Что такое SSL-сертификат и зачем он моему сайту

Любой пользователь может увидеть предупреждение от браузера, что сайт не защищён. Это предупреждение не говорит о мошеннической деятельности сайта, оно указывает на отсутствие SSL-сертификата на веб-ресурсе. В этой статье мы расскажем о  SSL-сертификате: что это и зачем он нужен, а также что дает SSL-сертификат для сайта.

Что такое SSL-сертификат и для чего он нужен

Пользователи интернета оставляют на сайтах свои персональные данные, которыми могут воспользоваться мошенники. В URL сайта можно встретить две разные аббревиатуры: HTTP и HTTPS. Это протоколы, которые обеспечивают передачу данных. Они отличаются друг от друга степенью защиты соединения. В основе HTTPS лежит тот же HTTP, только вокруг соединения есть оболочка защиты, через которую мошеннику не прорваться. Протокол HTTPS шифрует данные, передаваемые от браузера к серверу сайта, криптографическим шифрованием. Чтобы сайт работал по протоколу HTTPS, нужно установить SSL-сертификат – цифровую подпись сайта.

SSL-сертификат ― это сертификат безопасности, который шифрует данные при их передаче от посетителя сайта к серверу.

Если подключение безопасно, то в адресной строке присутствует символ замка. URL-адрес сайта при этом начинается с https.

Что такое SSL

Как работает HTTPS


Чтобы понять, как происходит шифрование данных, вам сначала нужно узнать о нескольких видах ключей шифрования. Для HTTPS-соединения используют два вида шифрования:

  • асимметричный,
  • симметричный.

При выпуске SSL-сертификата создаётся два ключа: открытый (публичный) и закрытый (частный). Открытый ключ доступен любому. Закрытый известен только владельцу. Открытый ключ можно расшифровать только закрытым. Эти два ключа способствуют асимметричному шифрованию.

Также есть сеансовый ключ, который придумывают браузер и сервер при первом «знакомстве» друг с другом. Сеансовый ключ обеспечивает симметричное шифрование. Далее вы увидите, как эти ключи помогают зашифровать данные.

  1. Теперь давайте по шагам разберём, что происходит с данными, когда на сайте есть SSL-сертификат.  
  2. Пользователь вводит URL или кликает на ссылку сайта.
  3. Браузер и сервер начинают устанавливать SSL-соединение. Для этого сервер отправляет общую информацию об SSL-сертификате и публичный ключ. 
  4. Браузер проверяет подлинность сертификата в центре сертификации.
  5. Если всё в порядке, браузер генерирует сеансовый ключ и зашифровывает его публичным ключом, чтобы никто, кроме сервера, не смог его узнать, так как публичный ключ можно расшифровать только частным. Вся шифровка отправляется на сервер. 
  6. Сервер расшифровывает публичный ключ с помощью частного ключа и сохраняет полученный сеансовый ключ. 
  7. Теперь браузер и сервер работают по протоколу HTTPS. Только им обоим известен сеансовый ключ и они готовы к безопасной передаче данных пользователя. 
  8. Пользователь отправляет сообщение. 
  9. Браузер шифрует сообщение сеансовым ключом и отправляет на сервер. 
  10. Сервер расшифровывает сообщение и начинает его обработку.

Каждый раз для соединения создаётся новый сеансовый ключ. Цепочка длинная, но в реальности проходит всего пару секунд. 

Благодаря такой сложной схеме шифрования, никто не может прочитать сообщение. Даже если мошеннику удаётся перехватить данные, он не может расшифровать их, так как не знает сеансовый ключ. Например, при оплате покупки вы ввели номер карты и защитный номер на обороте. Отправили информацию на сервер. В процессе передачи мошенник перехватил сообщение, но прочитать, что там написано, он не может — перед ним набор символов, расшифровать которые можно только с помощью специального ключа.

Зачем SSL-сертификат нужен моему сайту

Для чего необходим SSL-сертификат:

  • он не даст третьим лицам перехватить данные и деньги пользователя;

  • использование SSL-сертификата показывает вашу заботу о пользователях - их данные надёжно защищены. Если у вас интернет-магазин, покупатели не будут бояться оставлять личные данные, благодаря чему возрастут продажи;

  • также работа сайта по протоколу HTTPS улучшает позицию в ранжировании в поисковых системах. Ваш сайт будет выше в поиске, если на нём установлен SSL-сертификат.

Виды SSL-сертификатов


Сертификаты можно классифицировать по нескольким параметрам:

  • кто выпустил сертификат,
  • уровень проверки при выпуске сертификата.

 

Выпущенный SSL может быть:

  1. Самоподписанным, или самоизданным. Выпустить такой сертификат может любой пользователь. Однако он небезопасный и браузеры не дают заветного значка защищённого соединения. Самоподписанные сертификаты используются для тестирования сайтов и приложений. Также их создают для небольших сайтов, которые бессмысленно атаковать. 
  2. Выпущенные официальными центрами сертификации. Такими центрами являются, например, Comodo, GlobalSign, GeoTrust, DigiCert, CloudFlare, LetsEncrypt. SSL от удостоверяющих центров может защитить передаваемые данные, а сайты с таким сертификатом отображаются в браузерах как безопасные.

Также SSL-сертификаты отличаются по уровню проверки организации. Все они обеспечивают одинаковое защищённое соединение. 

SSL выпускаются следующих видов:

  1. Domain Validation (DV). Базовый уровень сертификата. Его может получить как физическое, так и юридическое лицо. При выпуске не нужно подтверждать существование организации. Этот вид самый дешёвый.
  2. Organization Validation (OV). Его могут получить только юридические лица. При выпуске нужно подтвердить существование организации. В некоторых браузерах будет отображаться название компании-владельца сайта, что ещё больше повысит доверие к ресурсу со стороны пользователей. 
  3. Extended Validation (EV). Самый высокий уровень защиты. Он подходит для интернет-магазинов и веб-ресурсов с банковскими операциями. Чтобы его получить, нужно не только подтвердить существование организации, но и подтвердить легальность деятельности. 

Возможные ошибки при установке SSL

У SSL много плюсов, но если сайт долгое время работал по протоколу HTTP, при установке HTTPS может возникнуть проблема «mixed content» (смешанное содержимое). Эта ошибка не даёт создать защищённое соединение.

Из-за чего возникает эта ошибка? Чтобы весь сайт начал работать по защищённому соединению, владельцу сайта нужно перевести все внутренние HTTP-ссылки (http://) на HTTPS-ссылки (https://). Если сайт работал долгое время на безопасном соединении, в скриптах сайта или в базе данных могут остаться ссылки с http://, которые забыли обновить. Именно эти старые ссылки будут мешать работе всего сайта. Решение этой проблемы простое: нужно найти ссылки http:// и поменять их на https://.

Как заказать SSL-сертификат

Закажите SSL-сертификат, чтобы защитить свой сайт. Статья Тарифы сертификатов. Как купить SSL поможет вам разобраться в видах сертификатов и сделать выбор, а также заказать сертификат.

Если вы не нашли ответ, спросите у нас!
Запросить поддержку