×
Россия +7 (495) 139-20-33

Сертификаты TLS/SSL. Базовая информация для владельцев сайтов

Россия +7 (495) 139-20-33
Шрифт:
2 9110

Сегодня понятие сертификата SSL у всех на слуху. Однако далеко не все понимают, что это на самом деле такое и зачем нужен этот пресловутый сертификат. 

Мы решили ответить на основные вопросы об SSL и простыми словами рассказать о них именно тем людям, которые принимают решение об установке сертификата на сайт.

Зачем нужен этот сертификат

В последнее время остается все меньше сайтов, у которых нет сертификата SSL. Но когда возникает вопрос: а зачем он нужен, первый ответ – ну Google же требует. Ответ на самом деле формальный. На деле же речь идет об очень важных вещах – безопасности и защите информации. Сегодня пользователи оставляют на сайтах не только разнообразные персональные данные, но и более «опасную» информацию, например, номера счетов или реквизиты банковских карт. Задача владельца сайта – сделать так, чтобы эти данные не попали в руки злоумышленников. Именно поэтому Google отдает предпочтение тем сайтам, которые защищают персональную информацию от «угона».

Защищенное соединение и сертификат SSL

Почему сертификат защищает от этой опасности? Как все это работает?

Сертификаты TLS/SSL – файлы, которые выдаются специальными организациями. С их помощью выдается подтверждение того, что получатель данных – именно тот сайт, адрес которого был набран в строке браузера. Некоторые сертификаты могут также удостоверять, что сайт принадлежит конкретному юридическому или физическому лицу.

Если у сайта есть сертификат, это значит, что данные передаются по защищенному протоколу, препятствующему их «перехвату» третьими лицами. А вот если соединение не защищено, злоумышленники могут, например, подменить номер счета, на который мы отправляем свой платеж, и получить его вместо сайта.

Именно поэтому важно получить подтверждение, что мы отправляем данные именно туда, куда ожидаем. Это и вопрос доверия к сайту, и фактической безопасности его пользователей, и поисковые системы придают большое значение наличию такого сертификата. Более того, Google Ads (рекламная система Google) может ограничивать показы рекламы сайта, его не имеющего.

Как происходит подтверждение сайта с помощью сертификатов

При соединении браузер проверяет, соответствуют ли данные в сертификате тому узлу, куда отправляются данные.

Если сайт соответствует информации, указанной в сертификате, то вы видите в окне браузера вот такой замочек для простого сертификата:

Как происходит подтверждение сайта с помощью сертификатов 1

И замочек и информацию о компании для сертификата, где она указана:

Как происходит подтверждение сайта с помощью сертификатов

Если же что-то пошло не так, то вы увидите такое предупреждение:

Как происходит подтверждение сайта с помощью сертификатов​​

При проверке:

  • если компьютер, на котором установлен браузер, не знает такого центра сертификации, будет выдано предупреждение;
  • если такой центр этот сайт не сертифицировал, также будет предупреждение;
  • если мы подключились не к тому сайту, для которого выдавался сертификат, тоже будет предупреждение;
  • если ключ не будет совпадать, подключение будет невозможно.

Шифрование данных и https

Кроме подтверждения подлинности сайта, которому передаются данные, использование защищенного протокола решает еще одну задачу – шифрует их. Почему это важно? Всегда есть опасность, что информация, которую мы передаем сайту, так или иначе будет доступна третьим лицам. Поэтому крайне важно, чтобы данные передавались в зашифрованном виде. Шифрование используется для того, чтобы в случае если злоумышленник каким-то образом получит доступ к передаваемой информации, он не мог понять, какие именно данные передавались, например, не мог извлечь из нее логин и пароль.

Какие типы сертификатов бывают и как выбрать нужный?

Domain Validation (DV)

Это самый простой вариант подтверждения. При таком подтверждении сертификационный центр удостоверяет строго одну вещь: этот домен принадлежит заявителю. Плюс такого сертификата в том, что его можно выпустить очень быстро.

Если вы являетесь счастливым обладателем блога, визитки, простого сайта с каталогом, сайта услуг или небольшого интернет-магазина, вам вполне подойдет такой вид подтверждения.

Organization Validation (OV)

Такой сертификат подтверждает организацию, владеющую сайтом. Выпускается такой сертификат в течение недели, +/- 3 дня. Важно: при таком способе сертификации для домена обязательно должны быть указаны данные о организации (отображаться в whois). Если же вы являетесь физлицом, то такой сертификат для вас получить попросту невозможно.

Кому подойдут такие сертификаты - сказать сложно. Дело в том, что для конечного пользователя (посетителя сайта) разницы между OV и DV нет. Неплохо иметь такой тип сертификата в случае, если с сайта осуществляются платежи, а бюджета на EV нет. Но в подобной ситуации обычно используются интегрируемые решения (например, https://www.robokassa.ru), которые переводят посетителя на сайт сервиса (там обычно EV). Сертификаты OV, например, используются Яндексом и Google.

Extended Validation (EV)

Красиво, дорого, мощно! EV-сертификаты отличаются внешним видом для посетителя. В адресной строке такого сертификата будут отображаться данные о компании.

Extended Validation.png

Если вы делаете что-то глобальное, вам нужен такой сертификат: например, если вы банк, если вы платежная система, если у вас собственный сервис приема платежей (данные карты вводятся на вашем сайте) и так далее. Такие сертификаты дороги. Даже у Сбербанка этот сертификат стоит только для https:\/\/online\.sberbank\.ru\/, а для https://www.sberbank.ru/ используется простой OV.

Что еще может понадобиться

Кроме типа подтверждения, сертификат может иметь ряд опций. Обычно они пишутся в названии карточки товара при покупке сертификата, например, Wildcard-сертификат, который защищает сразу все поддомены сайта, SAN-сертификат на несколько доменов, которые находятся на одном сервере, и так далее. Хотелось бы обратить внимание на очень важную для кириллических сайтов опцию – IDN (Internationalized Domain Names). Таким сайтам она необходима.

Если вы покупаете сертификат в не очень известной компании, у него может быть центр сертификации, который не добавлен в какой-нибудь из браузеров. Сайт с таким сертификатом будет отображаться как недоверенный.

А вот список сертификационных центров, чьи сертификаты наиболее распространены: Thawte, Comodo, GlobalSign, GeoTrust, DigiCert, Symantec.

О самоподписанных сертификатах

Конечно, протокол https должен применяться только в случае, если сертификат подтвержден. Но на деле владелец сайта может выписать сертификат сам на себя. Такой сертификат будет вызывать проблемы с подтверждением в любом браузере, так как в качестве сертификационного центра выступает некое частное лицо, которое точно не входит в список доверенных сертификационных центров ни одного браузера.

Это примерно как позвонить в дверь и сказать «это я» – если непонятно кто это, то это «я» ни о чем не скажет. Браузер предупредит, что он не знает организацию, выдавшую сертификат, однако если пользователь согласится с тем, что доверяет этому сайту, подключение будет работать.

Почему, несмотря на шифрование, не стоит передавать информацию таким сайтам? Ответ простой: если с подтверждением сертификата возникают проблемы, шифрование довольно бессмысленно. В подобной ситуации данные действительно не смогут быть прочитаны третьими лицами, однако владельцу сертификата и возможному злоумышленнику они достаются в «явном» виде. Поэтому не стоит на таких сайтах оставлять персональные данные, вводить пароли и тем более предоставлять номера банковских карт.

Как получить этот самый сертификат

Мы рекомендуем установку сертификата всем компаниям, с которыми работаем, советуем задуматься над этим и читателям. Как это сделать проще всего?

Многие хостинги имеют в себе интегрированные услуги по установке SSL-сертификатов, некоторые даже предоставляют сертификаты бесплатно при заказе хостинга. Такие решения наиболее удобны, так как процесс установки сертификата для этого хостинга уже поставлен на поток. Если же сайт расположен на собственном сервере, или на виртуальном частном сервере (VPS), или на виртуальном выделенном сервере (VDS), то установкой сертификата должен заниматься системный администратор. Также при переходе на https не забудьте поставить в известность всех, кто имеет отношение к привлечению трафика на ваш сайт. SEO-специалисту важно будет добавить сайт с новым протоколом в Вебмастер и сделать перенаправления с небезопасного подключения на безопасное, а специалистам по баннерной и контекстной рекламе может понадобиться поменять адреса посадочных страниц. 

(Голосов: 5, Рейтинг: 5)
Читайте нас в Telegram - digital_bar

Есть о чем рассказать? Тогда присылайте свои материалы Марине Ибушевой


Новые 
Новые
Лучшие
Старые
Сообщество
Подписаться 
Подписаться на дискуссию:
E-mail:
ОК
Вы подписаны на комментарии
Ошибка. Пожалуйста, попробуйте ещё раз.
Отправить отзыв
  • Sergey
    1
    комментарий
    0
    читателей
    Sergey
    больше года назад
    И ничего не написали про letsencrypt
    -
    0
    +
    Ответить
  • Петр Красков
    21
    комментарий
    0
    читателей
    Петр Красков
    больше года назад
    Статья норм, но картинок маловато
    -
    2
    +
    Ответить
ПОПУЛЯРНЫЕ ОБСУЖДЕНИЯ НА SEONEWS
Медицинская тематика в SEO: исследование спроса
МКСмедиа
6
комментариев
0
читателей
Полный профиль
МКСмедиа - Медицина - это такая тематика, где у клиентов всегда много вопросов и сомнений. Поэтому информационный контент на сайтах медицинской и других сложных тематик - просто необходим. Он не только приводит трафик, но и отрабатывает возражения.
Товары, которые не стоит продавать на Wildberries: типичные ошибки новичков
Николай
1
комментарий
0
читателей
Полный профиль
Николай - Похоже wildberries-edu.ru/
10 сервисов для работы с текстом в 2022 году
Никита
1
комментарий
0
читателей
Полный профиль
Никита - Обратите внимание, кто захочет пользоваться сервисом Retext.ai В пользовательском соглашении (который вы принимаете при регистрации) они прописали автосписания с карты сразу после первого платежа за тариф с увеличенным лимитом символов. Потом вам никто ничего не вернет, даже если вы написали в поддержку в день списания, и даже если вы не воспользовались тарифом ни на один символ. Работает Retext не на репутацию и хорошее отношение к клиентам, а на прибыль и автосписания.
SEO-продвижение монобрендового интернет-магазина. Кейс Casio
Mike
11
комментариев
0
читателей
Полный профиль
Mike - Яндекс сам не знает, что рекомендует. Каноникал они игнорируют все равно. А вот в гугле четко сказано, что если у страниц разный контент, то каноникал ставить не правильно.
Медицинская тематика в SEO: исследование выдачи
УточняюВопросы
1
комментарий
0
читателей
Полный профиль
УточняюВопросы - не очень понятен ваш запрос, можете чуть детальнее расписать? у нас же РУ-семантика, соответственно и язык сайтов в выдаче РУ конечно могуть быть какие то случайные выбросы, но вряд ли значимые
Внедрение и тестирование поиска по товарам в интернет-магазине инструментов
Геннадий Sape Agency
2
комментария
0
читателей
Полный профиль
Геннадий Sape Agency - На текущий момент достаточно часто (через 2-3 фида находятся проблемы). Причина в том, что инструмент пока находится в бета-версии и фиды проходят ручную модерацию через асессоров Яндекса. Тем не менее, как правило, правки минимальны.
«Ашманов и партнёры» создали нейросеть, которая генерирует нешаблонные описания для страниц сайтов
Алексей
1
комментарий
0
читателей
Полный профиль
Алексей - Функционал есть, но он не отдельный. Он идёт в дополнение к LSI-анализу, интегрирован в него. Можете увидеть сгенерированные мета-теги на вкладке "Текст" в результатах LSI-анализа. Они будут указаны с пометкой (авто). Также сгенерированные мета-теги указаны в ТЗ для копирайтера, которое формируется по итогам анализа конкурентов.
Реклама в Google Ads и AdSense в России работает нестабильно
Гость
2
комментария
0
читателей
Полный профиль
Гость - У тебя трафик с поиска уменьшился?
Как работать с Google PageSpeed Insights после обновления
Тимур
8
комментариев
0
читателей
Полный профиль
Тимур - Вообще интересно конечно. С одной стороны стараешься улучшить юзабилити и поведенческие - добавляешь на сайт важное обучающее видео Youtube-iframe, подключаешь чаты и модули обратного звонка(это то, чем реально пользуются наши клиенты). И вместе с этим получаешь низкую скорость загрузки. Выходит одно лечим другое калечим? Как быть? Я уже понял что в идеале глазами Гугла сайт должен быть на уровне 1995 года, когда не было вообще ничего кроме голой HTML-разметки с текстом. Но непонятно тогда для чего вводят 5G связь, если мы до сих пор ориентируемся на низкую скорость интернета у пользователей.
Как с помощью SEO удалось увеличить трафик и количество лидов в интернет-магазине. Кейс
Гость
1
комментарий
0
читателей
Полный профиль
Гость - Если коротко то статья о "я крутой специалсит, а все остальные фуфлометы"
ТОП КОММЕНТАТОРОВ
Комментариев
910
Комментариев
834
Комментариев
554
Комментариев
540
Комментариев
483
Комментариев
385
Комментариев
373
Комментариев
262
Комментариев
249
Комментариев
171
Комментариев
156
Комментариев
141
Комментариев
121
Комментариев
115
Комментариев
98
Комментариев
97
Комментариев
97
Комментариев
96
Комментариев
80
Комментариев
77
Комментариев
74
Комментариев
67
Комментариев
62
Комментариев
60
Комментариев
59

Отправьте отзыв!
Отправьте отзыв!