SSL-сертифікати: що це таке, які вони бувають і навіщо їх отримувати

Розповідаємо чому кожен веб-розробник повинен шифрувати дані, коли вони передаються від користувачів на сервери.

Ілюстрація: Катя Павловська для Skillbox Media

Любитель наукової фантастики та технологічного прогресу. Добре поєднує в собі хитромудрого технаря і витонченого гуманітарію. Пише про IT та радіє цьому.

Коли користувач заходить на сайт, він насамперед хоче переконатися, що він надійний – не обдурить і не вкраде дані. А також не дасть це зробити іншим. Щоб підтвердити свою надійність, розробники отримують спеціальні документи — SSL-сертифікати. Про них ми сьогодні поговоримо.

Все про SSL-сертифікати:

Що таке SSL-сертифікат

Він підтверджує справжність сайту та гарантує, що дані від користувача до сервера будуть передаватися зашифрованим з'єднанням.

Абревіатура SSL розшифровується як secure sockets layer, або «захищений сокетний шар». Це протокол безпеки, який створює захищене браузер-серверне з'єднання. Вся інформація, що передається по ньому, шифрується одноразовими ключами, щоб забезпечити конфіденційність даних і захистити їх від перехоплення.

Наприклад, коли ви вводите номер кредитної картки на сайті, щоб оплатити покупку, браузер відправляє ці дані на сервер. Якщо відправити їх у незахищеному вигляді – не зашифрувати, – шахраї теоретично зможуть перехопити їх, а потім прочитати. Якщо ж дані будуть зашифровані, то розгадати такий шифр буде дуже непросто.

Такий шлях проходить ваш пароль перед тим, як відправитися на сервер
Ілюстрація: Катя Павловська для Skillbox Media

Компанії повинні підтверджувати свої сайти сертифікатами, якщо вони використовують особисті дані користувачів, наприклад, логіни та паролі. Їх мають усі великі організації: банки, інтернет-магазини, соціальні мережі, платіжні системи та інші комерційні платформи.

Щоб дізнатися, чи є сертифікат, можна переглянути адресний рядок браузера. У її лівому кутку ви маєте побачити значок із закритим замком. Якщо він є - значить, сайт має сертифікат і на ньому безпечно.

Як працюють SSL-сертифікати

Вони гарантують, що будь-яка інформація, яка надсилається від браузера до сервера, буде зашифрована. Для цього протокол використовує алгоритми шифрування даних, наприклад, EIGamal, RSA, DSA або PKCS.

Весь процес роботи протоколу виглядає так:

• Користувач намагається підключитися до сайту, захищеного протоколом.
• Браузер користувача уточнює у сервера сайту, чи він справжній.
• Сервер у відповідь надсилає копію свого сертифіката, якщо вона, звичайно, є.
• Браузер користувача засвідчується в його автентичності (звіряється з пунктами видачі сертифікатів), а потім говорить серверу, що все прибл.
• Тепер сервер створює захищений сеанс: надсилає браузеру підтвердження з унікальним цифровим підписом, який зашифрований протоколом SSL.
• І нарешті дані починають передаватися по браузер-серверному з'єднанню.

Завдання перевірки – переконатися, що з'єднання буде захищеним. Може здатися, що покрокова схема виглядає довгою, хоча в житті це займає мілісекунди.

Спочатку браузер перевіряє, чи надійне з'єднання. Якщо ні – він виводить попередження
Ілюстрація: Катя Павловська для Skillbox Media

Після того, як браузер переконається, що сайт захищений, в адресному рядку буде напис HTTPS. Остання літера повідомляє, що з'єднання захищене: S - secured. Але якщо достовірність не була підтверджена, то в адресному рядку буде напис HTTP, а дані від користувача до сервера передаватимуться у незашифрованому вигляді.

Браузери дозволяють переглянути докладну інформацію про SSL-сертифікат для кожного сайту. Для цього потрібно клацнути на значок замка та прочитати інформацію. Зазвичай туди входять такі дані:

• ім'я домену;
• компанія, особа або пристрій, для кого було створено сертифікат;
• центр сертифікації, що видав сертифікат;
• цифровий підпис із центру сертифікації;
• піддомени;
• дата видачі;
• термін дії;
• відкритий ключ.

Навіщо потрібний SSL-сертифікат

Вони потрібні сайтам, щоб підтвердити безпеку передачі даних від користувачів на сервер, а також вказати права власності і не допустити його підробки зловмисниками. В якомусь сенсі це юридично завірений договір, який сайт підписує, щоби довести свою чесність.

Сайтам важливо зберігати конфіденційність даних та гарантувати користувачам безпеку їх введення. Наприклад, якщо потрібно ввести пароль або дані банківської картки, то користувачі довірятимуть лише тим сайтам, які пройшли перевірку. SSL допомагають засвідчити це.

Перед тим, як ввести персональні дані, користувач багато разів подумає. А іноді навіть SSL сертифікати не переконають його. Але вони все одно викличуть більше довіри
Ілюстрація: Катя Павловська для Skillbox Media

Великі компанії сертифікати корисні тим, що вони надають доступ до HTTPS-протоколу. Він використовує всі функції протоколу HTTP, але шифрує дані за допомогою протоколу SSL. Браузери навіть позначають сайти з протоколом HTTP як небезпечні, що може стати тривожним сигналом для користувачів та викликати недовіру – особливо під час введення персональних даних.

Хто видає SSL-сертифікати та які вони бувають

Отримати їх можна в центрах сертифікації, які ще називають центрами, що засвідчують. Серед найбільших із них — DigiCert, Symantec, GlobalSign. Усі вони займаються підтвердженням ключів для шифрування. Щоб отримати сертифікат, доведеться заплатити гроші, зате ви будете впевнені в його автентичності.

Сертифікати від цих компаній йдуть разом із печаткою довіри. Вона підтверджує, що з'єднання надійно захищене.

SSL-сертифікат можна отримати безкоштовно, наприклад, через сервіси Cloudflare та Let's Encrypt. Вони видають їх на три місяці, а потім їх потрібно буде продовжити. Але є кілька нюансів, які варто врахувати під час виборів цих сервісів:

• Cloudflare видає один сертифікат на 50 сайтів одночасно. Тому він належатиме не тільки вам, але й сайтам інших компаній. А ще — він не матиме печатки довіри.
• Сертифікат Let's Encrypt підтримує не всі браузери, не гарантує збереження даних, а також не має друку довіри.

Тому іноді варто вибрати платний сертифікат, якщо важливо переконати користувачів, що з'єднання надійно захищене.

Види SSL-сертифікатів

Глобально їх можна розділити на два типи:

• Самопідписані. Це коли вони підписуються на сервері компанії. І, по суті, це означає, що його може зробити будь-який користувач. Тому щоразу при відвідуванні сайту браузери видаватимуть попередження про незахищене з'єднання.
• Підписані в центрах, що засвідчують. Їх отримують якраз у центрах, що засвідчують. Їхня справжність буде підтверджена у всіх браузерах.

Другий тип ділиться ще на три види - по тому, як вони перевіряють дані:

• DV (domain validation) - Вміє шифрувати дані, але нічого не знає про компанію.Це базовий сертифікат, який набагато дешевший, ніж інші, і який підходить будь-яким компаніям.
• OV (organization validation) - Шифрує дані і знає про існування компанії. Підійде юридичним особам.
• EV (extended validation) — потрібний тим, хто хоче забезпечити високий рівень захисту. А щоб отримати його, компанія має пройти складну перевірку: підтвердити законність та надати права на домен.

Всі вони забезпечують надійність у шифруванні під час передачі даних від браузера до сервера. Але також є інші, більш специфічні сертифікати:

• WildСard — об'єднує домени з піддоменами та захищає з'єднання між ними.
• SAN — захищає лише домени, які вказані в сертифікаті.

Простим сайтам можна обійтися безкоштовним сертифікатом, якщо вони звичайно не використовують персональні дані. А ось для тих, хто хоче проводити онлайн-транзакції або створити систему особистих профілів, потрібно буде придбати один із підтверджених сертифікатів.

Як вибрати SSL-сертифікат

Щоб не витратити зайві гроші, потрібно спочатку визначити, що робить ваш сайт та які дані він збирає. Ми розглянемо деякі з варіантів і дамо пару порад щодо вибору.

Особистий блог. Часто в особистому блозі автори пишуть свої думки, викладають фото та відео, при цьому даних ніяких не збирають, окрім, можливо, пошти. Тому, якщо ви ведете особистий блог, можна обійтися безкоштовним сертифікатом від Cloudflare або Let's Encrypt. Але якщо вам не подобаються їхні умови, то вибирайте DV - він стане найкращим рішенням.

Інтернет-магазин. Тут люди купують товари, витрачають гроші та обирають місце, куди їм потрібно доставити посилки.Без надійного з'єднання не обійтися - потрібно забезпечити максимальний захист персональних даних, щоб користувачі не боялися вводити номери карток та адреси місць проживання.

Найкращим рішенням буде вибрати сертифікат EV, щоб підтвердити справжність інформації про компанію та убезпечити дані. Але також підійде OV, якщо у вас є невеликий магазин, у якого не так багато клієнтів.

Портал новин. Все залежить від специфіки. Наприклад, якщо у вас є медіа, де користувачі входять до своїх облікових записів, залишають коментарі, ставлять лайки, то варто вибрати сертифікат OV, щоб забезпечити надійність цих даних. Ну а якщо це видання новин, де користувачі тільки читають статті, можна обійтися DV.

Щоб вибрати оптимальний сертифікат, варто вивчити, що різні центри сертифікації пропонують і врахувати такі пункти:

• сумісність із популярними браузерами;
• рівень захисту персональних даних;
• складність перевірки компанії;
• наявність друку довіри.

Якщо кожен із цих пунктів вас влаштовує, можна сміливо купувати сертифікат.

Де придбати SSL-сертифікат

Після відходу багатьох зарубіжних компаній купити його стало набагато складніше. Сплатити передплату на іноземних сайтах за допомогою російських карт стало неможливо, тому доводиться обирати лише серед вітчизняних аналогів. Але аналогів майже немає.

Найпростіший спосіб отримати сертифікат сьогодні – подати заявку на сайті reg.ru. Там можна отримати його безкоштовно, але за умови, що ви купите у них домен. Також варто врахувати, що цей сервіс співпрацює з центром GlobalSign, що засвідчує, який може закрити доступ для користувачів з Росії. Тому при покупці враховуйте цей ризик.

Мінцифри вже намагається розробити нормативну базу, щоби російські компанії могли отримувати безкоштовні сертифікати. Наразі замовити його можна через портал «Держпослуг». Тому радимо залишити заявку там, щоб отримати надійний сертифікат.

Читайте також: