HTTPS потрібен не лише сторінкам з онлайн-оплатою. Навіть звичайна форма зворотного зв’язку передає ім’я, телефон або електронну адресу, а в особистих кабінетах до цього додаються паролі. Захищене з’єднання не дає змогу надсилати таку інформацію відкритим текстом між браузером і сервером.
Саме SSL-сертифікати підтверджують зв’язок домену з криптографічним ключем і дають браузеру змогу встановити зашифрований сеанс. Водночас HTTPS не доводить чесність власника ресурсу й не захищає сайт від усіх атак – це один із базових, але не єдиний рівень безпеки.
Що таке SSL-сертифікат і як він працює
Сертифікат є цифровим документом із назвою домену, відкритим ключем, терміном дії та відомостями про центр сертифікації. Коли людина відкриває HTTPS-сторінку, браузер перевіряє ланцюжок довіри, відповідність домену, дату завершення дії та статус документа. Якщо перевірка успішна, браузер і сервер узгоджують ключі захищеного сеансу.
Перехоплений трафік без сеансових ключів не повинен розкривати вміст запиту: пароль, текст повідомлення чи інші дані. Сертифікат також допомагає виявити підміну сервера, але не робить безпечними слабкі паролі, застарілу CMS або шкідливий код на самій сторінці.
Які бувають SSL-сертифікати
Спочатку сертифікати розрізняють за рівнем перевірки заявника. Сила шифрування DV, OV та EV може бути однаковою; різниця полягає насамперед у тому, які відомості підтверджує центр сертифікації та скільки часу займає випуск.
Основні варіанти перевірки мають такі особливості:
- DV підтверджує контроль над доменом і підходить блогам, лендингам, тестовим середовищам та невеликим сайтам.
- OV передбачає перевірку організації й доречний для корпоративних ресурсів, B2B-платформ та сервісів, яким важлива підтверджена юридична інформація.
- EV потребує розширеної перевірки компанії та використовується проєктами з підвищеними вимогами до ідентифікації власника.
Після цього визначають область покриття. Звичайний сертифікат працює з конкретним ім’ям, Wildcard – із піддоменами одного рівня, а Multi-Domain містить декілька імен у SAN.
Як вибрати SSL-сертифікат для сайту
Треба порахувати основний домен, версію з www, службові піддомени, окремі клієнтські кабінети та інші сайти, які мають працювати через HTTPS.
Для типових проєктів можна орієнтуватися на такі сценарії:
- Лендингу, портфоліо або інформаційному сайту зазвичай достатньо базової перевірки.
- Корпоративному ресурсу може бути корисне підтвердження даних організації.
- SaaS із численними адресами клієнтів потребує продуманої схеми піддоменів і керування ключами.
- Декільком незалежним сайтам може підійти один сертифікат із переліком адрес.
- Магазину слід врахувати вимоги платіжних сервісів, внутрішні політики безпеки та процедури підтримки.
Безкоштовний DV-сертифікат може забезпечувати таке саме сучасне шифрування, як платний продукт, якщо його правильно встановити й регулярно оновлювати. Плата зазвичай пов’язана з перевіркою організації, підтримкою, гарантійними умовами, брендом центру та зручністю обслуговування. Тому невеликому сайту часто достатньо автоматизованого безкоштовного рішення, а бізнес обирає платний варіант, коли потрібні OV, EV або визначений рівень сервісу.
Встановлення, продовження та типові проблеми SSL
Для встановлення на сервер додають сертифікат, проміжні сертифікати та приватний ключ. Останній не можна передавати стороннім чи публікувати: у разі компрометації ключа документ відкликають і випускають заново. Після налаштування перевіряють увесь ланцюжок, відповідність імен, підтримувані версії TLS і дату завершення дії.
Сертифікати мають обмежений термін, тому продовження або повторний випуск потрібно організувати завчасно. Автопродовження теж слід контролювати: автоматичне завдання може завершитися помилкою.
Після переходу на HTTPS налаштовують постійний редирект із HTTP та оновлюють внутрішні посилання. Помилка mixed content виникає, коли захищена сторінка завантажує зображення, скрипт або шрифт через незахищений HTTP. Браузер може заблокувати такий ресурс, тому всі залежності переводять на HTTPS, а потім тестують сторінки, форми, аналітику й інтеграції.
HTTPS як необхідна частина технічної основи
Для одного простого сайту зазвичай вистачає DV, для підтвердження компанії розглядають OV або EV, для мережі піддоменів – Wildcard, а для декількох адрес – Multi-Domain. Вибір має відповідати архітектурі сайту, а не лише статусу продукту. Надійний результат дають коректне встановлення, захищений приватний ключ, своєчасне оновлення та регулярна технічна перевірка.
