Что такое SSL сертификат и в чем его опасность. Переезд на https: зачем и кому нужен, полная инструкция по переезду на HTTPS

При попытке доступа к вашему сайту он может быть подменен злоумышленниками даже в том случае, если пользователь правильно ввел его доменное имя.

SSL-сертификаты исключают возможность подобной подмены - просмотрев сертификат, пользователь может убедиться, что на домене размещен именно тот сайт, который там должен быть, а не его дубликат.

Кроме того, SSL-сертификат позволяет пользователю проверить, кто является владельцем сайта. Это значит, что пользователь может удостовериться, что он зашел на сайт нужной ему организации, а не на сайт ее двойника.

Еще одна важная функция SSL-сертификатов - шифрование интернет-соединения. Зашифрованное соединение необходимо для предотвращения возможного хищения конфиденциальных данных при их передаче в сети.

SSL-сертификаты рекомендуем устанавливать в разделе сайта, где пользователи вводят конфиденциальные данные, например, на страницах авторизации и оплаты услуг. Наличие на сайте сертификата защищает его от возможных подделок, так как пользователь всегда может убедиться, что сайт подлинный, и проверить, кому он принадлежит.

В целях безопасности SSL-сертификат не переносится на другой договор.

Проверить принадлежность домена в заказе на сертификат можно через электронную почту, указанную для домена в Whois сервисе. Для этого вам нужно обратиться к регистратору домена и прописать в Whois сервисе для него любую электронную почту. Если домен зарегистрирован в RU-CENTER, то для этого укажите почту в личном кабинете:

В выберите Услуги → Мои домены .
Нажмите на доменное имя как на активную ссылку.
В строке Описание в Whois нажмите ссылку Изменить .
Укажите электронную почту и нажмите кнопку Сохранить изменения . После этого уведомьте нас о проделанных действиях по адресу .

Если запрос на сертификат CSR вы генерировали в личном кабинете RU-CENTER (была выбрана опция «создать CSR»), то закрытый ключ сохранился автоматически на вашем компьютере с именем файла privatekey.txt. Попробуйте выполнить поиск на компьютере. Без сохранения файла вы не могли бы перейти на следующий шаг при подаче заказа на сертификат. Если же запрос на сертификат CSR был сгенерирован на вашем сервере или у стороннего хостинг-провайдера, то закрытый ключ находится на сервере или у провайдера соответственно. Если закрытый ключ утерян, то необходимо выполнить - это бесплатно.

Зайдите на сайт https://www.upik.de .
Выберите язык English .
Нажмите ссылку UPIKR-Search with D-U-N-SR number .
В поле D&B D-U-N-SR Number введите номер DUNS.
В поле Select country выберите страну.
На открывшейся карточке компании вы можете проверить наличие номера телефона в поле Telephone number .

Если номер телефона указан некорректно или отсутствует, обратитесь в российское представительство DUN&BRADSTREET - компанию Интерфакс , и внесите или откорректируйте номер телефона в карточке компании. После внесения изменений номер телефона по вашему DUNS будет отображаться только через 7-30 календарных дней.

Чтобы изменить список доменов, на которые распространяется сертификат, необходимо заново создать CSR и пройти процедуру перевыпуска сертификата:

1. В разделе Для клиентов → SSL-сертификаты и выберите нужный сертификат.

3. Если вы хотите создать CSR в процессе заказа - нажмите Продолжить .Если вы будете использовать свой CSR - введите его в появившемся поле. Создание CSR для установки сертификата на Microsoft IIS описано в отдельных инструкциях - они откроются при выборе этого варианта.

4. Внесите изменения в список доменов и нажмите Продолжить .

5. Укажите контактные данные и нажмите Продолжить .

6. Сохраните приватный ключ - он понадобится для установки сертификата на веб-сервер. Нажмите Продолжить .

7. Проверьте корректность и нажмите Отправить заказ .

SSL-сертификаты выпускаются на срок 1-2 года.

Если организация заказывает сертификат на домен, который ей не принадлежит, то для этого необходимо предоставить письмо от владельца домена с разрешением на выпуск сертификата. Шаблон письма будет направлен удостоверяющим центром на контактный адрес электронной почты заказчика сертификата.

Сертификат может подтверждать наличие прав управления доменом, то есть удостоверять только домен. Такие сертификаты относятся к категории . Просмотрев сертификат DV, пользователь может убедиться, что он действительно находится на том сайте, адрес которого введен в строке браузера, то есть что при доступе к сайту пользователь не был перенаправлен злоумышленниками на подложный веб-ресурс. Однако сертификат не содержит информации о том, кому принадлежит сайт - в сертификате не будут указаны сведения о его владельце. Это обусловлено тем, что для получения сертификата его заказчику не требуется предоставлять документальное подтверждение своих идентификационных данных. Следовательно, они могут быть вымышленными (например, заказчик сертификата может выдать себя за другое лицо).

Сертификат может подтверждать наличие прав управления доменным именем и существование организации, у которой есть эти права, то есть удостоверять домен и его владельца. Такие сертификаты относятся к категории . Просмотрев сертификат OV, пользователь может убедиться, что он действительно находится на том сайте, адрес которого введен в строке браузера, а также определить, кому принадлежит этот сайт. Для выпуска данного сертификата его заказчик должен документально подтвердить свои идентификационные данные.

Защита данных становится все актуальнее по мере развития и распространения информационных технологий. Не последнюю роль в этом деле играет SSL сертификат для сайта. С какой целью он создается? Как установить/подключить сертификат? Можно ли проверить его работоспособность?

Общая информация

Первоначально давайте разберёмся, что собой представляет протокол SSL. Его название переводится как «уровень защищенных сокетов». Используется он для защиты передаваемых в Интернете данных миллионами сайтов. Посредством использования этого протокола обеспечивается высокий уровень безопасности соединения между сервером и пользователем. Его использование предусматривает передачу всех данных по каналу HTTPS, при этом расшифровка может быть осуществлена только с применением специального ключа. В пользу высокой надежности этого протокола говорит тот факт, что его используют все финансовые учреждения. Большой важностью в этой схеме обладает SSL сертификат для сайта. Что он собой представляет?

SSL сертификат

Для сайта он является чем-то вроде уникальной цифровой подписи. Он необходим всем банкам, платежным системам и иным организациям, что работают с персональными данными. Благодаря ему защищаются транзакции и предотвращается несанкционированный доступ к информации. В нём может содержаться следующая информация:

Доменное имя, для которого и создаётся сертификат.
Юридическое лицо, владеющее им.
Физическое местонахождение субъекта, для которого создаётся сертификат.
Срок действия.
Реквизиты компании, что сформировала сертификат.

Этот файл используется для подтверждения результатов идентификации владельца и законности осуществляемых действий. Вот для чего нужен SSL сертификат для сайта.

Какие они бывают?

Различают несколько типов:

С проверкой домена. Они ещё называются сертификатами начального уровня. Это самый распространённый вариант, который встречается повсеместно. Время, потраченное на их выдачу, занимает от двух до десяти минут. Можно получить также бесплатный SSL сертификат для сайта. Для этого не требуется наличие специальных документов, и просто проверяется уровень доступа человека к определённому ресурсу (подтверждается владение доменом). Так что этот вариант идеален для небольших проектов и сайтов, которым не нужно большое доверие со стороны посетителей.
С проверкой электронной почты. В таком случае центр сертификации высылает письмо, где необходимо будет перейти по ссылке и подтвердить правомочность действий. При этом письмо идёт на адрес, что был указан при регистрации домена.
Проверка при помощи DNS. В таком случае выдвигается требование создания особой записи в DNS, которую проверяет центр сертификации.
Использование специального файла. В этом случае владелец должен загрузить предоставленный документ на свой сервер. После того как центр сертификации убедится в том, что это требование выполнено, выдаётся сертификат.

Вот как подключить SSL сертификат к сайту. Какой способ нравится - такой и выбирайте. Но есть ещё одна возможность.

Вариант для солидных сервисов и компаний

В данном случае подразумевается выдача сертификатов только после проверки компании. Этот вариант подходит для тех, кто хочет, чтобы посетители имели доверие к их продуктам, сервисам и компаниям. В таких случаях центры сертификации осуществляют тщательную проверку. Нужно выслать требуемый пакет документов и дождаться звонка на корпоративный телефон. Когда осуществляется установка SSL сертификата на сайт расширенного образца, то в адресной строке отображается защищенность зеленым цветом. Это именно то, что мы встречаем на страницах банков и платежных систем. Часто ещё дополнительно предлагается поддержка субдоменов. Это хороший вариант в случае значительного разветвления структуры сайта.

Как можно узнать, что пребывание на сайте является безопасным?

Для этого существует множество способов. Самый лёгкий - это просто посмотреть на адресную строку браузера. Если она имеет зелёный цвет - значит, всё в порядке. А если нет? Не спешите делать выводы, вполне вероятно, что защита есть. Чтобы проверить SSL сертификат сайта в таком случае, необходимо просмотреть краткую информацию о нём, нажав на соответствующую кнопку. Каждый браузер размещает её по-своему, но чаще всего их можно встретить слева от адресной строки. Также как вариант - воспользоваться специальными приложениями и сервисами, позволяющими узнать, защищены ли данные, что передаются от сайта, или нет.

Где их брать?

Как установить SSL сертификат на сайт в мировой сети? Для этого необходимо обратиться в компанию, что специализируется на этом. Если говорить о платных сертификатах, то их стоимость может доходить до пяти тысяч рублей за год. Но есть возможность и бесплатно обеспечить безопасность своих данных. Правда, рассчитывать на уровень банков в таком случае не приходится. Для получения сертификата после выбора компании следует определиться, по какому тарифу будет осуществляться обслуживание. Если просто будет обеспечена безопасность, то это одна сумма. А если будет желание ещё рассказать клиентам зелёным цветом о том, что они могут не волноваться, это уже совсем другое.

Почему владельцы сайтов всё чаще используют SSL?

Сейчас активно растёт электронная коммерция. А в мировой сети первостепенным является вопрос безопасности. Многих людей отталкивает необходимость передавать персональные данные кому-то другому. Ведь так хочется иметь гарантию, что вся предоставленная информация сохранится в тайне. Если у потенциального клиента нет такой уверенности, он вряд ли что-то купит. А наличие SSL позволяет заявить, что организация к этому относится с уважением, и она проследит, чтобы данные не попали в чужие руки. Конечно, одно наличие сертификата ещё не даёт полноценной уверенности. Ведь для полноты следует ещё обеспечить безопасность внутренних каналов в организации, её подразделений и надёжность сотрудников. Но сертификат говорит хотя бы о том, что эти вопросы - не пустой звук.

Как это всё работает?

Итак, мы уже знаем, что сертификаты используются для обеспечения конфиденциального обмена данными между сервером и клиентом. Но как работает механизм шифрования? Данные в этом случае кодируются с помощью открытого ключа. Затем они пересылаются. Получатель при этом обладает закрытым ключом. И только используя его, можно раскодировать информацию и узнать, о чем же она. Чтобы всё происходило без проблем, используются протоколы записи и рукопожатия. Первый необходим для того, чтобы определить формат, который будет использован для передачи данных. Протокол рукопожатия нужен во время первого соединения клиента и сервера, когда осуществляется обмен серией сообщений. Когда открывается страница сайта, где имеется сертификат, то браузер получает у сервера идентификационную информацию. От него идёт копия. После получения сертификата браузер начинает проверять его подлинность. В случае позитивного исхода он сообщает об этом серверу. После этого посылается виртуально подписанное соглашение, которое разрешает закодированную передачу данных. И после этого с помощью сертификата шифруются любые передаваемые данные, что идут к клиенту. При этом привычный протокол передачи http меняется на https. Последняя буква s значит, что канал является защищенным.

Заключение

Почему же возникла необходимость во всех этих сертификатах? Увы, причина у этого грустная - большое количество мошенников в сети. Подделка сайтов, попытки выудить у невнимательных и доверчивых людей деньги - всё это требует принятия определённых мер, направленных на обеспечение безопасности. Чтобы иметь представление о суммарном выражении правонарушений, что осуществляются в данной области, достаточно привести небольшой пример: случаи мошенничества, что регистрируются, в год приносят убытков на сотни миллиардов долларов США! Согласитесь, поистине грандиозный масштаб!

Но почему, если существует довольно обширный комплекс способов защиты, всё ещё совершаются правонарушения в таком размере? Дело в том, что с технической точки зрения всё выглядит неплохо. Тот же SSL взломать - это сейчас на грани фантастики. Но, увы, есть человеческий фактор. Банальное попустительство со стороны человека, пренебрежение правилами безопасности и злой умысел ответственных работников соответствующих структур - всё это и приводит к тому, что мошенничество в этой сфере достигает поистине огромных масштабов. Некоторые риски находятся вне зоны нашей ответственности. Но в остальных случаях изучение техники безопасности поведения с информационными технологиями позволяет существенно сократить возможности преступников обобрать людей.

Наличие SSL-сертификата на сайте позволяет значительно повысить безопасность и конфиденциальность информации, передаваемой между сайтом (сервером) и клиентом (браузером), путем использования криптостойкого алгоритма шифрования.

Для чего нужен сертификат?

«Замок» и приставка https в адресной строке выступают в роли своеобразного маяка для потенциальных клиентов вашего, например, интернет-магазина. Посетители подобных сайтов могут быть уверены в том, что их персональные и конфиденциальные данные (например, ФИО, адрес доставки, номер и CVV2 код кредитной карты) не попадут в руки злоумышленников, что станет весомым аргументом в пользу выбора именно вашей площадки.

Также SSL может быть использован для организации внутренней сети предприятия, особенно в тех случаях, когда офисы и подразделения удалены друг от друга и связаны между собой посредством сети Интернет.

Использование SSL на сайте является весомым показателем для поисковых систем, которые отдают таким площадкам приоритет в поисковой выдаче.

Как работает SSL?

Работа защищенного протокола базируется на связке типа «запрос-ответ» между сайтом и браузером клиента:

Браузер клиента отправляет сайту запрос на получение страницы по защищенному протоколу HTTPS.
В ответ сервер посылает копию своего сертификата SSL.
Браузер осуществляет проверку подлинности полученного сертификата, после чего отправляет серверу свой публичный ключ.
Сервер проводит шифрование запрашиваемой страницы полученным ключом и отправляет ее браузеру клиента.
Надежное соединение по защищенному протоколу HTTPS с использованием SSL установлено. Все запросы шифруются.

Виды SSL-сертификатов

Современные сервисы (удостоверяющие центры) по выдаче SSL-сертификатов для сайта предлагают варианты, предназначенные для:

Проверки домена. К этому типу относятся самые простые сертификаты, подтверждающие права на владение доменным именем.
Подтверждения данных организации и права использования домена.
Защиты субдоменов. Подобный вид SSL обеспечивает защиту не только основного домена, но и всех его поддоменов.
Для использования на нескольких сайтах. Мультидоменный SAN SSL-сертификат можно использовать на нескольких сайтах (до 250!).

Срок действия «сертификатов надежности»

Каждый веб-мастер может заказать SSL-сертификат на срок от 1 до 3 лет. Важно понимать, что датой активации сертификата является день его выпуска, а не день заказа. Это говорит о том, что, например, заказав сертификат для своего домена 1 февраля 2017 года, вы получили его только 12 февраля (проверка всех документов отняла какое-то время). Это значит, что днем начала действия SSL-сертификата является 12 февраля 2017 года, а днем окончания - 11 февраля 2018.

Вывод

Вы являетесь владельцем онлайн-магазина? Занимаетесь электронной коммерцией? Вы получаете конфиденциальную информацию от клиентов или передаете ее другим с помощью сайта? Просто хотите подтолкнуть свой проект поближе к топу поисковой выдачи Google или Яндекс? Тогда SSL-сертифицирование сайте - это то, что нужно. Как говорится, must have.

В целях безопасности SSL-сертификат не переносится на другой договор.

В выберите Услуги → Мои домены .
Нажмите на доменное имя как на активную ссылку.
В строке Описание в Whois нажмите ссылку Изменить .
Укажите электронную почту и нажмите кнопку Сохранить изменения . После этого уведомьте нас о проделанных действиях по адресу .

Зайдите на сайт https://www.upik.de .
Выберите язык English .
Нажмите ссылку UPIKR-Search with D-U-N-SR number .
В поле D&B D-U-N-SR Number введите номер DUNS.
В поле Select country выберите страну.
На открывшейся карточке компании вы можете проверить наличие номера телефона в поле Telephone number .

1. В разделе Для клиентов → SSL-сертификаты и выберите нужный сертификат.

4. Внесите изменения в список доменов и нажмите Продолжить .

5. Укажите контактные данные и нажмите Продолжить .

6. Сохраните приватный ключ - он понадобится для установки сертификата на веб-сервер. Нажмите Продолжить .

7. Проверьте корректность и нажмите Отправить заказ .

SSL-сертификаты выпускаются на срок 1-2 года.

Перед тем как приступить к разбору темы - маленькое отступление: в январе 2017 года сайт перешел на безопасный протокол https (и вам советует). Также предлагаем и вам помощь в переезде на безопасный протокол . Зачем? Как это сделать? И какой период лучше всего выбрать? Вот об этом сейчас и расскажем.

В статье пойдет речь о переезде сайтов на безопасный протокол HyperText Transfer Protocol Secure (https) . Тема на сегодняшний день считается «заезженной» и рассмотрена на многих ресурсах, но от этого она не становится менее актуальной. Читатели нашего блога и постоянные клиенты часто интересуются - как переехать на https? Зачем мне переходить на https? Нужен ли https для моего сайта? Чтобы ответить на все вопросы разом и помочь тем, кто все еще не разобрался в вопросе, мы и написали эту статью.

Для начала давайте разберемся, что такое https? HyperText Transfer Protocol Secure - это безопасный расширенный протокол http с ключом шифрования для передачи данных или гипертекста (термин «гипертекст» был введен в 1965 американский социологом, философом и первооткрывателем в области информационных технологий Нельсоном, Теодором Холмом), примером гипертекста являются веб-страницы - документы HTML.

HTTPS не является отдельным протоколом. Это обычный HTTP, работающий через шифрованные механизмы SSL и TLS.

Что такое SSL и TLS

SSL - (secure sockets layer - уровень защищённых сокетов) - набор правил с более безопасной связью, регламентирующих применение шифровальных (криптографических) преобразований и алгоритмов в информационных процессах.

TLS - (Transport Layer Security - безопасность транспортного уровня) - протокол, основанный на спецификации протокола SSL версии 3.0. Хотя имена SSL и TLS взаимозаменяемы, они всё-таки отличаются, так как каждое описывает другую версию протокола.

С терминологией более менее разобрались, теперь переходим к тому, как заставить наш сайт работать на https.

Для того, чтобы заставить наш веб-сервер принимать и обрабатывать https-соединение, необходимо установить в систему SSL сертификат.

SSL сертификат - уникальная цифровая подпись вашего сайта, основанная на двух типах криптографических ключей - приват и паблик.

Публичный ключ не является секретным и он присутствует в запросе.

Приватный ключ располагается на вашем сервере и должен быть известен только вам.

Помимо паблик ключа, в сертификате содержатся также и другие сведения: версия, серийный номер, время действия сертификата, издатель и другие данные.

В частности, время действия сертификата очень важно. Браузеры не будут считать ключ валидным, если время действия ключа еще не наступило или (что случается чаще) уже закончилось.

Более подробную информацию об уже установленном на сайте сертификате вы можете посмотреть с помощью специальных сервисов, таких как:

https://www.ssllabs.com/ssltest/index.html - он передоставит расширенную техническую информацию о сертификате.

https://cryptoreport.websecurity.symantec.com/checker/views/certCheck.jsp - проверит, насколько верно установлен сертификат.

Типы SSL сертификатов по валидации

Что такое SSL сертификат и зачем он нужен вроде разобрались).

Теперь давайте разберем их типы по валидации:

Самоподписанный сертификат. Оговорюсь сразу, данный вид сертификата НЕ подойдет 99% пользователям. Плюс у данного сертификата один - цена (он совершенно бесплатен). Самый весомый минус - при переходе на ваш сайт из поисковой системы или по любому другому заходу пользователю будут показаны вот такие сообщения:

Цена: 0 руб.

Валидация по домену (Domain Validated) - SSL-сертификат, при оформлении которого производится только проверка доменного имени. Также данные сертификаты называют сертификатами начального уровня доверия. Подойдут практически 90% владельцев сайтов. Являются самыми распространенными. Подходят как физическим, так и юридическим лицам. Выдача данного сертификата, как правило, производится в течение суток.

Вид в адресной строке:

Цена: может колебаться от 800 руб./год до 3000 руб./год (хотя эта цифра не предел).

Валидация организации (Organization Validation) - сертификат с повышенной надежностью. При выдаче сертификата производится проверка компании, проверяется не только право владения доменом и принадлежность веб-сайта организации, но и существование компании как таковой. Доступен только юридическим лицам. При выдаче данного сертификата могут быть запрошены следующие документы: свидетельство ИНН/КПП, свидетельство ОГРН, свидетельство о регистрации доменного имени, и.т.д.

Вид в адресной строке:

Цена: может колебаться от 2000 руб./год до 35000 руб./год .

Расширенная валидация (Extended Validation) - сертификат с самым высоким уровнем аутентификации между всеми типами SSL сертификатов. Не подойдет 99% «смертных» из-за своей цены и способа проверки. Предназначен для крупных корпораций. Доступен только юридическим лицам. Зеленая адресная строка браузера отображает название компании и обеспечивает визуальное подтверждение безопасности вашего сайта.

Вид в адресной строке:

Цена: может колебаться от 12000 руб./год до 150000 руб./год .

Еще существует отдельный вид сертификатов, о котором нельзя не сказать - это сертификаты Wildcard . Данный вид сертификата стоит выбрать, если у вас структура сайта представлена в виде поддоменов. Или требуется защита передаваемой информации на субдоменах. На некоторых хостингах данный вид представлен в виде опции.

Цена: может колебаться от 1500 руб./год до 35000 руб./год .

Также для реализации https соединения на некоторых хостингах требуется оплата выделенного IP, цена которого может быть равна
1200 руб./год .

Если у вас возникнут проблемы с установкой или выбором SSL сертификата, вы всегда можете обратиться к своей хостинг-компании или к нам (цена рассчитывается индивидуально).

Теперь давай разберем, для чего вы прочитали 5716 байт предыдущего текста, и ответим на вопрос - для чего нам нужно переходить на https.

Для чего нужно переходить на https?

Причин несколько и все весомые:

Подходим к завершающей части и ответу на вопрос - как корректно переехать на https с минимальными потерями.

Инструкция по переезду на https

Вот вроде и все. Если сомневаетесь, что справитесь своими силами, обращайтесь к нам . Посмотрим ваш сайт, сориентируем по стоимости и поможем с переездом.

При подготовке материала мы ориентировались на официальные источники Яндекса и Google. Однако, отмечу, что 20 марта 2017 г. в блоге Яндекса была опубликована новая информация по переезду на HTTPS . В связи с этим многим может показаться, будто Яндекс сообщает, о том, что нет необходимости соблюдать пункт №7 данной статьи. В материалах Яндекса это вопрос №4.

Однако обращаем ваше внимание, что в комментариях к этому же материалу Елена Першина (сотрудник компании Яндекс) отвечает Бакалову Игорю: «Редирект лучше настраивать, когда большая часть страниц http-версии будет исключена из поиска», что соответствует рекомендациям из пункту №7 настоящей статьи.