Бесплатный SSL-сертификат для сайта позволяет большинству владельцев информационных порталов, блогов перевести свои проекты на протокол HTTPS. Перевод сайта на работу по протоколу HTTPS дает ряд преимуществ, но требует подготовки. Прочитав эту статью Вы узнаете для чего нужен сайту SSL-сертификат. Будет рассказано про основные виды SSL сертификатов. Особенностей использования сертификатов очень много и в не большой статье об этом сложно рассказать. Поэтому здесь описаны основные моменты на которые нужно обратить внимание при установке SSL сертификата и переводу сайта на протокол HTTPS. В большинстве случаев этой информации должно хватить что бы проделать эти работы.
Бесплатный SSL-сертификат позволяет защитить соединение с веб-сайтом по HTTPS.
Безопасность всегда была главным вопросом в интернете, но проблемы связанные с миграцией сайтов на протокол HTTPS сильно тормозят развитие безопасного Web сообщества. Компания Google и другие интернет компании предпринимают шаги которые позволяют заинтересовать владельцев сайтов к переводу своих проектов на протокол HTTPS. Для получения бесплатного SSL сертификата создан некоммерческий центр сертификации (certificate authority, CA) Let’s Encrypt.
Let’s Encrypt выпускает SSL-сертификаты бесплатно и его цель чтобы большая часть сайтов смогла перейти к работе по шифрованному протоколу HTTPS.
Что же такое SSL.
SSL-сертификат — это уникальная цифровая подпись вашего сайта, необходимая для организации защищенного соединения между клиентом и сервером, что особенно важно при передаче конфиденциальной информации и проведении финансовых операций.
Преимущества использования.
Какие преимущества будут у сайтов использующих протокол HTTPS:
- Ускоренная загрузка страниц – это достигается использованием протокола HTTP/2 который становится доступным при наличии SSL-сертификата и поддержки со стороны хостинговой компании. Протокол позволяет уменьшить задержки доступа за счет технологии сжатия данных в заголовках HTTP, конвейеризации запросов, мультиплексировании множества запросов в одном соединении TCP и т.д.. Пример поддержки сетевого протокола HTTP/2 в хостинговой компании Beget.
- Выделение небезопасных сайтов — В блоге Google Security сообщается что, с января 2017 года браузер Google Chrome 56 версии будет отмечать все HTTP-сайты, передающие личные данные пользователей, как «небезопасные» статья Moving towards a more secure web
- Улучшенное ранжирование в поисковой выдаче – Первые сигналы об влияния протокола HTTPS на ранжирование сайта в поисковой выдаче появилось в августе 2014 года в блоге Google Webmasters статья HTTPS as a ranking signal и судя по SEO обзорам, это уже работает и влияет на ранжирование сайтов. Но все же сильного улучшения ждать не следует, речь идет о незначительных преимуществах.
- Защита подключения – Наличие подтвержденного надежным центром сертификации, SSL-сертификата, гарантирует что подключение сделано к тому домену который указан в строке адреса;
- Защита передаваемых данных – передача данных по протоколу HTTPS, гарантирует защиту от перехвата передаваемых данных и подмену их на другие данные. Актуально при передаче конфиденциальных данных через открытые сети.
- Интеграция с сервисами — для безопасности многие сервисы интеграции требуют подключение к защищенному соединению. Поэтому без SSL-сертификата вы не сможете подключиться, к примеру, к Яндекс Кассе или сервису push-уведомлений.
- Визуальные характеристики – при установленном на сайте SSL-сертификате, в браузере перед адресом сайта появляется зеленый замок, либо название компании. Для знающих людей это говорит о защите данных, поэтому, к вашему сайту будет больше доверия со стороны посетителей.
- Внешний вид строки браузера для обычного SSL-сертификата:
- Внешний вид строки браузера для SSL сертификата высокой надежности:
Недостатки использования.
- Перевод сайта на HTTPS– что бы перевести сайт на работу по протоколу HTTPS потребуется тщательная проверка и возможно корректировка страниц сайта. Так же потребуется осуществить «переезд» сайта в поисковых системах, что может повлечь, кратковременное снижение и «выпадение» из поисковой выдачи. Ведь для поисковых систем сайт HTTP и HTTPS это два совершенно разных сайта. Но в течении некоторого времени, а точнее после переиндексации сайта, страницы в поиске будут восстановлены.
- Вам необходимо купить SSL-сертификат– если вы являетесь владельцем сайта на котором проводятся финансовые операции, интернет торговля т.е. требуется подтверждение бизнес-уровня;
Виды SSL сертификатов.
Есть три вида SSL-сертификатов: сертификаты проверки домена (DV), организации (OV) и сертификаты высокой надежности (EV).
Строка с установленным SSL сертификатом и протоколом HTTPS внешне выглядит как на рисунке. У каждого вида браузера эта строка выглядит по разному, но общий отличительный признак наличия SSL сертификата и соединения по HTTPS является выделенные зеленые зоны.
Чтобы понять, какой SSL-сертификат нужен для сайта, надо определить необходимый уровень подтверждения владельца домена. Если домен зарегистрирован на физическое лицо, то доступен один вид сертификата DV (Domain Validation). Этот сертификат самый простой и выпускается очень быстро. Для его выпуска достаточно подтвердить права владения доменом. Этого сертификата достаточно для большинства сайтов, блогов, персональных сайтов и разных сайтов информационного характера.
Для юридических лиц доступны все типы сертификатов и выбирать необходимый тип сертификата нужно будет в зависимости от потребностей сайта.
На рынке по выпуску SSL сертификатов основными являются компании Thawte, Comodo, GlobalSign, Symantec.
- Thawte — один из наиболее известных центров сертификации. Компания работает с 1995 года и на сегодняшний день является одним из крупнейших публичным центром сертификации в Интернете. Официальный сайт — www.thawte.com
- Comodo — крупнейший поставщик SSL-сертификатов по всему миру. Компания основана в 1998 году и занимается выпуском сертификатов и разработкой программного обеспечения. Официальный сайт — www.comodo.com
- Symantec — один из лидеров в области информационной безопасности. Компания Symantec занимается выпуском SSL-сертификатов, производством программного обеспечения. Официальный сайт — www.symantec.com
- GlobalSign — один из лидеров в области информационной безопасности. Компания Globalsign занимается выпуском SSL-сертификатов, производством программного обеспечения. Официальный сайт — www.globalsign.com
Так как в статье идет речь про бесплатный SSL сертификат, то таким сертификатом является сертификат вида DV с проверкой доменного имени, шифрованием всех передаваемых данных. Я использую бесплатный сертификат Let’s Encrypt.
- Let’s Encrypt — это некоммерческий центр сертификации (certificate authority, CA), который выпускает SSL-сертификаты бесплатно и создан для того, чтобы большая часть сайтов смогла перейти к работе по шифрованному протоколу (HTTPS). Официальный сайт- letsencrypt.org
Сертификаты Let’s Encrypt подходят для защиты веб-сайтов, но его не получится использовать для подписи кода и шифрования email. В сертификате реализована только проверка домена (DV, domain validation). Также у этого сертификата есть ограничения, сертификаты Let’s Encrypt не поддерживают доменные имена с использованием символов национальных алфавитов. Говоря иначе такой сертификат не получится использовать для кириллических доменов тип мойдомен.рф. Осутствует поддержка проверок OV и EV.
В силу своей простоты сертификат Let’s Encrypt выпускается и активируется в течение нескольких минут. Для выпуска сертификата достаточно что бы домен для которого он выпускается, был делегирован. Для проверки напишите доменное имя в адресной строке web-браузера и нажмите Enter. Если вы увидите свой сайт, то всё нормально.
Подготовка сайта для работы по протоколу HTTPS.
- Смена ссылок с абсолютных на относительные – Если на страницах web-сайта используются ссылки с указанием протокола и домена (например http://joomlaissimple.ru/bonus.html ), то такие ссылки нужно заменить убрав тип протокола http: и название домена //joomlaissimple.ru в итоге получится ссылка в виде /bonus.html ;
- Исправление ссылок медиа-контента – проверьте по какому протоколу запрашивается медиа-контент и при необходимости измените протокол на HTTPS. Как правило все популярные сервисы YouTube, виджеты VK или Facebook, push-уведомлений и другие предоставляющие возможность внедрения своего контента, уже давно работают по протоколу HTTPS;
- Исправление подключения внешних скриптов – внимательно проверьте ссылки и исправьте их на относительные.
Заказ SSL сертификата.
Заказать сертификат можно непосредственно на вышеперечисленных сайтах и установить в ручную или через панель управления. Как установить сертификат в ручную хорошо описано в статье Ручная установка SSL сертификата . В большинстве случаев заказ сертификата можно сделать прямо из панели вашей хостинговой компании. Вот например, как выглядит форма заказа SSL сертификата у хостинговой компании beget.com
Для заказа бесплатного сертификата Let’s Encrypt через панель управления beget, достаточно нажать только одну кнопку и вся процедура заказа и установки сертификата будет сделана автоматически.
Установка SSL сертификата.
При самостоятельном заказе сертификата обязательно уточните возможность его использования у себя на хостинге. Если вы используете виртуальный хостинг, то настроить использование HTTPS может только поставщик хостинговых услуг. Так же например установить сертификат можно через панель управления.Поэтому заранее уточните эту возможность в службе поддержки. Пример ввода данных сертификата в панели управления хостингом.
Установив SSL-сертификат на свой домен проверьте доступность Вашего интернет ресурса по двум протоколам HTTP и HTTPS. Если web-сайт доступен по двум протоколам, то все шаги были проделаны правильно, если рксурс оказался по какому либо протоколу не доступен, то ищите причину возникшей проблемы.
Настройка для работы по протоколу HTTPS.
Вместо имени моего web-сайта joomlaissimple.ru везде впишите имя своего интернет ресурса.
- Указание директивы Host в файле robots.txt – что бы указать поисковым системам главное зеркало сайта, пропишите в файле robots.txt директиву Host.1
Host: https://joomlaissimple.ru
- Укажите страницу карты web-сайта в директиве Sitemap — Если вы используете описание структуры сайта с помощью файла sitemap, укажите путь к файлу в качестве параметра директивы sitemap. Если файлов несколько, укажите все.1
itemap: https://joomlaissimple.ru/index.php?option=com_xmap&view=xml&tmpl=component&id=1
- 301 редирект с HTTP на HTTPS – в файл .htaccess обавьте код:123
RewriteEngine OnRewriteCond %{HTTPS} offRewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}
Если этот код не сработает, то обратитесь в службу поддержки своего хостинга за консультацией.
- Настройка SSL в административной панели Joomla – Войдите в административную панель Joomla. В разделе Система—>Общие настройки—>Настройки сервера—>Включить SSL установите в состояние «Весь сайт».
- Яндекс Вебмастер переезд сайта – в панели Яндекс Вебмастер в разделе «Переезд сайта» укажите что сайт переезжает на новый протокол HTTPS;
- Google Search Console – добавьте свой интернет ресурс указав протокол HTTPS;
- Дополнительные настройки в панели для вебмастеров– сделайте остальные настройки в панели вебмастеров. Настройка региона, sitemap и т.д. где была указана информация по web-сайту.
- После завершения настроек, остается только ждать и исправлять ошибки которые обнаружатся и будут сообщены в панели вебмастера.
Проверить установленный SSL сертификат на Вашем web-ресурсе можно при поможи сервиса проверки сертификата Qualys SSL Labs