Dla użytkowników prowadzących działalność w Internecie standardem staje się wykorzystanie certyfikatów SSL. Dzięki nim można nawiązać szyfrowane połączenie pomiędzy przeglądarką internetową użytkownika a serwerem, z którego wczytywana jest strona internetowa. Dzięki temu bezpieczeństwo zapewnione jest na różnych płaszczyznach jednocześnie.
Jak działa certyfikat SSL?
- Wystawca certyfikatu weryfikuje wnioskodawcę. Dzięki temu mechanizmowi możemy mieć pewność, że po wpisaniu w pasek adresu przeglądarki domeny naszego ulubionego sklepu, portalu czy banku wchodzimy właśnie na stronę danej firmy, a nie na podszywający się serwis.
- Nawiązywane połączenie staje się bezpieczne. Szyfrowanie SSL zapewnia poufność i integralność przesyłanych danych. Nie musimy się obawiać, że osoba nieuprawniona uzyska dostęp do naszych danych osobowych, danych karty kredytowej, czy chociażby loginu i hasła do skrzynki pocztowej, portalu randkowego czy banku.
W praktyce, użytkownik odwiedzający witrynę internetową zabezpieczoną certyfikatem SSL, widzi w przeglądarce dobrze rozpoznawalny symbol zabezpieczenia: kłódkę lub nawet zielony pasek z kłódką.
Powyższe dwa punkty są coraz istotniejsze dla użytkowników usług. Natomiast usługodawcy z jednej strony zobowiązani są do stosowania zabezpieczeń przez wymogi prawa (np. w celu ochrony danych osobowych), a z drugiej – poprzez wdrożenie dodatkowych zabezpieczeń, mogą zapewnić użytkownikowi lub klientowi większe poczucie bezpieczeństwa, co powoduje zwiększenie liczby użytkowników powracających oraz dokonujących zakupów w sklepach internetowych.
Certyfikaty dla biznesu
Certyfikat wygenerować można samodzielnie, jednak do celów biznesowych nie jest to dobre rozwiązanie (patrz sekcja “O certyfikatach samopodpisanych”). Certyfikat komercyjny wydawany przez CA różni się od własnoręcznie wygenerowanego certyfikatu przede wszystkim tym, że jest podpisany przy pomocy podpisu elektronicznego i dzięki temu można automatycznie zweryfikować jego autentyczność.
Taką weryfikację przeprowadza każda przeglądarka internetowa czy program pocztowy podczas nawiązywania połączenia SSL. W przypadku niemożliwości automatycznego potwierdzenia autentyczności certyfikatu, program użytkowy wyświetli okienko z ostrzeżeniem o możliwym zagrożeniu. Ostrzeżenie pojawi się też w przypadku opisanych wcześniej certyfikatów samopodpisanych.
Dla przedsiębiorstw, jakiekolwiek poddanie w wątpliwość bezpieczeństwa nie jest akceptowalne. Aby już na początku kontaktu ze stroną nie pojawiły się wątpliwości odnośnie bezpieczeństwa dla użytkownika, warto zainwestować w certyfikat podpisany przez zaufanego wystawcę.
Certyfikaty SSL wystawiane są przez działające na rynku Urzędy Certyfikacji (CA), spośród których warto wymieć te największe i najpopularniejsze: Norton, Verisign, Geotrust, RapidSSL czy nasze rodzime Certum.
W zależności od rodzaju certyfikatu, zawarte są w nim różne dane, różna jest odpowiedzialność wystawcy za złamanie zabezpieczeń oraz dostępne mogą być dodatkowe oznaczenia ułatwiające weryfikację bezpieczeństwa połączenia.
O certyfikatach samopodpisanych
Algorytmy generowania kluczy RSA i szyfrowania SSL są standardami otwartymi i dostępnymi dla każdego. Dlatego też istnieje możliwość wygenerowanie własnego klucza i certyfikatu w celu nawiązywania szyfrowanego połączenie SSL.
Poświadczenia tego rodzaju mogą w zupełności wystarczyć do większości zastosowań prywatnych, takich jak np. dostęp do administracji własnej strony domowej, bloga, czy galerii zdjęć, bowiem takich przypadkach w razie wystąpienia incydentu bezpieczeństwa, wynikające straty są zazwyczaj relatywnie małe.
Certyfikat samopodpisany umożliwia nawiązanie połączenia zabezpieczonego takim samym silnym szyfrowaniem, brak jest jednak możliwości automatycznego potwierdzenia autentyczności certyfikatu, a tym samym miejsca pochodzenia danych.
W praktyce oznacza to, że po wejściu na stronę zabezpieczoną takim certyfikatem, użytkownikowi wyświetlone zostanie ostrzeżenie o braku możliwości automatycznego zaufania certyfikatowi i zostanie zaproponowana ręczna weryfikacja certyfikatu przez użytkownika. Jeżeli użytkownik zweryfikuje certyfikat samodzielnie, to przeglądarka nawiąże szyfrowane połączenie.
Warto przyjrzeć się różnym typom certyfikatów dostępnych na rynku.
Typ DV (Domain Validated)
Najtańsze rozwiązania (RapidSSL, Certum Commercial SSL) zawierają jedynie informację o zweryfikowanej nazwie domeny. Nie ma w certyfikacie nazwy firmy, do której należy domena, a ubezpieczenie finansowe ze strony wystawcy jest niskie.
Takie zabezpieczenie odpowiednie jest dla witryn, które dokonują np. niewielkich transakcji finansowych (małe sklepy), stron prywatnych, blogów, czy forów itp. Warto wspomnieć także, że w sierpniu 2014 Google ogłosiło, że dodatkowo punktuje strony, które posiadają certyfikat SSL, zatem warto go zainstalować także na blogu, który może zarabiać na reklamach.
Świetnym certyfikatem tego typu jest ten uzyskiwany dzięki Let’s Encrypt, ponieważ jest w pełni darmowy i działa na tej samej zasadzie jak jego płatny odpowiednik. Minusem jest to, że ten typ certyfikatu jest krótkookresowy i trzeba go odnawiać ręcznie co trzy miesiące. Na szczęście w niektórych firmach hostingowych, np. naszej, jego odnawianie jest w pełni automatyczne, więc klient nie musi o tym pamiętać.
Typ OV (Organisation Validated)
Ten rodzaj certyfikatu jest opcją droższą, ale za to zawiera więcej danych zapisanych w certyfikacie. Zazwyczaj oprócz nazwy domeny, zapisywana jest nazwa firmy wnioskodawcy oraz jej lokalizacja. Dane te może zobaczyć użytkownik wchodzący na stroną, a tym samym wie, z jaką firmą ma do czynienia, bowiem dane te są weryfikowane przez Urząd Certyfikacji.
Wybór tego rodzaju certyfikatu jest odpowiedni dla stron, na których zawierane są transakcje o wyższej wartości. Zlecamy ten certyfikat dla sklepów internetowych, które cenią sobie zaufanie klientów, ale także dla organizacji pozarządowych oraz jednostek samorządów i urzędów – ze względu na zawarcie w certyfikacie nazwy podmiotu.
Typ EV (Extended Validation)
To już rozwiązanie dla szczególnie ceniących bezpieczeństwo, nie tylko swoje ale też swoich użytkowników. W czasie wydawania certyfikacji dokładnie weryfikowana jest wiarygodność firmy wnioskującej o certyfikat, co pozwala Urzędowi Certyfikacji zawrzeć w certyfikacie nie tylko domenę, nazwę firmy czy lokalizację, ale także dodatkowe oznaczenie przeprowadzenia dokładnego sprawdzenia wnioskodawcy, co widoczne jest w postaci tzw. GreenBar’a, czyli zielonego paska wyświetlanego w pasku adresu przeglądarki.
Takie oznaczenie bardzo mocno podkreśla, jak wielki nacisk na bezpieczeństwo kładzie wnioskodawca, ale podkreśla też stabilność i odpowiedzialność przedsiębiorstwa.
Na tego typu certyfikat decyduje się coraz więcej firm. I nie są to już tylko najwięksi gracze na rynku np. instytucje finansowe, ale także wielu średnich czy małych przedsiębiorców troszczących się o bezpieczeństwo swoich kontrahentów.
Co najciekawsze, badania wykazują, że inwestycja w ten dość drogi rodzaj certyfikatu może się bardzo szybko zwrócić z nawiązką. Badania pokazują, że aż 93% użytkowników, czuje się znacznie bezpieczniej dokonując transakcji na stronie identyfikującej się certyfikatem SSL EV, a 89% nie widzi przeciwwskazań do podania swoich danych na stronie z certyfikatem EV. Z drugiej strony, aż 67% użytkowników jest gotowych zrezygnować z zakupu na stronie nieznanego sklepu, który nie posiada takiego certyfikatu.
Z takiej perspektywy, inwestycja zaledwie kilkuset złotych w certyfikat EV może przynieść kolosalny wzrost zysków.
Gdzie i jak kupić certyfikat?
W sieci można znaleźć oferty na certyfikaty od kilku- czy kilkunastu złotych za podstawowy certyfikat DV, który wystawiony jest przez lokalnego wystawcę, przez certyfikaty znanych marek w cenie kilkudziesięciu czy kilkuset złotych za rok, aż po najdroższe oferty na certyfikaty EV, czy certyfikaty zabezpieczające wiele domen naraz.
Jednak cena nie powinna być jedynym kryterium wyboru dostawcy. Niestety najtańsi pośrednicy w handlu certyfikatami oprócz możliwości zamówienia certyfikatu nie oferują… niczego więcej. Zatem cały proces poczynając od wyboru najlepszej opcji certyfikatu do konkretnych zastosowań, sprawdzenia własności domeny, przez weryfikację organizacji, aż po instalację jej na docelowym serwerze, pozostawiana jest w całości wnioskodawcy.
Z pewnością nie będzie to problemem dla osób biegłych w branży hostingowej, ale przecież nie każdy przedsiębiorca dysponuje taką wiedzą. Warto zatem zwrócić się do zaufanych dostawców, którzy nie tylko pomogą wybrać odpowiedni typ certyfikatu, ale pomogą także w procesach weryfikacji, a nawet instalacji certyfikatu na serwerze oraz w aplikacji sklepu internetowego.
Taka pomoc może okazać się istnym wybawieniem dla mniej technicznych przedsiębiorców oraz tych, który dopiero stawiają swoje pierwsze kroki w biznesie internetowym.
Sprawdź nas, Elastyczny Web Hosting przyjmie każdy ruch z Twojej strony!