Google любить зелені замки в рядках стану браузерів – твердження, яке останнім часом дуже часто зустрічається в контексті як хостингу, так і SEO. Не всі розуміють, чому дані на веб-сайті повинні бути зашифровані. Але магія “зеленого замка” все одно працює.
Як працює з’єднання браузер-сервер?
Як працює зелений замок, що вказує на зашифроване з’єднання у веб-браузері? Ви повинні враховувати, що відбувається, коли ви відкриваєте веб-сайт. Коли ви набираєте адресу веб-сторінки в браузері, ви надсилаєте запит на відповідний сервер (я залишаю поза увагою питання розпізнавання імен за IP-адресами та подібні технічні питання), який надсилає браузеру вміст: статичний html, оброблений php-код, файли стилів css, файли Javascript та зображення. Веб-браузер компонує ці елементи в готову веб-сторінку і відображає її локально на комп’ютері.
Дані, які надсилаються з сервера до браузера, надсилаються без шифрування – якщо це текстовий файл, то надсилається текстовий файл. Звичайно, у випадку простого, інформативного веб-сайту не має значення, чи хтось “підслуховує” нашу передачу. Такі дані можна замінити або змінити під час передачі. І саме тут виникає небезпека, якщо ми завантажуємо з сервера або надсилаємо на нього дані, які є конфіденційними. Навіть під час входу на власний веб-сайт ми надсилаємо логін і пароль на сервер. Хтось міг перехопити їх і використати. Коли ми підписуємося на розсилку новин, ми також надсилаємо свою електронну адресу на чийсь сайт, а коли купуємо в інтернет-магазині, ми передаємо свої персональні дані власнику сайту, щоб обробити замовлення.
Як працює зашифроване з’єднання між браузером і сервером?
Принцип завантаження сторінки через SSL такий самий, як і при використанні звичайного з’єднання. Принцип завантаження сторінки через SSL такий самий, як і при використанні звичайного з’єднання.
Різниця полягає в тому, що браузер домовляється з сервером про шифрування даних перед відправкою запиту. У випадку SSL-з’єднання запит до сервера і всі елементи, які сервер повертає, шифруються перед передачею і розшифровуються тільки в браузері. Це означає, що такі дані не можуть бути підслухані або змінені між сервером і клієнтом.
Про те, що дані зашифровані, найчастіше свідчить зелений замок у рядку браузера. Звичайно, дані можуть бути зашифровані і без наявності цієї позначки, оскільки SSL-сертифікат може бути згенерований будь-ким самостійно (це так званий “самопідписаний” сертифікат). Однак для того, щоб замок з’явився, сертифікат повинен бути виданий надійним центром сертифікації, який при створенні SSL-сертифіката “розпізнається” браузерами як довірений. Тож, чи з’явиться зелений замок, залежить від договору: емітент сертифіката повинен дотримуватися обмежувальних правил генерації SSL-сертифікатів, а браузер повинен мати цього емітента у своїй базі даних “довірених емітентів сертифікатів”.
Типи SSL-сертифікатів
Існує кілька типів сертифікатів. Вони відрізняються не способом шифрування даних, а способом перевірки суб’єкта, який використовує сертифікат. Кожен сертифікат у браузері відображається у вигляді зеленого замка, але деякі з них все ще відображають ім’я власника сайту, для якого було видано сертифікат, поруч із зображенням замка.
DV (Domain Validation) сертифікати
Сертифікати SSL (Domain Validation) гарантують шифрування передачі інформації в межах сертифікованого домену. Це найпопулярніші та найпростіші сертифікати (їх найлегше оформити).
При видачі сертифіката відбувається ТІЛЬКИ перевірка домену. Завершення процесу верифікації обмежується підтвердженням замовлення SSL-сертифікату, надісланим на електронну адресу: “admin@client-domain.net.ua”
Звичайно, адреса повинна існувати в домені, для якого купується сертифікат, в даному випадку це буде “client-domain.net.ua”. Перехід за посиланням, надісланим емітентом сертифіката, наприклад, на admin@client-domain.net.ua, є єдиним підтвердженням того, що ви є власником домену, для якого ви бажаєте отримати сертифікат. Коли ви переходите за посиланням, ви отримуєте сертифікат.
Коли ви подивитеся на деталі сертифіката (наприклад, натиснувши на зелений замок у вашому браузері), там буде інформація про домен, але не буде інформації про компанію/організацію, для якої він був виданий.
Такі сертифікати є найдешевшими і коштують близько $59, але, звичайно, у різних посередників ви можете придбати такі сертифікати іноді всього за $10-15 на рік.
Сертифікати OV (Organization Validation)
Сертифікати OV – це сертифікати з розширеними засобами перевірки. Перед його видачею необхідно провести звірку даних з відповідними реєстраційними документами компанії. Найчастіше вам потрібно буде надіслати електронною поштою, факсом або поштою документи, які підтверджують дані компанії.
Різниця з DV-сертифікатами полягає в тому, що в реквізитах сертифіката додається компанія, на яку видано сертифікат. З точки зору клієнта, який використовує сторінку браузера, вони відображають ідентичний зелений замок, як і сертифікати DV.
Вартість сертифікату OV становить $169 на рік.
Сертифікати EV (Extended Validation)
Для замовлення сертифіката потрібні точні дані та пакет документів англійською мовою.
Сертифікаційна компанія може зв’язатися безпосередньо з компанією-заявником; знання англійської мови є обов’язковим. Процедура видання включає в себе:
A. Organization Authentication Requirements
B. Operational Existence Confirmation
C. Physical Address Confirmation
D. Telephone Number Confirmation
E. Domain Authentication Requirements
F. Order Verification Requirements
Вартість EV-сертифікату – $699. У багатьох реселерів ви можете придбати ці сертифікати набагато дешевше.
Перевагою цього сертифіката є те, що назва організації відображається поруч зі стандартним зеленим зображенням замка. Найчастіше цим рішенням користуються фінансові установи, такі як банки.
Сертифікати DV, OV, EV – а як щодо безпеки?
Як видно з наведених вище описів, сертифікати відрізняються в основному “формальністю” – чим складніший сертифікат, тим більше інформації про власника сайту в ньому міститься: DV не має жодної, OV містить інформацію в реквізитах сертифіката, а EV відображає її в адресному рядку веб-браузера.
Крім цього, сертифікати технічно нічим не відрізняються – вони мають однакові алгоритми шифрування та однакову довжину ключів шифрування.
Чи варто використовувати безкоштовні SSL-сертифікати?
Порівняння платних сертифікатів з безкоштовними можна побачити в статті: Чим відрізняються безкоштовні SSL-сертифікати від платних?
The article is prepared jointly by a group of people from the Smarthost Administrators.
- Як працює система антиексплуатування - 20 Травня, 2022
- Автоматичне підключення LScache для WordPress - 15 Липня, 2021
- Навіщо використовувати LSCache? - 15 Липня, 2021