Что такое SSL-сертификат?

Что это такое

Сертификат это небольшой файл, установленный на сервере. В нём указаны доменное имя, для которого он действителен, дата окончания срока действия и открытый ключ, а подписан он удостоверяющим центром, которому браузеры уже доверяют. Когда браузер подключается, сервер предъявляет сертификат. Браузер проверяет имя, даты и подпись, после чего стороны договариваются о ключах для шифрования сеанса.

SSL это старое название протокола. Его много лет назад заменил TLS, но выражение «SSL-сертификат» закрепилось. Сертификаты это одно и то же.

Почему это важно для бизнеса

• Без него браузеры предупреждают: сайт без сертификата или с истёкшим сертификатом показывает надпись «Не защищено» или предупреждение на весь экран, через которое большинство посетителей не пойдёт дальше.
• Входы и формы защищены: пароли, контактные формы и данные карт не может прочитать человек в той же сети.
• Этого ожидают поисковые системы: https уже много лет является фактором ранжирования.
• Это не только сайты: почтовые серверы, VPN-порталы, телефонные системы и внутренние приложения тоже используют сертификаты.

Виды сертификатов

• С проверкой домена (DV): центр проверяет только то, что вы контролируете домен. Выпускается за минуты, часто бесплатно. Это то, что используется на большинстве сайтов.
• С проверкой организации (OV) и с расширенной проверкой (EV): центр также проверяет компанию, стоящую за сайтом. Они стоят дороже и выпускаются дольше. Браузеры больше не показывают их в адресной строке иначе.
• Wildcard: покрывает все поддомены одного уровня, например anything.example.com.
• Мультидоменный (SAN): один сертификат со списком нескольких имён.
• Самоподписанный или частный: подписан вами или вашим собственным внутренним центром. Подходит для внутренних систем, устройства которых настроены ему доверять, а везде в остальных местах вызывает предупреждение.

Что идёт не так

• Истечение срока: у каждого сертификата есть дата окончания, и сроки действия постоянно сокращаются. Забытое продление выводит сайт из строя со страницей предупреждения. Продление должно быть автоматическим и контролируемым.
• Несоответствие имени: сертификат покрывает www.example.com, а посетитель ввёл example.com, или наоборот.
• Отсутствующая цепочка: сервер не отправляет промежуточный сертификат, поэтому одни устройства доверяют сайту, а другие нет.
• Смешанное содержимое: страница открыта по https, но загружает изображение или скрипт по http, и браузер это блокирует.
• Замок не является рекомендацией: он означает лишь, что соединение зашифровано и имя совпадает. У поддельного сайта он тоже может быть.

Как KawaConnect работает с сертификатами

Сайты, которые мы размещаем, работают по https с автоматически продлеваемыми сертификатами. Для серверов Linux, обратных прокси и других систем, которые мы ведём, мы настраиваем сертификаты при сборке и документируем, где каждый из них выпускается и продлевается. Бесплатные сертификаты Let's Encrypt покрывают большинство потребностей, а многие сайты получают свои через Cloudflare. Сертификаты зависят от правильной настройки DNS, поэтому мы проверяем и то и другое вместе.

Подробнее

• Сертификат открытого ключа в ВикипедииНейтральное объяснение того, что содержит сертификат и как работают цепочки доверия.
• Cloudflare: что такое SSL-сертификат?Короткое иллюстрированное объяснение сертификатов и рукопожатия TLS.
• Тест сервера SSL LabsБесплатный инструмент, который оценивает сертификат и настройки TLS публичного сайта и называет, что не так.
• Как работает Let's EncryptКак сертификат запрашивается, подтверждается и выпускается автоматически.