Když někdo odešle formulář na webu s HTTP (ne HTTPS), jeho data putují internetem jako prostý text. Kdokoli v síti mezi ním a vaším serverem může vidět, co napsal, včetně hesel, čísel platebních karet a e-mailových adres. To není teorie. Nástroje pro odposlech paketů jsou volně dostupné a útočníci aktivně zachytávají nešifrovaná odeslání formulářů.
Šifrování SSL/TLS je technologie, která chrání data z formuláře, zatímco putují z prohlížeče návštěvníka na váš server. Je to nejzákladnější forma zabezpečení formulářů a není k diskusi.
Co se dozvíte: jak funguje šifrování HTTPS, v čem se liší SSL a TLS, co je certifikát SSL a proč ho potřebujete, jak ověřit, že je váš formulář správně šifrovaný, a co dělat, když HTTPS nefunguje.
Co je HTTPS a jak šifruje data?
HTTPS je zabezpečená verze HTTP (Hypertext Transfer Protocol). „S“ znamená Secure. HTTPS používá SSL/TLS (Secure Sockets Layer / Transport Layer Security) k šifrování všech dat posílaných mezi návštěvníkem a vaším serverem.
Takto to probíhá, když návštěvník odešle formulář přes HTTPS:
- Návštěvník formulář vyplní a odešle. Jeho prohlížeč shromáždí data.
- Prohlížeč naváže šifrované spojení. Kontaktuje váš server a ověří certifikát SSL (více o tom níže).
- Obě strany se dohodnou na nastavení šifrování. Vyjednají nejsilnější šifrování, které obě podporují.
- Všechna data se před odesláním zašifrují. Data z formuláře se pomocí vyjednaného šifrování zakódují.
- Váš server přijme šifrovaná data. Svým soukromým klíčem je dešifruje, aby šla přečíst.
Pro každého, kdo v síti odposlouchává, vypadají data jako náhodné znaky. Bez šifrovacího klíče, který má jen váš server, je nepřečtou.
Rozdíl mezi SSL a TLS
SSL (Secure Sockets Layer) a TLS (Transport Layer Security) jsou související technologie, které dělají stejnou práci. SSL byl původní standard, poprvé vydaný v roce 1995. TLS je moderní, vylepšená verze, která ho nahradila.
- SSL 3.0: Poslední verze SSL, vydaná v roce 1996. Zastaralá a už není bezpečná.
- TLS 1.0: První verze TLS, vydaná v roce 1999. Stále funguje, ale je starší.
- TLS 1.2: Vydaná v roce 2008. Stále široce používaná a považovaná za bezpečnou.
- TLS 1.3: Vydaná v roce 2018. Současný standard, rychlejší a bezpečnější.
Moderní prohlížeče a servery používají TLS 1.2 nebo TLS 1.3. Když lidé říkají „certifikát SSL“, obvykle myslí certifikát používaný pro šifrování TLS. Pojmy se často zaměňují, ale skutečně používanou technologií je dnes TLS.
Co je certifikát SSL?
Certifikát SSL je digitální soubor, který váš webový server používá k prokázání své identity a k navázání šifrovaného spojení. Obsahuje:
- Vaši doménu: Pro kterou doménu je certifikát platný (www.example.com)
- Informace o vaší organizaci: Název firmy, adresa a podobně
- Veřejný klíč: Používají ho prohlížeče návštěvníků k šifrování dat
- Digitální podpis: Důkaz, že tento certifikát ověřila důvěryhodná autorita
- Datum vypršení: Kdy certifikát vyprší a je třeba ho obnovit
Certifikát je jako digitální průkaz totožnosti, který dokazuje, že váš server je důvěryhodný.
Jak se certifikáty SSL ověřují
Když návštěvník otevře váš web s HTTPS, jeho prohlížeč zkontroluje váš certifikát SSL, aby se ujistil, že je legitimní:
- Váš server pošle svůj certifikát. Prohlížeč ho přijme.
- Prohlížeč zkontroluje digitální podpis. Je tento certifikát podepsaný důvěryhodnou certifikační autoritou?
- Prohlížeč ověří doménu. Odpovídá certifikát doméně, kterou návštěvník navštěvuje?
- Prohlížeč zkontroluje datum vypršení. Je certifikát stále platný?
Pokud některá z kontrol selže, prohlížeč zobrazí varování. Pokud vše projde, prohlížeč zobrazí ikonu zámku (nebo indikátor zabezpečení), která návštěvníkovi sděluje, že spojení je šifrované a web je legitimní.
Typy certifikátů SSL
Certifikáty s ověřenou doménou (DV)
Základní certifikát. Certifikační autorita ověří, že doménu vlastníte, ale neověřuje vaši organizaci. Nejlevnější možnost. Pro většinu formulářů stačí.
Certifikáty s ověřenou organizací (OV)
Autorita ověří doménu i podrobnosti o vaší organizaci. Dražší než DV, poskytuje víc důvěry. Prohlížeč zobrazuje název vaší organizace v podrobnostech certifikátu.
Certifikáty s rozšířeným ověřením (EV)
Autorita provádí rozsáhlé ověření včetně právních kontrol. Nejdražší. Zobrazuje název organizace přímo v adresním řádku prohlížeče. Používají je hlavně finanční instituce a weby s vysokým zabezpečením.
Wildcard certifikáty
Platí pro doménu a všechny její subdomény (například wildcard pro *.example.com pokrývá mail.example.com, blog.example.com a tak dále). Hodí se, pokud máte mnoho subdomén s formuláři.
Certifikáty pro více domén (SAN)
Platí pro několik různých domén v jednom certifikátu. Hodí se, pokud provozujete více webů s formuláři.
Jak získat certifikát SSL
Certifikační autority
Certifikáty kupujete od certifikačních autorit (CA), například:
- velké komerční certifikační autority
- registrátoři domén, kteří certifikáty přeprodávají
- specializovaní poskytovatelé certifikátů
- bezplatné neziskové autority (zdarma, hojně používané)
Ceny se pohybují od zdarma (neziskové autority) po stovky dolarů ročně (certifikáty EV).
Přes váš webhosting
Většina moderních webhostingů (včetně WEMASY) zahrnuje certifikáty SSL automaticky. Nemusíte je kupovat ani spravovat zvlášť. Obnovu řeší automaticky.
Instalace a obnova
Certifikáty SSL vypršují a je třeba je obnovovat. Většina hostingů to řeší automaticky. Čas od času zkontrolujte datum vypršení certifikátu, abyste se ujistili, že je stále platný. Pokud vyprší, váš web zobrazí bezpečnostní varování a návštěvníci mu nemusí důvěřovat.
Ověření, že je váš formulář správně šifrovaný
Zkontrolujte URL
Stránka s formulářem by měla používat HTTPS, ne HTTP. Podívejte se do adresního řádku.
DOBŘE: https://www.example.com/contact
ŠPATNĚ: http://www.example.com/contact
Hledejte indikátor zabezpečení
V moderních prohlížečích zobrazuje zabezpečené spojení HTTPS v adresním řádku ikonu zámku nebo štítek „Secure“. Kliknutím zobrazíte podrobnosti certifikátu.
Zkontrolujte platnost certifikátu
Klikněte na zámek a zobrazte certifikát. Hledejte:
- Je platný pro vaši doménu?
- Nevypršel?
- Kdo ho vydal (certifikační autorita)?
Použijte online kontrolu SSL
Online nástroje pro kontrolu SSL vám umožní zadat doménu a získat podrobnou zprávu o vašem nastavení SSL. Zkontrolují, jestli používáte nejnovější standardy šifrování, a odhalí případné slabiny.
Běžné problémy s HTTPS a SSL
Varování o smíšeném obsahu
Stránka s formulářem je na HTTPS, ale některé zdroje (obrázky, skripty, styly) se načítají přes HTTP. Prohlížeče návštěvníky varují, že stránka není plně zabezpečená. Opravíte to tím, že všechny zdroje převedete na HTTPS.
Nesoulad certifikátu
Certifikát je pro www.example.com, ale návštěvník je na example.com (bez www), nebo naopak. Prohlížeče zobrazí bezpečnostní varování. Opravíte to wildcard certifikátem nebo přesměrováním jedné verze na druhou.
Vypršelý certifikát
Váš certifikát vypršel a je třeba ho obnovit. Prohlížeče zobrazují výrazné bezpečnostní varování. Návštěvníci nemusí vašemu formuláři důvěřovat. Certifikát okamžitě obnovte.
Certifikát podepsaný sám sebou
Váš server používá certifikát, který jste si vytvořili sami, místo certifikátu od důvěryhodné autority. Prohlížeče mu nedůvěřují a zobrazují varování. Certifikáty podepsané sám sebou nikdy nepoužívejte na veřejných formulářích. Kupte si nebo použijte certifikát od uznávané autority.
HTTPS není jen pro formuláře
Každá stránka vašeho webu by měla používat HTTPS, nejen stránky s formuláři. Tím chráníte všechna data návštěvníků a dáváte Googlu najevo, že je váš web zabezpečený. Přesměrujte veškerý provoz HTTP na HTTPS, aby byli návštěvníci vždy chráněni.
Co WEMASY dělá pro šifrování SSL/TLS
Každý web WEMASY a každý formulář vytvořený ve WEMASY používá HTTPS ve výchozím nastavení. Vaše formuláře běží na zabezpečených spojeních automaticky. WEMASY spravuje certifikáty SSL za vás, včetně automatické obnovy. Nikdy nemusíte certifikáty kupovat, instalovat ani spravovat. Šifrování je zabudované a vždy aktivní.
Víc o nastavení zabezpečení najdete v nastavení účtu nebo na ceníku.