SSL сертифікати — простими словами про складне. Що це, де краще придбати і як налаштувати?

Захищений розширений HTTPS протокол впевнено та послідовно витісняє попередника-HTTP. Вже давно минули часи, коли можна було обійтись без SSL сертифіката. Сьогодні сайти без зашифрованого з’єднання важко просуваються у пошукових системах, на такі ресурси негативно реагують браузери та сповіщають користувачів. І згодом усі вони будуть помічені у видачі, як незахищені та небезпечні. І це абсолютно відповідає дійсності, адже передача даних у чистому вигляді між клієнтом/відвідувачем і сервером/сайтом є вкрай небезпечною. Кожен раз, заповнюючи та відправляючи форми з чутливим даними (паролі, номери кредитних карт, особиста інформація) на HTTP ресурсі, відвідувач ризикує бути перехопленим третьою стороною (зловмисником). А прочитати перехоплений HTTP запит не складає жодних труднощів. Власне вирішити усі ці проблеми і покликаний SSL сертифікат, що забезпечує зашифроване з’єднання між сервером і клієнтом та гарантує належний рівень захисту. Коли я вперше, щоправда дуже давно, зіткнувся з вибором та налаштуванням сертифікатів, у мене виникло чимало питань — який саме обрати, чим вони відрізняються між собою? Чи вартує застосувати безкоштовний? І одразу ж з’явилось чимало технічних моментів: CSR, приватний ключ, основний сертифікат, проміжний, кореневий — що ж це все таке і як з цього приготувати таке омріяне HTTPS з’єднання для улюбленого сайту? Про все доступно розкажу далі.

Безкоштовні SSL сертифікати Let's Encrypt. Очевидне питання, а чи можна отримати SSL сертифікат безкоштовно? Так, можна, але є певні «але». Видачею безкоштовних сертифікатів займається некомерційна організація Let's Encrypt. Офіційні дані стверджують про генерацію понад двохсот мільйонів таких сертифікатів. Більшість хостинг провайдерів підтримують автоматизовану видачу та налаштування Let's Encrypt сертифікатів інструментами самих веб-панелей, наприклад, Plesk, cPanel. Для VPS/VDS серверів найпростіший та найшвидший варіант — скористатися ботом Certbot. На відміну від платних сертифікатів безкоштовні TLS сертифікати Let's Encrypt видаються не на рік, а лише на три місяці. Простіше кажучи, кожен квартал ви будете змушені заново випускати сертифікат. Також центр сертифікації не несе жодної фінансової відповідальності у випадку злому та витоку інформації. Так, акредитовані реєстратори відповідають фінансово за свої сертифікати. До прикладу, найдоступніший Comodo Positive SSL покриває збитки у розмірі 10 тисяч доларів США.

То чи варто обирати безкоштовний сертифікат, як альтернативу платним продуктам? Все залежить від цілей. Особисто я використовую його для внутрішніх ресурсів: веб-панелі ISPConfig/ Plesk/cPanel/ISPmanager, зашифрований доступ до phpMyAdmin, веб-пошта, деякі персональні некомерційні сторінки тощо. Для реальних робочих сайтів все ж таки рекомендую скористатися платними рішеннями. Це більш зручно та викликає довіру, забезпечує максимальну сумісність з браузерами і гарантує відсутність неприємних сповіщень. Безкоштовні послуги нічого не гарантують, і ніхто не несе відповідальність, якщо щось піде на так. Саме так і відбулось 30 вересня 2021 року, коли закінчився термін дії кореневого сертифікату «Let’s Encrypt, IdenTrust DST Root CA X3» і браузери почали реагувати на тисячі сайтів поміткою про небезпечне з’єднання.

Платні сертифікати Certum, Comodo, GeoTrust та інші. Як я вже казав, існує понад півтори сотні різноманітних сертифікатів з розкидом цін від десяти до кількасот доларів. І ви справедливо можете запитати — у чому ж тоді різниця між ними? І який саме обрати? Різниця у тому, хто видає сертифікат, який розмір страхових виплат, на скільки доменів розповсюджується дія, і які саме дані будуть завірені (тип сертифікату). Найпростіші (читай найдешевші) — це DV SSL сертифікати. Вони видаються власникам доменів і підтверджують лише сам домен. Переважна більшість усіх сайтів в мережі використовує DV сертифікати, до речі, як і мій блог. Універсальним рішенням для латинських доменів можна вважати Comodo Positive SSL чи Certum Commercial SSL. OV SSL — тип сертифікатів, що перевіряють не тільки домен, але й адресу компанії (перевірка відбувається згідно публічних баз даних). Такий тип буде бажаним для комерції, фірм, бізнесу. Найдорожчим та найбільш трастовим вважається EV SSL. Він видається компаніям, що підтвердили приналежність домену до організації, її реальне існування та місце знаходження. Такий сертифікат відмічається зеленим надписом та назвою компанії у браузерному рядку. А ще умовно можна розділити усі сертифікати за кількістю захищених доменів. Найдешевші захищають лише один домен (як правило включно з www версією сайту). Дорожчі — основний домен й усі піддомени (Wildcard). Якщо потрібен сертифікат для захисту кількох дзеркал чи різних доменів одразу, шукайте відмітку SAN і Multi-Domain.

Мабуть на цьому і зупинимося, щоб не перевантажувати читача. Для наочності дивіться таблицю вище з цінами, типами та особливостями сертифікатів. А в наступному огляді я розповім, як налаштувати SSL сертифікат на прикладі cPanel та ISPmanager.