности с платными SSL-сертификатами несколько лет назад были у владельцев доменов в зоне .рф и в принципе с обладателями имен на Punycode. Стоимость сертификата для подобных доменов была примерно в 4 раза выше, чем у доменных имен на латинице.
Бесплатный сертификат можно получить у центра сертификации Let’s encrypt. Компания решила сделать безопасный интернет доступным, а потому вы можете получить сертификат, соответствующий всем стандартам, не отдавая за это денег.
Если ваш хостер обещает предоставить бесплатный SSL-сертификат навсегда, то есть вероятность, что это Let’s encrypt. Центр сертификации выдает сертификат на 3 месяца, а затем автоматически продляет. Пока поддерживается хостинг, криптографический протокол будет действовать.
У платных сертификатов тоже есть функция автопродления, но если она не подключена, вам придется делать это самостоятельно, через почту и личный кабинет. При работе с некоторыми центрами сертификации это может стать многоэтапным процессом и вы потратите свое время.
Дорогостоящие сертификаты нужны для сайтов, которые регулярно подвергаются атакам и работают с огромным количеством транзакций. Для вариантов попроще вполне подойдет сертификат, который просто соответствует принятым стандартам. Проверить это можно с помощью ресурса https://www.ssllabs.com/.
*Цены действительны на момент выхода статьи.
Влияние SSL-сертификата на позиции сайта в поисковых системах
На данный момент нет исследований с достаточной доказательной базой, по которым можно бы было утверждать, что наличие SSL-сертификата поднимает сайт в ТОП поисковых систем.
Имейте в виду, что для поисковых систем ваш сайт без сертификата и ваш сайт с сертификатом – совершенно разные ресурсы. После установки криптографического протокола иногда происходят просадки позиций по СЕО и это стоит учитывать.
Скорость
Есть важный параметр, на который установка SSL-сертификата 100% повлияет – скорость. Вполне логично, что запрос шифрования и расшифровка кода требуют определенного времени. В зависимости от местоположения пользователя, срок может увеличиваться. Время отдачи страниц сайта, хоть и незначительно, но увеличится.
Если вам хотелось бы больше узнать о скорости загрузки вашего сайта из разных географических точек, то сделать это можно через ресурс https://ping-admin.ru/.
Выводы
SSL-сертификаты бывают разных видов и ранжируются в зависимости от уровня проверки данных заявителя, а также от числа доменов и субдоменов, для которых будут использоваться. Если вы не занимаетесь продажами через сайт, и он не подвергается регулярным атакам злоумышленников, то можно остановиться на бесплатном SSL-сертификате, например, от Let’s encrypt. Проверьте, соответствует ли он необходимым стандартам и можете быть уверены, что данным пользователей ничего не угрожает.