SSL сертификат: шта је и да ли је потребан?

Шта SSL сертификат заправо ради?

SSL је сертификат којим сајт доказује прегледачу да контролише одређени домен. Када је сертификат важећи, веза се успоставља преко HTTPS-а, а подаци између прегледача и сервера се шифрују.

То је важно код контактног обрасца, пријављивања на кориснички профил, онлајн поруџбине, плаћања, отпремања докумената и сваке друге операције при којој се шаљу информације. Шифровање отежава пресретање и измену података на путу између клијента и сервера.

Приликом отварања сајта прегледач и сервер обављају кратку размену кључева. Након тога прегледач проверава сертификат, домен и рок његовог важења и приказује сајт преко HTTPS-а. Посетилац то види као адресу која почиње са https://, икону сигурне везе или информације о сертификату.

SSL не штити цео сајт од свега. Он не спречава слаб приступ заштићен лозинком, заражени додатак, лажну понуду или пробој у сам сервер. За то су потребни ажурирања, резервне копије, контрола приступа и надзор.

Да ли је SSL сертификат обавезан за сваки сајт?

За јавни пословни сајт, онлајн продавницу и систем са пријављивањем одговор је да. Сајт без HTTPS-а може да се отвори, али данас више делује као проблем него као нормалан технички избор.

Прегледачи означавају HTTP странице као „небезбедне“, нарочито када се на њима налази образац за унос података. То може да одврати особу од слања упита, пријављивања на профил или завршавања поруџбине.

Google користи HTTPS као сигнал за рангирање. То не значи да ће један SSL сертификат довести сајт на врх резултата. Значи да сајт без HTTPS-а почиње са техничким недостатком у односу на упоредив сајт који је правилно подешен.

HTTPS је неопходан и за бројне савремене функције прегледача, као што су неке врсте обавештења, приступ уређају и рад прогресивних веб апликација. Платни оператери и добављачи спољних услуга такође очекују безбедну везу, иако њихови конкретни захтеви зависе од интеграције.

Важно појашњење: GDPR не каже једноставно „купите SSL сертификат“. Организација треба да примени одговарајуће техничке и организационе мере у складу са ризиком. HTTPS је основна мера заштите података током преноса, али не замењује остале захтеве.

Који тип SSL сертификата вам је потребан?

У већини случајева није вам потребан најскупљи сертификат. Избор зависи од домена, поддомена и начина на који управљате хостингом, а не од величине логотипа или броја страница.

Цена се мења у зависности од сертификационог тела, броја домена, поддомена, рока важења, начина управљања и тога да ли хостинг провајдер укључује сертификат у претплату. EV више не приказује посебну зелену траку у већини прегледача, зато га не треба куповати само због визуелног ефекта.

Да ли је бесплатан SSL довољан?

Да, за велики део сајтова. Let's Encrypt издаје бесплатне DV сертификате, а многа хостинг окружења их аутоматски инсталирају и обнављају. Посетиоцу правилно подешен бесплатни DV сертификат обезбеђује исту основну енкрипцију као и плаћени DV сертификат.

Разлика је обично у управљању, одржавању и додатним функцијама, а не у самом постојању катанца. Плаћени сертификат може имати смисла код специфичних захтева за организацију, великог броја домена или централизованог управљања у већој инфраструктури.

Cloudflare такође може да обезбеди TLS између посетиоца и своје мреже. То, међутим, не значи аутоматски да је веза од Cloudflare-а до вашег сервера правилно заштићена. Треба изабрати одговарајући режим и обезбедити важећи сертификат и на серверу, када конфигурација то захтева.

Како подесити HTTPS без кварења сајта?

1. 01
   Провера домена и хостинга

   Утврдите на коју адресу показује DNS, ко управља сервером и да ли је сертификат већ издат. Проверите и све коришћене поддомене, на пример www, shop, app и адресу админ панела.

2. 02
   Издавање и инсталирање сертификата

   Изаберите аутоматски DV сертификат или други тип у складу са стварном потребом. Инсталирајте сертификат за одговарајуће домене и међусертификате, ако их издавач захтева.

3. 03
   Преусмеравање на HTTPS

   Подесите трајно преусмеравање са HTTP на HTTPS на нивоу сервера. Посебно проверите верзију са www и без www и изаберите једну главну адресу. Преусмеравање треба да сачува путању до странице, а не да све води на почетну страницу.

4. 04
   Уклањање мешовитог садржаја

   Промените адресе слика, CSS датотека, JavaScript-а, фонтова, видеа и спољних ресурса са http:// на https://. Један стари ресурс може натерати прегледач да блокира скрипту или прикаже упозорење.

5. 05
   Провера образаца, плаћања и интеграција

   Пошаљите пробни захтев, обавите пробну поруџбину и проверите API везе, мапе, чет, праћење и рекламне скрипте. Код онлајн продавнице проверите и повратак са платног оператера, плаћање поузећем и товарне листове.

6. 06
   Аутоматско обнављање и надзор

   Подесите обавештење у случају проблема и проверавајте датум истека. Код аутоматског сертификата пратите и сам процес — немојте претпоставити да „аутоматски“ значи „никада неће престати да ради“.

Које грешке су најчешће?

Сертификат је издат за погрешну адресу

Сајт може да ради на example.bg, али да приказује упозорење на www.example.bg ако друга адреса није укључена у сертификат. Исти проблем настаје код заборављеног поддомена, тестног окружења или засебне адресе админ панела.

HTTP и HTTPS верзије постоје истовремено

Ако нема правилног преусмеравања, претраживачи и посетиоци могу да приступају двема верзијама исте странице. То ствара дуплирање, збуњује канонске адресе и омогућава да део сајта остане незаштићен.

Мешовити садржај блокира функције

Страница преко HTTPS-а може да учитава стару слику, скрипту или API адресу преко HTTP-а. Савремени прегледачи често блокирају активни мешовити садржај, па мени, образац, плаћање или праћење могу изненада да престану да раде.

Сертификат истиче

Истекао сертификат приказује велико упозорење и практично нарушава поверење у сајт. То се дешава код ручног обнављања, промењеног DNS-а, недостајућих дозвола или заустављеног аутоматског процеса.

SSL се сматра заменом за безбедност

HTTPS не поправља застарели WordPress додатак, слабу лозинку или рањив образац. Потребни су ажурирања, ограничен приступ, резервне копије и надзор. Код сајта који је израдио други провајдер, прво обавите технички преглед пре него што промените подешавања сервера.

Ко треба да одржава SSL сертификат?

Ако је сајт на управљаном хостингу, провајдер обично може да преузме издавање, инсталирање и обнављање. Важно је да то буде јасно описано: ко прима обавештења, ко реагује у случају грешке и да ли је провера након обнављања укључена.

Код самосталног сервера, нестандардне инфраструктуре или више повезаних система, одговорност је већа. Сертификат треба ускладити са обрнутим проксијем, CDN-ом, контејнерима, API адресама, тестним окружењем и системима за плаћање.

Одржавање није само једнократна инсталација. Оно обухвата резервне копије, ажурирања, праћење рокова и проверу да ли промене на сајту нису вратиле HTTP ресурс. Ако вам је потребан такав процес, погледајте шта обухвата одржавање сајта.

За нови корпоративни сајт HTTPS треба да буде део његове техничке основе, заједно са мобилном верзијом, обрасцима, SEO подешавањима и резервним копијама. Код онлајн продавнице провера треба да обухвати цео пут од производа до плаћања и обавештења о поруџбини — то је део правилне израде онлајн продавнице.

Шта можете сами да проверите за пет минута?

• Отворите сајт са https:// и проверите да ли прегледач приказује упозорење.
• Пробајте адресу са www и без www.
• Отворите важну интерну страницу, контакт форму и страницу за поруџбину.
• Проверите да ли постоје блокиране слике, скрипте или фонтови који се учитавају преко HTTP-а.
• Проверите датум истека и да ли је омогућено аутоматско обнављање.
• Проверите да ли се HTTP адреса преусмерава на одговарајућу HTTPS страницу.
• Ако сајт подржава плаћање, обавите пробну трансакцију или проверу у тестном окружењу.

Често постављана питања

Да ли SSL сертификат значајно утиче на SEO? HTTPS је потврђен технички сигнал, али сам по себи не може да надокнади лош садржај, спор сајт или лошу структуру. Корист је у томе што уклањате основни недостатак и пружате сигурну основу за осталу SEO оптимизацију.

Може ли онлајн продавница да ради без SSL-а? Технички, неке странице могу да се учитавају, али то је лоша и ризична конфигурација. Форме, профили, плаћања и поверење клијената захтевају HTTPS на целој продавници.

Да ли треба да купим плаћени SSL сертификат? Не нужно. Бесплатан DV сертификат је довољан за многе пословне сајтове и продавнице, ако је правилно инсталиран и обнављан; плаћени сертификат има смисла када постоји конкретан захтев у погледу валидације, управљања или инфраструктуре.

Шта да урадим ако је сертификат истекао? Немојте насумично брисати сертификате нити мењати DNS без провере. Утврдите ко управља хостингом, издајте нови сертификат, проверите посредне сертификате и након обнављања тестирајте све домене и интеграције.