Amikor valaki HTTP (nem HTTPS) weboldalon küld be űrlapot, az adatai egyszerű szövegként utaznak az interneten. Bárki a hálózaton közte és a szervered között láthatja, mit gépelt be, beleértve a jelszavakat, a bankkártyaszámokat és az e-mail-címeket. Ez nem elmélet. A csomagfigyelő eszközök szabadon elérhetők, és a támadók aktívan elfogják a titkosítatlan űrlap-beküldéseket.
Az SSL/TLS titkosítás az a technológia, amely védi az űrlapadatokat, miközben a látogató böngészőjéből a szerveredre utaznak. Ez az űrlapbiztonság legalapvetőbb formája, és nem alku tárgya.
Mit fogsz megtanulni: hogyan működik a HTTPS titkosítás, mi a különbség az SSL és a TLS között, mi az SSL-tanúsítvány és miért van rá szükséged, hogyan ellenőrizd, hogy az űrlapod megfelelően titkosított-e, és mit tegyél, ha a HTTPS nem működik.
Mi a HTTPS, és hogyan titkosítja az adatokat?
A HTTPS a HTTP (Hypertext Transfer Protocol) biztonságos változata. Az "S" a Secure (biztonságos) szóra utal. A HTTPS SSL/TLS-t (Secure Sockets Layer / Transport Layer Security) használ a látogató és a szervered között küldött összes adat titkosítására.
Íme, mi történik, amikor egy látogató HTTPS-en keresztül küld be egy űrlapot:
- A látogató kitölti és beküldi az űrlapot. A böngészője összegyűjti az adatokat.
- A böngésző titkosított kapcsolatot létesít. Felveszi a kapcsolatot a szervereddel, és ellenőrzi az SSL-tanúsítványt (erről lentebb bővebben).
- Mindkét fél megállapodik a titkosítási beállításokban. Egyeztetik a legerősebb elérhető titkosítást, amelyet mindketten támogatnak.
- Az összes adat titkosítva van a küldés előtt. Az űrlapadatokat az egyeztetett titkosítással összekeverik.
- A szervered megkapja a titkosított adatokat. A privát kulcsával visszafejti az adatot, hogy olvasható legyen.
A hálózaton hallgatózó bárki számára az adat véletlenszerű karaktereknek tűnik. A titkosítási kulcs nélkül nem tudják elolvasni, és az csak a szervered birtokában van.
A különbség az SSL és a TLS között
Az SSL (Secure Sockets Layer) és a TLS (Transport Layer Security) rokon technológiák, amelyek ugyanazt a feladatot végzik. Az SSL volt az eredeti szabvány, először 1995-ben adták ki. A TLS a modern, továbbfejlesztett változat, amely felváltotta.
- SSL 3.0: Az SSL utolsó verziója, 1996-ban adták ki. Elavult, és már nem biztonságos.
- TLS 1.0: A TLS első verziója, 1999-ben adták ki. Még működik, de régebbi.
- TLS 1.2: 2008-ban adták ki. Még széles körben használt, és biztonságosnak tekintett.
- TLS 1.3: 2018-ban adták ki. A jelenlegi szabvány, gyorsabb és biztonságosabb.
A modern böngészők és szerverek TLS 1.2-t vagy TLS 1.3-at használnak. Amikor az emberek "SSL-tanúsítványt" mondanak, általában a TLS-titkosításhoz használt tanúsítványra gondolnak. A kifejezéseket gyakran felcserélhetően használják, de a ma ténylegesen használt technológia a TLS.
Mi az SSL-tanúsítvány?
Az SSL-tanúsítvány olyan digitális fájl, amelyet a webszervered használ az identitása igazolására és a titkosított kapcsolat létesítésére. Ezeket tartalmazza:
- A domainneved: Melyik domainre érvényes a tanúsítvány (www.pelda.hu)
- A szervezeted adatai: Cégnév, cím stb.
- Egy nyilvános kulcs: A látogatók böngészői ezzel titkosítják az adatot
- Egy digitális aláírás: Bizonyíték arra, hogy egy megbízható hatóság ellenőrizte ezt a tanúsítványt
- Lejárati dátum: Mikor jár le a tanúsítvány, és mikor kell megújítani
A tanúsítvány olyan, mint egy digitális személyi igazolvány, amely bizonyítja, hogy a szervered legitim.
Hogyan ellenőrzik az SSL-tanúsítványokat
Amikor egy látogató felkeresi a HTTPS weboldaladat, a böngészője ellenőrzi az SSL-tanúsítványodat, hogy megbizonyosodjon a legitimitásáról:
- A szervered elküldi a tanúsítványát. A böngésző megkapja.
- A böngésző ellenőrzi a digitális aláírást. Megbízható tanúsítványkiállító írta alá ezt a tanúsítványt?
- A böngésző ellenőrzi a domaint. Egyezik a tanúsítvány azzal a domainnel, amelyet a látogató felkeres?
- A böngésző ellenőrzi a lejárati dátumot. A tanúsítvány még érvényes?
Ha bármelyik ellenőrzés sikertelen, a böngésző figyelmeztetést mutat. Ha minden rendben van, a böngésző lakat ikont (vagy biztonságos jelzést) jelenít meg, jelezve a látogatónak, hogy a kapcsolat titkosított, és az oldal legitim.
Az SSL-tanúsítványok típusai
Domain Validated (DV) tanúsítványok
Az alaptanúsítvány. A tanúsítványkiállító ellenőrzi, hogy te vagy a domain tulajdonosa, de a szervezetedet nem ellenőrzi. A legolcsóbb megoldás. A legtöbb űrlaphoz jó.
Organization Validated (OV) tanúsítványok
A hatóság a domaint és a szervezeted adatait is ellenőrzi. Drágább a DV-nél, több bizalmat nyújt. A böngésző a tanúsítvány részleteiben mutatja a szervezeted nevét.
Extended Validation (EV) tanúsítványok
A hatóság kiterjedt ellenőrzést végez, jogi ellenőrzéseket is beleértve. A legdrágább. A szervezet nevét közvetlenül a böngésző címsorában mutatja. Többnyire pénzügyi intézmények és magas biztonságú oldalak használják.
Wildcard tanúsítványok
Egy domainre és annak összes aldomainjére érvényes (például a *.pelda.hu wildcard lefedi a mail.pelda.hu, blog.pelda.hu stb. címeket). Hasznos, ha sok űrlapokat tartalmazó aldomained van.
Több domainre szóló (SAN) tanúsítványok
Több különböző domainre érvényes egyetlen tanúsítványban. Hasznos, ha több űrlapokat tartalmazó weboldalt üzemeltetsz.
SSL-tanúsítvány beszerzése
Tanúsítványkiállítók
A tanúsítványokat tanúsítványkiállítóktól (CA) vásárolod, például:
- Nagy kereskedelmi tanúsítványkiállítók
- Domain-regisztrátorok, amelyek tanúsítványokat értékesítenek tovább
- Más, vállalati szintű tanúsítványkiállítók
- Ingyenes, széles körben használt nonprofit tanúsítványkiállítók
Az árak az ingyenestől az évi több száz dollárig terjednek (EV-tanúsítványok).
A webtárhelyeden keresztül
A legtöbb modern webtárhely (köztük a WEMASY) automatikusan tartalmaz SSL-tanúsítványokat. Nem kell külön megvásárolnod vagy kezelned őket. A megújítást automatikusan intézik.
Telepítés és megújítás
Az SSL-tanúsítványok lejárnak, és meg kell újítani őket. A legtöbb tárhely ezt automatikusan intézi. Időnként ellenőrizd a tanúsítvány lejárati dátumát, hogy még érvényes-e. Ha lejár, az oldalad biztonsági figyelmeztetést mutat, és a látogatók nem biztos, hogy megbíznak benne.
Annak ellenőrzése, hogy az űrlapod megfelelően titkosított-e
Nézd meg az URL-t
Az űrlapoldalad HTTPS-t használjon, ne HTTP-t. Nézd meg a címsort.
JÓ: https://www.example.com/contact
ROSSZ: http://www.example.com/contact
Keresd a biztonsági jelzést
A modern böngészőkben a biztonságos HTTPS-kapcsolat lakat ikont vagy "Biztonságos" feliratot mutat a címsorban. Kattints rá a tanúsítvány részleteinek megtekintéséhez.
Ellenőrizd a tanúsítvány érvényességét
Kattints a lakatra, és nézd meg a tanúsítványt. Nézd meg:
- Érvényes a te domainedre?
- Lejárt?
- Ki állította ki (a tanúsítványkiállító)?
Használj online SSL-ellenőrzőt
Az online SSL-ellenőrző eszközökbe beírhatod a domaineded, és részletes jelentést kapsz az SSL-beállításodról. Ez megvizsgálja, hogy a legújabb titkosítási szabványokat használod-e, és azonosítja a gyengeségeket.
Gyakori HTTPS- és SSL-problémák
Vegyes tartalom figyelmeztetés
Az űrlapoldalad HTTPS, de egyes erőforrásokat (képeket, szkripteket, stíluslapokat) HTTP-n töltenek be. A böngészők figyelmeztetik a látogatókat, hogy az oldal nem teljesen biztonságos. Javítsd azzal, hogy minden erőforrást HTTPS-sé teszel.
Tanúsítvány-eltérés
A tanúsítvány a www.pelda.hu címre szól, de a látogató a pelda.hu címen van (www nélkül), vagy fordítva. A böngészők biztonsági figyelmeztetést mutatnak. Javítsd wildcard tanúsítvánnyal, vagy úgy, hogy az egyik verziót átirányítod a másikra.
Lejárt tanúsítvány
A tanúsítványod lejárt, és meg kell újítani. A böngészők feltűnő biztonsági figyelmeztetést mutatnak. A látogatók nem biztos, hogy megbíznak az űrlapodban. Azonnal újítsd meg a tanúsítványt.
Önaláírt tanúsítvány
A szervered egy saját magad által létrehozott tanúsítványt használ egy megbízható hatóságé helyett. A böngészők nem bíznak benne, és figyelmeztetést mutatnak. Soha ne használj önaláírt tanúsítványt nyilvános űrlapokon. Vásárolj vagy használj elismert hatóságtól származó tanúsítványt.
A HTTPS nem csak az űrlapokra való
A weboldalad minden oldala HTTPS-t használjon, ne csak az űrlapoldalak. Ez védi az összes látogatói adatot, és jelzi a Google-nek, hogy az oldalad biztonságos. Irányíts át minden HTTP-forgalmat HTTPS-re, hogy a látogatók mindig védettek legyenek.
Mit tesz a WEMASY az SSL/TLS titkosításért
Minden WEMASY weboldal és minden WEMASY-val épített űrlap alapértelmezetten HTTPS-t használ. Az űrlapjaid automatikusan biztonságos kapcsolaton futnak. A WEMASY kezeli helyetted az SSL-tanúsítványokat, az automatikus megújítást is beleértve. Soha nem kell tanúsítványt vásárolnod, telepítened vagy kezelned. A titkosítás be van építve, és mindig aktív.
Tudj meg többet a biztonsági beállításaidról a fiókbeállításaidban vagy az árazási oldalon.