Kérdezd meg bárkitől, mi az az SSL-tanúsítvány, és sokféle választ kapsz, a „ami működésbe hozza a HTTPS-t" választól a „fogalmam sincs, de tudom, hogy kell az oldalaknak" válaszig. Mindkettő közelebb van az igazsághoz, mint hinnéd. Az SSL-tanúsítvány az a digitális hitelesítő, amely titkosítja a látogató böngészője és a webszerver közti kapcsolatot, és kifejezetten egy domainnévre állítják ki. Hat arra, hogyan néz ki az oldalad a böngészőkben, hogyan kezelik a keresők, és hogy a látogatók elég megbízhatónak tartják-e ahhoz, hogy maradjanak.
Mi az az SSL-tanúsítvány?
Az SSL-tanúsítvány egy webszerverre telepített digitális fájl, amely két dolgot csinál. Először titkosítja a látogató böngészője és a szervered között utazó adatokat, így az elküldött információt, köztük az űrlapokat, a belépési adatokat és a fizetési adatokat nem tudja elolvasni senki, aki elfogja a kapcsolatot. Másodszor ellenőrzi, hogy a szerver ahhoz a domainhez tartozik, amelyhez azt állítja, hogy tartozik, így a látogatók biztosak lehetnek abban, hogy a helyes oldalra jutottak.
Az SSL a Secure Sockets Layer rövidítése. A technológiát az évek során frissítették, és a jelenlegi szabvány technikailag a TLS (Transport Layer Security), de az SSL elnevezés használatban maradt, és a legtöbben, a regisztrátorok és a tárhelyszolgáltatók is a mögöttes verziótól függetlenül SSL-tanúsítványnak hívják ezeket.
Ha egy tanúsítvány telepítve és érvényes, a böngészők lakat ikont mutatnak a címsorban, és az oldalt HTTPS-en töltik be. A HTTP végén lévő „S"-t az SSL teszi lehetővé. Tanúsítvány nélkül a kapcsolat titkosítatlan, a cím sima HTTP-t mutat, és a modern böngészők „Nem biztonságos" figyelmeztetést jelenítenek meg a látogatóknak.
Mit jelent a HTTPS, és hogyan működteti az SSL?
A HTTP az a protokoll, amellyel a böngészők weboldalakat kérnek és fogadnak. A HTTPS ugyanez a protokoll egy titkosított réteggel, amelyet az SSL-tanúsítvány ad. Valahányszor egy látogató betölt egy oldalt egy HTTPS-t használó webhelyen, a böngészője és a szerver gyors ellenőrző párbeszédet folytat. Ennek során a böngésző megnézi az SSL-tanúsítványt, megerősíti, hogy érvényes, és a helyes domainre állították ki, majd titkosított kapcsolatot létesít. Ezután a látogató és a szerver közti összes adat útközben összekeveredik.
A látogatóknak ez azt jelenti, hogy amit beírnak egy űrlapba, amit böngésznek, és amit az oldal visszaküld a böngészőjüknek, azt nem tudja elolvasni egy harmadik fél, aki a kapcsolatot figyeli. A márkatulajdonosoknak ez azt jelenti, hogy az oldal és a látogatók közti kommunikáció alapból privát és biztonságos.
A böngésző címsorában lévő lakat ikon a látható megerősítés arra, hogy a HTTPS aktív, és a tanúsítvány érvényes. A zöld vagy szürke lakat azt jelenti, hogy a kapcsolat titkosított, és a tanúsítványt ellenőrizték. A törött lakat, az áthúzott lakat vagy a lakat hiánya azt jelenti, hogy a kapcsolat titkosítatlan, vagy gond van a tanúsítvánnyal.
Hogyan kapcsolódik az SSL-tanúsítvány a domainedhez?
Az SSL-tanúsítványt egy konkrét domainnévre állítják ki. Amikor egy tanúsítványkiadó, vagyis egy megbízható szervezet, amely tanúsítványokat ad ki és ellenőriz, aláír egy tanúsítványt, egy vagy több domainnévhez köti. A sajatmarka.com-ra kiállított tanúsítvány pontosan erre a domainre vonatkozik. Nem fedi le automatikusan a www változatot, az aldomain-változatokat vagy bármely más domaint, hacsak azok nincsenek kifejezetten belefoglalva a tanúsítványba.
Ez az SSL és a domainod közvetlen kapcsolata. A tanúsítványt nem egy általános szerverre telepítik. A te domainnevedre állítják ki, és a böngésző ellenőrzi, hogy a tanúsítványban lévő domain megegyezik-e azzal, amelyet a látogató el akar érni. Ha nem egyeznek, a böngésző biztonsági figyelmeztetést jelenít meg, függetlenül attól, hogy maga a tanúsítvány érvényes-e.
Az előző fejezet, a domain védelme az eltérítéstől, a regisztrációd fiókszintű fenyegetéseivel foglalkozott. Az SSL más rétegen működik: azt védi, ami a kapcsolaton történik, nem azt, hogy ki irányítja a domainregisztrációt. Segít megérteni ezt a kapcsolatot, ha tudod, hogy mi a domainnév, és hogyan működik az oldalad címeként. A domain az a név, amelyhez a tanúsítvány kötődik, és a névnek és a tanúsítványnak is rendben kell lennie ahhoz, hogy a biztonságos kapcsolat működjön.
A domained és az oldalad fájljait tároló hely kapcsolata is idetartozik. Mivel a tanúsítványt arra a szerverre telepítik, ahol az oldalad van, és a domain erre a szerverre mutat, a kettőnek összhangban kell lennie. A domain és tárhely különbségéről szóló fejezet bemutatja, hogyan kapcsolódik a domainnév és a tárhelyfiók, ami ugyanaz az infrastruktúra, amelyen az SSL a gyakorlatban működik.
Milyen típusú SSL-tanúsítványok vannak?
Az SSL-tanúsítványoknak három fő érvényesítési szintjük van. A különbség az, hogy a tanúsítványkiadó mennyire alaposan ellenőrzi a domain mögötti szervezetet, mielőtt kiadja a tanúsítványt.
Domainérvényesítés (DV)
A domainérvényesített tanúsítvány megerősíti, hogy aki kéri, az valóban irányítja a domaint. A tanúsítványkiadó ellenőrzi, hogy hozzáfér-e a domain DNS-rekordjaihoz vagy a hozzá tartozó e-mail-fiókhoz. A szervezet személyazonosságát vagy jogi létezését nem ellenőrzik. A DV-tanúsítványokat gyorsan, gyakran automatikusan adják ki, és ez a leggyakoribb típus személyes oldalakhoz, blogokhoz és kis márkák weboldalaihoz. A lakat megjelenik, a kapcsolat titkosított, és a látogatók HTTPS-t látnak. A legtöbb oldalnak a DV elegendő.
Szervezetérvényesítés (OV)
A szervezetérvényesített tanúsítvány tartalmazza a kérő szervezet jogi létezésének és elérhetőségeinek ellenőrzését. A tanúsítványkiadó nyilvános nyilvántartásokban nézi meg, hogy a szervezet valódi-e, és hogy a tanúsítványt kérő személynek van-e erre felhatalmazása. Az OV-tanúsítványokat általában bejáratott márkák és szervezetek használják, amelyek a tanúsítványukhoz magasabb szintű, igazolt személyazonosságot szeretnének kapcsolni.
Kiterjesztett érvényesítés (EV)
A kiterjesztett érvényesítésű tanúsítvány a legalaposabb ellenőrzési folyamatot jelenti. A tanúsítványkiadó megnézi a jogi bejegyzést, a fizikai címet, hogy a szervezet aktívan működik-e, és hogy a kérelmezőnek joga van-e kérni. Az EV-tanúsítványokat korábban a böngészők zöld címsorával hozták összefüggésbe, bár a legtöbb modern böngésző már nem mutatja feltűnően ezt a vizuális megkülönböztetést. Leggyakoribbak pénzügyi intézményeknél és webshopplatformoknál, ahol a bizalom elsődleges szempont.
Egy tipikus márkaoldalnál a DV-tanúsítvány lefedi, amire szükséged van. A titkosítás és a HTTPS lakat mindhárom típusnál azonos. A különbség az igazolt és a tanúsítványhoz kapcsolt szervezeti személyazonosság szintjében van.
Mi történik az oldaladdal SSL-tanúsítvány nélkül?
Az SSL-tanúsítvány nélküli oldal sima HTTP-n töltődik be. A látogatóknak a legszembetűnőbb következmény a böngészőfigyelmeztetés. A Chrome és a többi nagy böngésző „Nem biztonságos" jelzést mutat a címsorban minden olyan oldalnál, amely nem HTTPS-en fut. Űrlapos vagy belépési mezős oldalakon a böngészők feltűnőbb figyelmeztetést jeleníthetnek meg, amely aktívan visszatartja a látogatókat attól, hogy bármilyen adatot beírjanak.
Az ebből adódó bizalmi jel jelentős. Azok a látogatók, akik „Nem biztonságos" jelzést látnak, nagyobb eséllyel lépnek le, mielőtt bármit elolvasnának. Egy olyan oldalnál, amely arra kéri a látogatókat, hogy lépjenek veled kapcsolatba, iratkozzanak fel valamire, vagy vásároljanak, az SSL hiánya közvetlenül befolyásolja, hányan viszik végig.
A SEO-hatás is valós. A Google megerősítette, hogy a HTTPS rangsorolási jel, vagyis az SSL-es oldalaknak mérhető előnyük van a keresési találatokban az egyenértékű SSL nélküli oldalakkal szemben. Az előny önmagában nem hatalmas, de a böngészőfigyelmeztetések okozta magasabb visszafordulási aránnyal együtt az SSL nélküli oldal több fronton is felfelé vívja a harcot. Erről részletesebben a következő szakaszban van szó.
Hogyan hat az SSL a keresőhelyezésekre?
A Google 2014 óta használja a HTTPS-t rangsorolási jelként. Maga a jel mérsékelt rangsorolási lökést ad, de az SSL hiányának továbbgyűrűző hatásai gyakran jelentősebbek, mint maga a jel. Az az oldal, amely böngésző-biztonsági figyelmeztetést vált ki, magasabb visszafordulási arányt, rövidebb oldalon töltött időt és kevesebb konverziót lát. Mindezek a viselkedési jelek idővel visszahatnak a keresési teljesítményre.
A Google bejárói az oldalak HTTPS-változatát is szívesebben indexelik. Ha az oldalad megfelelő beállítás nélkül HTTP-n és HTTPS-en is fut, duplikált tartalmi gondok, megosztott linkjelek és bejárási zavar lehet a vége. A helyesen telepített és beállított SSL, a HTTP-ről HTTPS-re történő átirányítással, mindezeket a jeleket az oldalad egyetlen változatán tartja egybe.
Tisztán gyakorlati szempontból a HTTPS ma az alapelvárás minden olyan oldalnál, amely rangsorolni akar, és komolyan akarja, hogy vegyék a látogatók. Nem annyira versenyelőny, inkább a belépés ára.
Hogyan szerezz SSL-tanúsítványt?
Három fő módja van, hogy SSL-tanúsítványt szerezz a domainedhez, és a megfelelő lehetőség attól függ, hol van az oldalad tárhelye, és hogyan néz ki a tárhelybeállításod.
A tárhelyszolgáltatón vagy weboldalplatformon keresztül
Ha az oldalad egy platformon vagy egy tárhelyszolgáltatónál van, a legegyszerűbb út rajtuk keresztül vezet. Sok tárhely és weboldalplatform az SSL-t az ajánlata részeként tartalmazza, és automatikusan telepíti. Amikor a domainedet a tárhelyfiókodhoz kapcsolod, a tanúsítványt kiadják és beállítják anélkül, hogy bármit kézzel kellene tenned. Ez az az út, amely a legkevesebb súrlódást és a legkevesebb beállítási hibát okozza.
A domainregisztrátoron keresztül
Egyes domainregisztrátorok SSL-tanúsítványt kínálnak a domainregisztráció kiegészítőjeként. Ugyanazon a felületen vásárolod meg a tanúsítványt, ahol a domained regisztrálva van, majd telepíted a szerveredre, vagy követed a regisztrátor utasításait. A folyamat több kézi munkát igényel, mint az SSL megszerzése egy automatizáló tárhelyen keresztül, de egyszerű lehetőség azoknak, akik saját szervert kezelnek. A domainregisztrációról szóló fejezet hasznos kiindulópont annak megértéséhez, mit kínálnak a regisztrátorok általában a regisztráció mellé.
Ingyenes SSL egy ingyenes tanúsítványkiadón keresztül
Létezik ingyenes, automatizált tanúsítványkiadó, amely DV-tanúsítványokat ad ki költség nélkül. Azért hozták létre, hogy az SSL az internet minden oldala számára elérhető legyen, és ez sikerült is. A legtöbb tárhely ezt natívan vagy integráción keresztül támogatja, és sokan automatikusan beállítják, amikor domaint kapcsolsz. A tanúsítványokat 90 naponként automatikusan megújítják, ami megszünteti annak kockázatát, hogy a tanúsítvány lejár, és böngészőfigyelmeztetést okoz.
Mikor használj ingyenes SSL-tanúsítványt, és mikor fizetőset?
A legtöbb márkaoldalnál egy ingyenes tanúsítvány mindent lefed, ami kell. A titkosítás azonos a fizetős tanúsítványokéval. A lakat megjelenik. A HTTPS-protokoll működik. A látogatók biztonságos oldalt látnak. Ha a tárhelyed támogatja az ingyenes tanúsítványkiadót, és automatikusan beállítja, nincs ok fizetni egy tanúsítványért csak azért, hogy ugyanazt a DV-szintű védelmet kapd.
A fizetős tanúsítványok bizonyos helyzetekben értelmesek. Ha OV- vagy EV-tanúsítványra van szükséged a szervezet igazolásához, ahhoz fizetős tanúsítvány kell, mert az ingyenes kiadó csak DV-t ad ki. Ha nagy webshopot, pénzügyi szolgáltatást vagy bármilyen olyan platformot kezelsz, ahol az oldal mögötti szervezet személyazonossága érdemi bizalmi tényező a felhasználóknak, az OV vagy EV járulékos ellenőrzése megéri a költséget.
A fizetős tanúsítványokhoz gyakran olyan funkciók is járnak, mint a garancia, ami pénzügyi biztosíték arra az esetre, ha egy tanúsítványhiba biztonsági problémát okozna, és a részletesebb ügyfélszolgálat. Kis márkaoldalnál vagy tartalomközpontú weboldalnál ezek az extrák ritkán adnak gyakorlati értéket. Nagy tranzakciós forgalmú oldalnál a garancia és az ügyfélszolgálati hozzáférés releváns lehet.
Az SSL-tanúsítvány megújítása, és mi történik, ha lejár
Az SSL-tanúsítványoknak van lejárati dátumuk. A szabványos tanúsítványok legfeljebb 13 hónapig (nagyjából 397 napig) érvényesek. Amikor egy tanúsítvány lejár, a böngészők azonnal biztonsági figyelmeztetést mutatnak minden látogatónak, függetlenül attól, hogyan nézett ki az oldal az előző napon. A lakat eltűnik, megjelenik a „Nem biztonságos" jelzés, és a látogatók feltűnő hibaoldalakat látnak, amelyek figyelmeztetik őket, hogy az oldal tanúsítványa lejárt.
Ez gyors módja a látogatói bizalom és az organikus forgalom elvesztésének. A tanúsítvány lejárati figyelmeztetéseket a monitorozó eszközök is észreveszik, és értesítést válthatnak ki a Search Console-ból vagy a rendelkezésre állást figyelő szolgáltatásokból, ha be vannak állítva.
A gyakorlati megoldás ugyanaz, mint a domain lejáratánál. Automatizáld a megújítást. Az ingyenes kiadó tanúsítványai 90 naponként automatikusan megújulnak, ha a tárhely helyesen beállította a megújítási folyamatot. Sok fizetős tanúsítványszolgáltató is kínál automatikus megújítást. Ha saját tanúsítványt kezelsz, állíts be naptáremlékeztetőt jóval a lejárati dátum előtt, hogy legyen időd megújítani és újratelepíteni a lefedettség megszakadása nélkül.
Mi az a wildcard SSL-tanúsítvány?
A szabványos SSL-tanúsítvány egy konkrét domaint és opcionálisan a www változatot fedi le. A wildcard tanúsítvány a gyökérdomaint és az összes aldomainjét egyszerre fedi le. A sajatmarka.com-ra szóló wildcard a bolt.sajatmarka.com, blog.sajatmarka.com, app.sajatmarka.com és minden más, általad létrehozott aldomaint is lefedi, anélkül, hogy mindegyikhez külön tanúsítvány kellene.
A wildcard tanúsítványok akkor hasznosak, ha egy márka több szolgáltatást vagy oldalrészt futtat különböző aldomaineken. A saját domain és aldomain fejezet bemutatja, mikor van értelme az aldomaineknek, és hogyan kapcsolódnak a fődomainhez, ami az a környezet, amelyben a wildcard tanúsítványok relevánssá válnak.
Egy egyetlen domainen, www változattal futó egyszerű márkaoldalhoz a szabványos tanúsítvány elég. A wildcard gyakorlati előrelépés, ha a domainszerkezeted több aktív aldomaint tartalmaz.
Hogyan viszonyul a WEMASY az SSL-hez
A WEMASY weboldalépítőjében az oldalaidat építheted fel.
A csomagok tartalmát a WEMASY árazás oldalon nézheted meg.
Gyakran ismételt kérdések
Megvéd az SSL-tanúsítvány attól, hogy az oldalamat feltörjék?
Az SSL-tanúsítvány titkosítja a látogató böngészője és a szervered között utazó adatokat. Nem védi az oldalad fájljait, adatbázisát vagy kódját az illetéktelen hozzáféréstől. Egy oldalnak lehet érvényes SSL-tanúsítványa, és mégis sebezhető lehet a szervert, a tartalomkezelő rendszert vagy magát az alkalmazást célzó támadásokkal szemben. Az SSL egy konkrét kockázatot kezel, az útközbeni adatelfogást, és azon túl semmit. Az oldal biztonságának tágabb körét a platform és a szoftverek naprakészen tartása kezeli. A WEMASY weboldalépítőjével az oldalaidat közvetlenül a weboldaladon építheted fel.
Lehet SSL az egyik oldalon, a többin nem?
Nem. Az SSL-tanúsítvány az egész domainre vonatkozik, nem az egyes oldalakra. Ha a HTTPS be van állítva, és a HTTP-kéréseket átirányítják HTTPS-re, a domain minden oldala biztonságos kapcsolaton töltődik be. Nem alkalmazhatod szelektíven a titkosítást csak bizonyos oldalakra ugyanazon a domainen. Egyes oldalak vegyes tartalmat töltenek be, vagyis a HTTPS-oldalakon lévő erőforrások, például képek vagy szkriptek még mindig sima HTTP-n töltődnek be, de ez beállítási hiba, nem szándékos kialakítás. A böngészők ezt biztonsági gondként jelzik.
Elromlanak a meglévő linkjeim, ha HTTP-ről HTTPS-re váltok?
Az URL-jeid HTTP-változatára mutató külső linkek továbbra is működnek, ha megfelelő 301-es átirányítást állítasz be HTTP-ről HTTPS-re. A 301-es átirányítás automatikusan a régi HTTP-címről a HTTPS-változatra küldi a látogatókat és a keresőket, a link értékének nagy részét megőrizve. Átirányítás nélkül a HTTP-linkek az oldalad titkosítatlan változatára vagy hibára vezetnek, a szerverbeállítástól függően. Az átirányítás helyes beállítása az SSL-telepítés szokásos lépése.
Kell külön SSL-tanúsítvány minden birtokolt domainkiterjesztéshez?
Igen. Az SSL-tanúsítványt egy konkrét domainre állítják ki. Ha a sajatmarka.com és a sajatmarka.net külön regisztrációként a tiéd, mindegyiknek saját tanúsítvány kell. A sajatmarka.com tanúsítványa nem vonatkozik a sajatmarka.net-re. A domainkiterjesztés része annak, amit a tanúsítvány lefed. A domainkiterjesztésről szóló fejezet elmagyarázza, hogyan működnek a TLD-k külön azonosítóként, ami fontos annak megértéséhez, miért kell minden domainnek saját tanúsítvány.
Mi a különbség az SSL és a domain-adatvédelem között?
Ez két külön dolog, amelyek más aggályokat kezelnek. Az SSL titkosítja a látogató böngészője és a szervered közti kapcsolatot, védve az útközbeni adatokat. A domain-adatvédelem (WHOIS-adatvédelem) elrejti a domain regisztrálójának személyes elérhetőségét a nyilvános WHOIS-adatbázisból, így a neved és a címed nem látható senkinek, aki lekérdezi a domaint. Az egyik a látogatói adatokat védi böngészés közben, a másik a regisztráló személyes adatait a nyilvános lekérdezéstől. Mindkettőt érdemes használni, de teljesen más célt szolgálnak.
Az SSL-tanúsítványom érvényesnek látszik, de a látogatók mégis biztonsági figyelmeztetést látnak. Mi okozhatja?
A leggyakoribb ok a vegyes tartalom. Ez akkor történik, amikor egy HTTPS-oldal egy vagy több erőforrást HTTP-n tölt be, például egy nem biztonságos URL-en lévő képet, szkriptet vagy stíluslapot. A böngésző az oldalt nem biztonságosként jelzi, mert nem minden tartalma titkosított. Nézd át az oldalad forráskódját olyan linkekért vagy beágyazott erőforrásokért, amelyek „http://" és nem „https://" kezdetűek, és frissítsd őket a biztonságos változatukra. A legtöbb böngésző fejlesztői eszköze közvetlenül azonosítja a vegyes tartalom forrásait.
A következő fejezet a 301-es átirányításokról szól: mik ezek, hogyan működnek, és mikor van rájuk szükség ahhoz, hogy a forgalmat és a link értékét az egyik URL-ről a másikra vidd.