В днешно време повечето уебсайтове използват SSL сертификат. Ако отворите защитен сайт, трафикът между уеб браузъра Ви и сайта ще бъде криптиран. Така, дори неупълномощено лице да прихване трафика, няма да може да прочете нищо от информацията, която сте получили или изпратили. Ако сайтът не е сигурен обаче, заявките и отговорите им, разменени между браузъра Ви и сървъра, могат да бъдат прихванати във всяка една от множеството точки, през които минава трафикът Ви.
Тъй като броят сайтове, които използват SSL сертификат, нарасна значително в последните няколко години, браузърите започнаха да показват съобщение “Not secure” (не е сигурен) за всеки сайт, който не използва SSL сертификат. Преди това сигурните сайтове имаха иконка на катинар в адресната лента, докато несигурните просто нямаха такъв. Ето защо въпросът не е дали да добавите SSL сертификат на сайта си, или не, а какъв вид. Условно, можем да разделим сертификатите на два вида - безплатни и платени. По-долу ще разгледаме предимствата и недостатъците на всеки вид, за да можете да изберете най-добрия вариант за Вашия уебсайт.
- Какво е SSL сертификат
- И така, наистина ли Ви трябва сертификат?
- Безплатни SSL сертификати
- Предимства
- Недостатъци
- Платени SSL сертификати
- Предимства
- Недостатъци
- Кой вид ще защити по-добре уебсайта Ви?
- Кой вид можете да използвате с ICDSoft?
- В заключение
Какво е SSL сертификат
Това е цифров сертификат, който се използва, за да се удостовери истинността на даден уебсайт, и да се криптира информацията, която се обменя между сайта и посетителите му. SSL е съкращение от Secure Sockets Layer - протокол, който позволява информацията да се криптира. Въпреки че в днешно време използваме по-модерния TLS протокол, терминът “SSL сертификат” се е наложил и все още се използва.
Когато отворите даден уебсайт, можете да видите дали той използва SSL сертификат, ако погледнете адресната лента на браузъра - уебадресът на сигурен уебсайт включва https:// вместо http://, а до адреса ще видите катинар.
Информацията се криптира с помощта на частен ключ, който е наличен единствено на сървъра, а след това се декриптира чрез публичен ключ, който браузърите получават, когато заредят сайта. Няма да навлизаме в техническите подробности, тъй като те не са нещо, което има нужда да знаете. Важното в случая е, че SSL сертификатът създава защитена връзка между уебсайт/сървър и посетителите му.
И така, наистина ли Ви трябва сертификат?
Да, трябва Ви! Няма съмнение, че ако притежавате уебсайт, трябва да добавите SSL сертификат към него. Най-очевидната причина за това е да защитите информацията, която посетителите на сайта попълват, но има и други причини да използвате SSL сертификат. Ето няколко от тях:
- Спечелете доверието на хората. Дори да не събирате никаква информация на сайта, хората може да се колебаят да го посещават, ако виждат “Not secure” бележка в адресната лента.
- Подобрете позицията на сайта в търсачките. Google дава предимство на сигурните сайтове в резултатите, които показва при търсене.
- Потвърдете името на компанията си с някои видове сертификати. Т.нар. Organization validation (OV) и Extended validation (EV) сертификати се издават след обстойна проверка на организацията/компанията.
След като установихме, че SSL сертификатът е задължителен за сайта Ви, нека разгледаме предимствата и недостатъците на платените и на безплатните сертификати. Подобно сравнение ще Ви помогне да решите кой вариант е по-подходящ за Вас.
Безплатни SSL сертификати
Let’s Encrypt e най-известната организация, издаваща безплатни SSL сертификати (Certificate Authority, CA). Те са пионерите в тази сфера, като започват да издават безплатни сертификати, признати от всички уеб браузъри, през 2015 г. В следващите години още организации започват да издават безплатни сертификати, някои от тях с валидност от само един месец и обозначени като “пробен период”. Въпреки това Let’s Encrypt имат водеща роля в индустрията. Ето защо повечето предимства и недостатъци, които сме изброили, се отнасят основно за сертификатите, които те издават.
Предимства
- Безплатни са. Можете да използвате тези сертификати безплатно без ограничение във времето. Ако не броим организациите, които издават тестови сертификати с валидност един месец, стандартните безплатни сертификати са валидни 90 дни и могат да се подновяват неограничен брой пъти без пари.
- Добиват се лесно. Все повече доставчици на хостинг услуги предоставят безплатни SSL сертификати с плановете си. Тъй като сертификатите са интегрирани в платформите им, отнема един клик да активирате безплатен сертификат, а подновяването обикновено е автоматично. Ако доставчикът Ви не предоставя такива сертификати, ще намерите множество сайтове, чрез които можете да получите безплатен сертификат с няколко клика.
- Подновяват се автоматично. Ако имате виртуален или нает сървър, обикновено имате по-малко интегрирани в контролния панел услуги в сравнение със споделения хостинг. Дори в този случай обаче, можете да инсталирате безплатен сертификат и да го настроите да се подновява автоматично, като създадете автоматизирана задача (cron job), която стартира софтуер като Certbot, например. Това е програма, която заявява, валидира и инсталира Let’s Encrypt сертификати автоматично.
С мощните ни менажирани VPS планове, безплатни Let’s Encrypt SSL сертификати са интегрирани в хостинг контролния панел по подразбиране. Можете лесно да активирате стандартен сертификат за едно домейн име или т.нар. wildcard сертификат, който ще покрива едно домейн име и всички поддомейни към него. Ако предпочитате платен вариант, предоставяме RapidSSL сертификат безплатно с всички наши VPS планове за един уебсайт.
Недостатъци
- Валидност. Безплатните сертификати могат да се подновяват на всеки 90 дни, но доставчикът Ви на хостинг услуги трябва да ги е добавил към платформата си. В противен случай ще трябва да ги подновявате ръчно, което понякога може да не е съвсем лесно. Едномесечните тестови сертификати не могат да се подновяват безплатно, а единствено платено и то за период от една година.
- (Липса на) доверие. Още от самото начало замисълът на безплатните SSL сертификати е да направят мрежата по-сигурна. Проблемът е, че в днешно време всеки може да получи такъв сертификат. Това важи и за фалшиви сайтове - за съжаление, те могат да изглеждат също толкова сигурни, колкото всеки истински сайт. Ето защо някои хора чисто и просто нямат доверие на сайтове, на които виждат безплатен SSL сертификат.
- Възможна е само валидация на домейна. Липсата на доверие, която споменаваме по-горе, е в резултат на опростения процес на валидация. Let’s Encrypt например предлага само валидация на домейна: т.е. трябва единствено да докажете, че имате контрол над даден домейн, но нищо повече. Те не проверяват данните за връзка на човека или компанията, която иска сертификат (т.нар. валидация на организацията, която други организации, издаващи сертификати, извършват).
- Липсва поддръжка. Let’s Encrypt не предлагат никаква директна поддръжка, тъй като те са организация с нестопанска цел. Те работят с малък екип, който се грижи единствено за автоматизацията на управлението на сертификатите. Можете да разчитате на някаква поддръжка за безплатен сертификат само ако използвате 30-дневен тестов такъв, но това няма да Ви помогне особено, тъй като ще трябва да платите за сертификата след първия месец.
- Липсва гаранция. Ако уебсайтът Ви бъде хакнат поради уязвимост в сертификата или платите за нещо на фалшив уебсайт, използващ SSL сертификат, който не е бил валидиран както трябва, организацията, издала сертификата, няма да Ви компенсира по никакъв начин. Подобен сценарий не е много вероятен, но не е невъзможен.
DigiNotar, нидерландска организация, издаваща SSL сертификати, претърпява пробив в сигурността през 2011 г. В резултат на това са издадени хиляди компрометирани сертификати, което води до фалита на организацията.
Платени SSL сертификати
Платени SSL сертификати се издават от редица организации. Всички те са част от Certification Authority Browser Forum – консорциум на организации и компании, разработващи софтуер, основно уеб браузъри и операционни системи. Организациите, издаващи SSL сертификати, обикновено не ги продават директно, а правят това чрез мрежа от риселъри на различни нива, които се занимават с поръчките от крайни клиенти.
Предимства
- Валидни са за цяла година. Ако закупите SSL сертификат, няма да има нужда да се тревожите за подновяването му преди следващата година. Някои организации дори издават сертификати за максимално разрешения период от 398 дни. Можете да намерите и пакетни оферти за няколко години, с които ще спестите пари, като ще трябва единствено да активирате наново сертификата всяка година.
- Доверие. Съществуват няколко вида платени SSL сертификати в зависимост от валидацията им. Сертификатите с валидация на организацията и разширена валидация (Organization validation, OV; Extended validation, EV) се издават след обстойна проверка на компанията, която е поискала сертификата. Ако попаднете на сайт, използващ такъв сертификат, можете да му се доверите.
- Поддръжка. Ако имате нужда от помощ за някой SSL сертификат, можете да се свържете или с организацията, която го е издала, или с търговеца, от когото сте го закупили и те ще Ви помогнат. Независимо дали имате въпрос относно валидация, инсталация, или нещо друго, обикновено можете да получите помощ от техническата поддръжка в рамките на няколко часа. Някои риселъри на SSL сертификати предлагат и поддръжка чрез чат в реално време.
- Гаранция. Платените SSL сертификати имат гаранция между $10,000 и $1,500,000+ в зависимост от вида сертификат и организацията, която го е издала. Гаранцията е уверение, че ако се случи нещо непредвидено поради уязвимост в сертификата, ще бъдете компенсирани. Гаранцията важи и за всяка трансакция, която направите на уебсайт, използващ SSL сертификат, който е бил издаден, без да бъде валидиран както трябва.
- Знак за доверие (trust site seal). Ако използвате платен SSL сертификат, можете да добавите знак за доверие на сайта си. Това е малко изображение, което удостоверява, че сайтът Ви е сигурен. Някои знаци са статични изображения, докато други са динамични. Вторият вид показва в реално време информация относно уебадреса, който е защитен, организацията, която го е издала, и размера на гаранцията. Добавяйки подобен знак на сайта си, ще вдъхнете доверие у посетителите, че сайтът Ви е истински, и е сигурен.
Ако използвате SSL сертификат, издаден от Sectigo например, можете да свалите динамично лого от www.trustlogo.com. Следвайки инструкциите, можете лесно да добавите знак на сайта си. Ние предлагаме стандартни и wildcard Sectigo сертификати с всички наши хостинг планове.
- Поддръжка за множество домейни. Някои организации издават сертификати, които защитават множество домейни. Наред с главния си домейн, можете да добавите допълнителни домейни, наречени Subject Alternative Names (SANs). По този начин можете да закупите и конфигурирате един сертификат, който да важи за множество сайтове.
Недостатъци
- Могат да са много скъпи. Ако търсите платен SSL сертификат, ще попаднете на най-различни цени. На един сайт може да видите цена $30, а на друг - дори $150 за съвсем същия сертификат. OV и EV сертификатите могат да са и по-скъпи.
- Процесът по валидация може да е объркващ. Обикновените платени SSL сертификати се издават след същата валидация на домейн, каквато ползват и безплатните сертификати. OV и EV сертификатите обаче се издават след не по-малко от няколко дни. В процеса на валидация трябва да предоставите служебен телефонен номер и документи за регистрацията на компанията Ви. Често публични бази данни също се проверяват, за да се удостовери името на компанията. Някои хора намират целия процес за объркващ и в крайна сметка закупуват стандартен SSL сертификат.
- Поддръжка за множество домейни. Може би ще се зачудите защо сме включили едно и също нещо и като предимство, и като недостатък. Причината е, че организациите, издаващи сертификати, смятат domain.com и www.domain.com за два различни домейна. Технически погледнато, това наистина са различни SANs, за които споменахме по-рано, но организациите ги наричат “домейни”, което е подвеждащо. Ако закупите сертификат за 5 домейна например, той ще е валиден за главния домейн със и без www, но само за още два домейна (със и без www), които ще заемат останалите четири свободни места.
Кой вид ще защити по-добре уебсайта Ви?
Ако искате само да криптирате информацията, която посетителите изпращат на сайта Ви, може да използвате който и да е от двата вида. Платените и безплатните SSL сертификати предлагат едно и също високо ниво на криптиране. И двата вида ще позволят на сайта Ви да се отваря с https:// и с катинар в адресната лента на браузъра. Ако става дума за сигурност, няма голямо значение кой вид ще изберете.
Ако вземете предвид няколко други фактора обаче, има значение кой вид ще изберете. Платените сертификати имат гаранция; OV и EV сертификатите се издават само след обстойна проверка, за да е сигурно, че компанията, искаща сертификата, е легитимна. Информацията и за двете неща е публична и може лесно да се види, ако посетител на сайта провери сертификата в браузъра си или ако имате знак за сигурност на сайта. По този начин хората ще имат по-голямо доверие в сайта Ви и ще са сигурни, че информацията им ще бъде защитена. Ето защо платените SSL сертификати са по-добрият вариант, ако планирате да приемате плащания за сайта или ако сайтът ще е част от някой важен проект. Няколко примера кога е по-удачно да използвате платен сертификат са: онлайн магазини, социални мрежи, новинарски сайтове или платформи за съвместна работа като Nextcloud.
Безплатните сертификати се издават много лесно - обикновено отнема не повече от няколко клика, ако доставчикът на хостинг услуги е интегрирал сертификатите в платформата си. И, разбира се, те са безплатни. Липсата на поддръжка и гаранция, както и фактът, че всеки може да получи такъв сертификат, прави безплатните сертификати по-подходящи за лични или за тестови сайтове.
Кой вид можете да използвате с ICDSoft?
За Ваше удобство ние поддържаме и двата вида сертификати. Можете да използвате който и да е от двата. Предлагаме безплатни Let’s Encrypt сертификати с всички наши хостинг планове, така че можете с един клик да активирате такъв сертификат за всеки Ваш домейн или поддомейн. Ако предпочитате по-професионално решение обаче, можете да използвате платен SSL сертификат.
Ние предлагаме сертификати от DigiCert и Sectigo на конкурентни цени, а ако закупите сертификат, ще го инсталираме в акаунта Ви. За Ваше удобство, можем да Ви помогнем и със смяната на адреса на сайта Ви от http:// към https://, като ще се уверим, че в адресната лента на браузъра се появява катинар. С менажираните ни VPS планове и със споделения план Бизнес Плюс предоставяме един платен SSL сертификат безплатно. Разбира се, можете да използвате платен сертификат, който сте закупили другаде, но би било по-удобно да управлявате хостинг акаунтите и сертификатите си на едно място.
В заключение
Ако се чудите дали да използвате безплатен SSL сертификат, или е по-добре да закупите платен, трябва да прецените предимствата и недостатъците на всеки от двата варианта. Няма съмнение, че трябва да добавите сертификат на сайта си, но кой от двата вида ще изберете, зависи от различни фактори. Ако не приемате плащания или лични данни и не Ви трябва знак за доверие или гаранция, можете да използвате безплатен SSL сертификат. Ако посетителите на сайта Ви трябва да въвеждат някаква информация обаче, а Вие искате да ги уверите, че сайтът Ви е сигурен, като показвате знак за доверие и информация относно гаранцията, трябва да се насочите към платен SSL сертификат. Ако плащате малка сума пари всяка година за SSL сертификат, със сигурност само ще спечелите в дългосрочен план, тъй като доверието, което ще изградите между себе си и клиентите Ви, няма да има цена.