Jeśli zbierasz jakiekolwiek poufne informacje w swojej witrynie (w tym adres e-mail i hasło), musisz być bezpieczny. Jednym z najlepszych sposobów na zachowanie bezpieczeństwa jest włączenie certyfikatu HTTPS, znanego również jako SSL (Secure Sockets Layers), dzięki czemu wszystkie informacje przesyłane do i z serwera są automatycznie szyfrowane. Certyfikat HTTPS uniemożliwia hakerom włamanie się do poufnych informacji użytkowników, gdy są one przechowywane w Internecie. Będą czuć się bezpiecznie, gdy zobaczą certyfikat HTTPS podczas uzyskiwania dostępu do Twojej witryny – wiedząc, że jest ona chroniona certyfikatem bezpieczeństwa.
Zalety certyfikatu
Najlepszą rzeczą w certyfikacie SSL, takim jak HTTPS, jest to, że jest łatwy w konfiguracji, a kiedy już to zrobisz, będziesz musiał poinstruować ludzi, aby używali certyfikatu HTTPS zamiast HTTP. Jeśli spróbujesz uzyskać dostęp do swojej witryny, umieszczając teraz https:// przed adresami URL, otrzymasz błąd certyfikatu HTTPS. Dzieje się tak, ponieważ nie zainstalowałeś certyfikatu HTTPS SSL. Ale nie martw się, zaraz to zrobimy!
Użytkownicy poczują się bezpieczniej w Twojej witrynie, gdy zobaczą certyfikat HTTPS podczas uzyskiwania dostępu do Twojej witryny- wiedząc, że jest chroniony certyfikatem bezpieczeństwa.
Co to jest
HTTP lub HTTPS są wyświetlane na początku każdego adresu URL witryny w przeglądarce internetowej. HTTP oznacza Hypertext Transfer Protocol, a S w HTTPS oznacza Secure. Ogólnie rzecz biorąc, opisuje to protokół, za pomocą którego dane są przesyłane między przeglądarką a przeglądaną witryną.
Certyfikat HTTPS gwarantuje, że cała komunikacja między przeglądarką a przeglądaną witryną jest szyfrowana. Oznacza to, że jest bezpieczny. Tylko komputery odbierające i wysyłające mogą zobaczyć informacje podczas przesyłania danych (inne mogą uzyskać do nich dostęp, ale nie mogą ich odczytać). W bezpiecznych witrynach przeglądarka internetowa wyświetla ikonę kłódki w obszarze adresu URL, aby Cię powiadomić.
HTTPS powinien znajdować się w dowolnej witrynie internetowej, która gromadzi hasła, płatności, informacje medyczne lub inne poufne dane. Ale co, jeśli możesz uzyskać bezpłatny i ważny certyfikat SSL dla swojej domeny?
Jak działa ochrona witryny?
Aby włączyć certyfikat bezpieczeństwa HTTPS, musisz zainstalować SSL (Secure Socket Layer). Zawiera klucz publiczny wymagany do bezpiecznego rozpoczęcia sesji. Gdy wymagane jest połączenie HTTPS ze stroną internetową, witryna wysyła certyfikat SSL do przeglądarki. Następnie inicjują „uzgadnianie SSL”, które obejmuje udostępnianie „tajemnic” w celu ustanowienia bezpiecznego połączenia między przeglądarką a witryną.
Standardowe i rozszerzone SSL
Jeśli witryna korzysta ze standardowego certyfikatu SSL, zobaczysz ikonę kłódki w obszarze adresu URL przeglądarki. Jeśli używany jest certyfikat Extended Validation (EV), pasek adresu lub adres URL będą zielone. Standardy EV SSL są lepsze od standardów SSL. EV SSL stanowi dowód tożsamości właściciela domeny. Uzyskanie certyfikatu EV SSL wymaga również od kandydatów przejścia przez rygorystyczny proces oceny w celu zweryfikowania ich autentyczności i własności.
Co się stanie, jeśli użyjesz HTTPS bez certyfikatu?
Nawet jeśli Twoja witryna nie akceptuje ani nie udostępnia poufnych danych, istnieje kilka powodów, dla których możesz chcieć mieć bezpieczną witrynę i korzystać z bezpłatnego i ważnego certyfikatu SSL dla swojej domeny.
Wydajność. SSL może skrócić czas ładowania strony.
Optymalizacja wyszukiwarek (SEO). Celem Google jest zapewnienie bezpieczeństwa Internetu wszystkim, nie tylko tym, którzy na przykład korzystają z Google Chrome, Gmaila i Dysku. Firma stwierdziła, że bezpieczeństwo będzie czynnikiem wpływającym na ranking witryn w wynikach wyszukiwania. Jak dotąd to nie wystarczy. Jeśli jednak masz bezpieczną witrynę internetową, a konkurenci nie, Twoja witryna może mieć wyższą pozycję w rankingu, co może być konieczne do zwiększenia jej popularności na stronie wyników wyszukiwania.
Jeśli Twoja witryna nie jest bezpieczna i gromadzi hasła lub karty kredytowe, użytkownicy przeglądarki Chrome 56 (wydanej w styczniu 2017 r.) zobaczą ostrzeżenie,witryna jest niebezpieczna. Odwiedzający niezaznajomieni z tą technologią (większość użytkowników witryny) mogą być zaniepokojeni, gdy zobaczą pole „Błąd certyfikatu HTTPS” i opuszczą Twoją witrynę tylko dlatego, że nie rozumieją, co to oznacza. Z drugiej strony, jeśli Twoja witryna jest bezpieczna, odwiedzający mogą czuć się swobodniej, przez co chętniej wypełnią formularz rejestracyjny lub zostawią komentarz w Twojej witrynie. Google ma długoterminowy plan pokazywania wszystkich witryn HTTP jako niezabezpieczonych w Chrome.
Gdzie mogę otrzymać bezpłatny certyfikat
Otrzymujesz certyfikat SSL od urzędu certyfikacji. Takie certyfikaty są ważne przez 90 dni, ale zalecane jest odnowienie 60-dniowe. Niektóre wiarygodne darmowe źródła:
- Cloudflare: bezpłatny dla osobistych stron internetowych i blogów.
- FreeSSL: obecnie bezpłatne dla organizacji non-profit i startupów; nie może być klientem Symantec, Thawte, GeoTrust ani RapidSSL.
- StartSSL: Certyfikaty są ważne od 1 do 3 lat.
- GoDaddy: Certyfikaty dla projektów open source, ważne przez 1 rok.
Typ certyfikatu i okres ważności zależą od źródła. Większość urzędów oferuje standardowe certyfikaty SSL za darmo i pobiera opłaty za certyfikaty EV SSL, jeśli je udostępniają. Cloudflare oferuje darmowe i płatne plany oraz różne dodatkowe opcje.
Co wziąć pod uwagę przy odbiorzeCertyfikat SSL?
Google poleca tutaj certyfikat z kluczem 2048-bitowym. Jeśli masz już 1024-bitowy certyfikat, który jest słabszy, zalecamy jego aktualizację.
Musisz zdecydować, czy potrzebujesz jednej, wielu domen, czy certyfikatu wieloznacznego:
- Jeden certyfikat będzie używany dla jednej domeny (np. www.example.com).
- Certyfikat wielodomenowy będzie używany dla wielu dobrze znanych domen (np. www.example.com, cdn.example.com, example.co.uk).
- Certyfikat Wildcard będzie używany dla bezpiecznej domeny z wieloma dynamicznymi subdomenami (np. a.example.com, b.example.com).
Jak zainstalować certyfikat SSL?
Twój usługodawca hostingowy może zainstalować certyfikat za darmo lub za opłatą. Niektórzy gospodarze mają opcję zainstalowania Let's Encrypt w swoim osobistym cPanel, co ułatwia sprawę. Zapytaj swojego obecnego hosta lub znajdź takiego, który oferuje bezpośrednie wsparcie dla Let's Encrypt. Jeśli host nie zapewnia tej usługi, firma zajmująca się konserwacją witryny lub programista może zainstalować certyfikat za Ciebie. Musisz być przygotowany na to, że będziesz musiał bardzo często odnawiać certyfikat. Sprawdź ramy czasowe za pomocą certyfikatu.
Co jeszcze trzeba zrobić?
Po uzyskaniu i zainstalowaniu certyfikatu SSL musisz wymusić stosowanie SSL w witrynie. Ponownie możesz zapytać swojego usługodawcę hostingowego, firmę usługową lubdewelopera, aby wykonać tę akcję. Jeśli jednak wolisz zrobić to sam, a Twoja witryna jest obsługiwana przez WordPress, możesz to zrobić, pobierając, instalując i korzystając z wtyczki. W przypadku drugiej opcji sprawdź zgodność ze swoją wersją WordPressa.
Dwie popularne wtyczki wymuszania SSL: prosta SSLWP, wymuszona wtyczka SSLSSL. Pamiętaj, aby utworzyć kopię zapasową swojej witryny i być przy tym bardzo ostrożnym. Jeśli coś źle skonfigurujesz, może to mieć katastrofalne skutki: odwiedzający nie będą mogli zobaczyć Twojej witryny, obrazy nie będą wyświetlane, skrypty nie będą się ładować, co wpłynie na działanie niektórych elementów witryny, takich jak typografia i kolory nie wyświetla się prawidłowo. sposób.
Musisz przekierować użytkowników i wyszukiwarki na strony HTTPS za pomocą przekierowań 301 w pliku.htaccess w folderze głównym na serwerze. Plik.htaccess jest niewidoczny, więc upewnij się, że twój program FTP jest ustawiony tak, aby wyświetlał ukryte pliki. Na przykład w FileZilla przejdź do Server> Wymuś widok ukrytych plików. FileZilla Przed dodaniem przekierowań dobrze byłoby wykonać kopię zapasową pliku.htaccess. Na serwerze tymczasowo zmień nazwę pliku usuwając kropkę (co powoduje, że jest on w pierwszej kolejności niewidoczny), pobierz plik (który teraz będzie widoczny na twoim komputerze w wyniku usunięcia kropki), a następnie dodaj kropkę z powrotem do tego, co jest na serwerze.
Zmień ustawieniaGoogle Analytics
Po wykonaniu tych czynności należy zmienić preferowany adres URL na koncie Google Analytics, aby wyświetlić wersję HTTPS domeny. W przeciwnym razie statystyki ruchu zostaną wyłączone, ponieważ wersja HTTP adresu URL jest traktowana jako zupełnie inna witryna niż wersja HTTPS certyfikatu. Google Search Console traktuje HTTP i HTTPS również jako oddzielne domeny, więc dodaj do niej konto domeny HTTPS. Pamiętaj, że po przełączeniu z certyfikatu HTTP na HTTPS, jeśli Twoja witryna ma specjalne przyciski dostępu, licznik zostanie zresetowany.
