Zámek v adresním řádku prohlížeče je jedním z nejznámějších symbolů na webu. Certifikát SSL je to, co ho tam dává, a jeho skutečná funkce sahá dál, než si většina návštěvníků uvědomuje. Určuje, zda data odeslaná přes váš web putují šifrovaně, nebo jako prostý text čitelný pro každého, kdo spojení zachytí. Pochopení toho, jak SSL funguje a kde nestačí, změní váš přístup k ochraně návštěvníků.
SSL je základní technologie, která umožňuje HTTPS. Když se prohlížeč návštěvníka připojí k webu s platným certifikátem SSL, naváže šifrované spojení dřív, než se vymění jakákoli data. Ikona zámku, předpona HTTPS v adresním řádku a nepřítomnost varování „Nezabezpečeno" v prohlížeči vznikají tím, že je certifikát přítomen a platný. Souvislosti o tom, proč na zabezpečení záleží na celém webu, najdete v článku proč je zabezpečení webu důležité.
Co certifikát SSL vlastně dělá?
Certifikát SSL plní dvě odlišné funkce současně. Šifruje data při přenosu a ověřuje identitu webu.
Šifrování
- Šifrování znamená, že všechna data odeslaná mezi prohlížečem a serverem jsou při přenosu zamíchána do nečitelné podoby
- Klíč k jejich rozluštění má jen zamýšlený příjemce, tedy prohlížeč nebo server
- Bez šifrování putují odeslané formuláře, přihlašovací údaje a platební údaje sítěmi jako prostý text, který lze při zachycení přečíst
Ověření
- Certifikát SSL vydává certifikační autorita, nezávislá organizace, která před vydáním certifikátu ověřuje identitu webu
- Toto ověření potvrzuje, že doménu, kterou certifikát pokrývá, ovládá organizace, jež se prohlašuje za její majitele
- Když prohlížeč certifikát zkontroluje, potvrdí, že je spojení šifrované a že je web tím, za koho se vydává, a ne podvodnou napodobeninou
Jak funguje šifrování SSL?
Šifrování probíhá automaticky a nepozorovaně v okamžiku, kdy se prohlížeč připojí k webu. Zahrnuje posloupnost kroků zvanou handshake TLS. TLS, tedy Transport Layer Security, je moderní název protokolu, který se původně jmenoval SSL.
Postup připojení
- Prohlížeč požádá o zabezpečené spojení a server odpoví odesláním svého certifikátu SSL
- Prohlížeč certifikát ověří u certifikační autority, která ho vydala, a potvrdí, že je platný a nevypršel
- Obě strany se dohodnou na způsobu šifrování a vymění si klíče, čímž vytvoří zabezpečený kanál
- Všechna data přenesená od tohoto okamžiku jsou po dobu relace šifrovaná
Co šifrování chrání
- Data z kontaktních formulářů, včetně jmen, e-mailových adres a zpráv
- Přihlašovací údaje, včetně uživatelských jmen a hesel
- Údaje o platební kartě a fakturační informace
- Každý další vstup, který návštěvník přes váš web odešle
Co SSL nechrání
- SSL šifruje data při přenosu. Nechrání data, která jsou po přijetí na serveru uložena nezabezpečeně
- Web s certifikátem SSL může být přesto napaden, pokud má samotný server bezpečnostní slabiny
- SSL je jedna vrstva zabezpečení webu, ne úplné řešení samo o sobě
Jaké jsou druhy certifikátů SSL?
Certifikáty SSL se liší úrovní ověření identity, kterou certifikační autorita provede před jejich vydáním.
Ověření domény
- Certifikační autorita potvrzuje jen to, že žadatel ovládá doménu
- Proces je automatizovaný a certifikáty se vydávají rychle
- Certifikáty s ověřením domény stačí pro blogy, informační weby a většinu webů, které přímo na webu nezpracovávají platby
Ověření organizace
- Certifikační autorita ověřuje jak doménu, tak právní existenci organizace, která o certifikát žádá
- Certifikáty s ověřením organizace častěji používají firmy, které chtějí vedle certifikátu zobrazovat ověřené údaje o organizaci
Rozšířené ověření
- Certifikáty s rozšířeným ověřením zahrnují nejdůkladnější ověření identity, včetně právních, fyzických a provozních kontrol organizace
- Historicky se spojovaly se zeleným adresním řádkem v prohlížečích, ačkoli se tento vizuální rozdíl v moderních prohlížečích odstranil
- Certifikáty s rozšířeným ověřením obvykle používají finanční instituce a velké e-commerce platformy
Zástupné (wildcard) a vícedoménové certifikáty
- Zástupný certifikát (wildcard) pokrývá doménu a všechny její subdomény jedním certifikátem
- Vícedoménový certifikát pokrývá několik samostatných domén jedním certifikátem
- Hodí se organizacím, které spravují více webů nebo subdomén a nechtějí vydávat samostatný certifikát pro každý
Potřebuje certifikát SSL každý web?
Ano. Potřeba HTTPS se netýká jen webů, které přijímají platby nebo pracují s citlivými daty. Platí pro každý veřejně dostupný web ze tří důvodů.
Varování prohlížečů
- Prohlížeče zobrazují v adresním řádku štítek „Nezabezpečeno" u každého webu poskytovaného přes HTTP
- U stránek s formuláři zobrazují některé prohlížeče výslovné varování, než návštěvník cokoli odešle
- Tato varování snižují důvěru a odrazují návštěvníky od práce se stránkou
Pozice ve vyhledávání
- HTTPS je potvrzený signál pro řazení. Weby poskytované přes HTTPS mají v řazení výhodu před rovnocennými stránkami přes HTTP
- Vyhledávače také snižují viditelnost webů s aktivními bezpečnostními varováními ve výsledcích
Ochrana dat návštěvníků
- I web, který má jen kontaktní formulář, sbírá data návštěvníků. Bez HTTPS se tato data přenášejí bez šifrování
- V mnoha oblastech předpisy o ochraně údajů vyžadují, aby se s osobními údaji nakládalo bezpečně, což zahrnuje i jejich ochranu při přenosu
Jak získat certifikát SSL?
Přes poskytovatele hostingu
- Mnozí poskytovatelé hostingu zahrnují certifikáty SSL do svých balíčků hostingu
- V takových případech se certifikát instaluje a obnovuje automaticky, bez jakékoli akce majitele webu
- Pro většinu webů je to nejjednodušší možnost
Přes certifikační autoritu
- Certifikáty SSL lze získat přímo od certifikačních autorit a nainstalovat je na server ručně
- Bezplatné certifikáty nabízejí široce uznávané certifikační autority a obnovují se automaticky pomocí ověřovacích nástrojů
- Tato možnost vyžaduje více technických znalostí a je běžnější u vývojářských týmů, které si spravují vlastní servery
Po získání certifikátu
- Jakmile je certifikát nainstalován, měly by všechny interní odkazy a odkazy na zdroje na webu mířit na adresy HTTPS, aby nevznikala varování o smíšeném obsahu
- Mělo by se nastavit přesměrování z HTTP na HTTPS, aby byli návštěvníci, kteří se dostanou na verzi HTTP, automaticky odesláni na zabezpečenou verzi
Úplné vysvětlení toho, co HTTPS znamená a jak ovlivňuje vaše návštěvníky a pozice, najdete v článku co je HTTPS a jak chrání váš web. Kompletního průvodce ochranou webu nad rámec samotného certifikátu najdete v článku jak ochránit web před hackery. K zálohám webu jako doplňkovému bezpečnostnímu opatření si přečtěte článek jak zálohovat web.
Jak WEMASY řeší certifikáty SSL
Když se na platformě WEMASY vytvoří web, certifikát SSL se nainstaluje a aktivuje automaticky. Všechny stránky jsou ve výchozím stavu poskytovány přes HTTPS, aniž by majitel webu musel cokoli nastavovat.
Certifikáty se obnovují automaticky dřív, než vyprší. Neexistuje ruční obnova a nehrozí, že certifikát propadne a spustí varování v prohlížečích. Základní infrastruktura SSL se udržuje na úrovni platformy, takže ji majitelé webů nemusí spravovat přímo.
Co všechno je součástí, zjistíte v tvůrci webů WEMASY, nebo si projděte možnosti tarifů na stránce s cenami.
Často kladené otázky
Co je certifikát SSL?
Certifikát SSL je digitální soubor nainstalovaný na webovém serveru, který umožňuje šifrovaná spojení mezi serverem a prohlížeči návštěvníků. Díky němu může web používat HTTPS místo HTTP. Když prohlížeč návštěvníka ověří platný certifikát SSL, naváže šifrovaný kanál, takže data přenášená během návštěvy nelze přečíst, pokud je někdo zachytí cestou. S tvůrcem webů WEMASY si to můžete nastavit přímo na svém webu.
Potřebuji pro svůj web certifikát SSL?
Ano. Každý veřejně dostupný web potřebuje certifikát SSL. Prohlížeče zobrazují na webech bez něj varování „Nezabezpečeno" a HTTPS je pro vyhledávače potvrzený signál pro řazení. I web, který sbírá jen odeslané kontaktní formuláře, přenáší data návštěvníků, která by měla být při přenosu chráněna. Typ potřebného certifikátu SSL závisí na účelu webu, ale určitá forma certifikátu je nutná u všech webů.
Jaký je rozdíl mezi SSL a TLS?
TLS (Transport Layer Security) je moderní, aktualizovaná verze protokolu SSL (Secure Sockets Layer). SSL se aktivně nepoužívá už více než dvě desetiletí, ale tento pojem se stále hojně používá neformálně pro technologii, která zabezpečuje webová spojení. Když někdo řekne „certifikát SSL", téměř vždy myslí certifikát, který používá TLS. Základní protokol, který šifrování zajišťuje, byl aktualizován, ale certifikáty samotné se v tom, jak se používají, výrazně nezměnily.
Co se stane, když mi vyprší certifikát SSL?
Když certifikát SSL vyprší, prohlížeče okamžitě zobrazí návštěvníkům, kteří se pokusí na web vstoupit, varování přes celou stránku. Varování říká, že spojení není soukromé, a odrazuje návštěvníky od pokračování. Web se tak stává prakticky nedostupným pro každého, kdo varování uvidí a nerozhodne se ho obejít. Vyhledávače mohou také snížit viditelnost webu. Certifikáty je třeba obnovit před vypršením, což většina poskytovatelů hostingu a systémů pro správu certifikátů řeší automaticky.
Ovlivňuje certifikát SSL výkon webu?
Handshake TLS, který naváže šifrované spojení, přidá k úvodnímu připojení malé množství času. Na moderních serverech a sítích se tato režie obvykle měří v milisekundách a návštěvníci si jí nevšimnou. HTTP/2, které je široce podporováno a vyžaduje HTTPS, může zlepšit rychlost načítání ve srovnání s HTTP/1.1, takže dobře nastavený web na HTTPS se v praxi často načítá rychleji než jeho ekvivalent na HTTP.
Je bezplatný certifikát SSL stejně dobrý jako placený?
Z hlediska šifrování poskytuje bezplatný certifikát s ověřením domény stejnou úroveň šifrování jako placený certifikát na stejné úrovni ověření. Ikona zámku a předpona HTTPS se v prohlížeči zobrazují stejně. Placené certifikáty s ověřením organizace nebo rozšířeným ověřením nabízejí dodatečné ověření identity, které může být relevantní pro finanční instituce nebo velké e-commerce platformy, kde jsou ověřené údaje o organizaci důležité. U většiny webů je bezplatný certifikát zcela dostačující.