SSL-сертифікат для сайту: безкоштовний чи платний і як встановити

Сертифікат SSL потрібен сайту, щоб дані між браузером і сервером передавалися в зашифрованому вигляді. Без нього браузер позначає сторінку як небезпечну, форми заявок та оплати викликають недовіру, пошук обирає для показу HTTPS-версію сторінки. Добра новина: для більшості сайтів сертифікат безкоштовний і випускається автоматично. Нижче розбір, коли цього достатньо, коли варто купити платний і як пройти перехід на HTTPS без сюрпризів. MMIX робить такі переходи для сайтів клієнтів з 2012 року.

Розкриття: частина посилань у статті партнерські. Якщо ви купуєте за ними, MMIX може отримати комісію; ціна для вас та сама.

Безкоштовний чи платний: у чому різниця

Шифрування в безкоштовного і платного сертифіката однаково надійне. Різниця в тому, що саме перевіряє центр сертифікації та які умови він надає.

• DV (Domain Validation) підтверджує лише право керувати доменом. Так працює Let's Encrypt, некомерційний автоматичний центр сертифікації. Його сертифікат діє 90 днів і випускається наново до закінчення строку.
• OV (Organization Validation) додатково підтверджує, що домен належить конкретній організації. Дані компанії видно у відомостях про сертифікат.
• EV (Extended Validation) містить розширену перевірку компанії. Як він відображається в адресному рядку, залежить від браузера.

Let's Encrypt не надає грошових компенсацій на випадок компрометації сертифіката. Комерційні центри сертифікації такі гарантії пропонують. Ще одна деталь: Let's Encrypt на віртуальному хостингу працює через технологію SNI, яка дозволяє тримати багато сертифікатів на одній IP-адресі. Деякі платіжні системи можуть не підтримувати SNI, тож це варто заздалегідь уточнити у свого платіжного провайдера.

Покрокова інструкція

Що перевірити і типові помилки

• Сертифікат покриває лише один варіант домену. Сайт відкривається без www, за адресою з www браузер показує помилку. Включайте в сертифікат обидві адреси.
• Ланцюжок встановлено не повністю. На комп’ютері все відкривається, на частині телефонів з’являється попередження. Встановіть проміжні сертифікати разом з основним.
• Ключ не підходить до сертифіката. Приватний ключ створюють разом із запитом CSR. Якщо ключ втрачено або переплутано, сертифікат доведеться перевипускати.
• Ланцюжок з кількох редиректів. http → https → www → без www уповільнює завантаження і плутає пошукові системи. Налаштуйте один перехід на кінцеву адресу.
• Змішаний контент у старих записах. Шаблон виправили, у тексті статей залишилися зображення за http://. Пройдіться пошуком по базі даних.
• Автоподовження непомітно зламалося. Після зміни DNS або перенесення на інший сервер перевірка домену перестає проходити, і через 90 днів сертифікат спливає. Стежте за датою закінчення.
• HSTS з великим строком на старті. Якщо якийсь піддомен ще без сертифіката, відвідувачі не зможуть його відкрити до закінчення строку заголовка.

Як перевірити сертифікат після встановлення

П’ять хвилин перевірки після випуску сертифіката позбавляють від скарг клієнтів через тиждень.

1. Відкрийте сайт у режимі інкогніто за чотирма адресами: з http:// і https://, з www і без www. Усі чотири мають привести на одну основну адресу через HTTPS.
2. Натисніть на значок замка й подивіться, на які імена випущено сертифікат і до якої дати він діє.
3. Перевірте сайт з телефона через мобільний інтернет. Так видно помилки ланцюжка, які на робочому комп’ютері приховує кеш браузера.
4. Надішліть тестову заявку через форму й переконайтеся, що лист прийшов. Якщо на сайті є оплата, проведіть тестовий платіж у режимі пісочниці платіжного сервісу.
5. Запустіть зовнішній тест і збережіть звіт: під час наступної перевірки буде з чим порівняти.

Якщо сайт працює через CDN або захисний проксі, сертифікат потрібен на двох ділянках: між відвідувачем і проксі та між проксі й вашим сервером. Режим, за якого друга ділянка йде без шифрування, залишає дані відкритими на шляху до сервера, тому вмикайте повну перевірку сертифіката й на сервері.

Часті запитання