Certyfikat SSL to popularna nazwa certyfikatu używanego przy szyfrowanym połączeniu HTTPS. Współczesne zabezpieczenie transmisji opiera się na TLS. Certyfikat pomaga przeglądarce zweryfikować serwer dla wskazanej domeny. Nie jest jednak gwarancją bezpieczeństwa całej strony ani uczciwości jej właściciela.
Co dzieje się podczas połączenia HTTPS?
Przeglądarka i serwer uzgadniają parametry chronionego połączenia. Przeglądarka sprawdza między innymi nazwę domeny, ważność certyfikatu i zaufanie do wystawcy. Po ustanowieniu sesji transmisja jest szyfrowana. Ogranicza to możliwość podsłuchania danych lub ich zmiany w drodze między klientem a serwerem.
Szyfrowanie transmisji nie zastępuje aktualizacji WordPressa, ochrony kont, kopii zapasowych ani kontroli kodu. Strona z HTTPS może nadal zawierać złośliwe oprogramowanie lub wyłudzać dane. Oceniając sklep, sprawdzaj także dane firmy, zasady zakupu i sam adres domeny.
Jakie nazwy może obejmować certyfikat?
Certyfikat może zawierać jedną lub wiele nazw domen. Warianty z www i bez www muszą być objęte certyfikatem, jeśli są używane. Certyfikat wildcard, np. dla *.przyklad.pl, może obejmować subdomeny na danym poziomie; nie oznacza automatycznej ochrony samej domeny głównej ani wszystkich zagnieżdżonych subdomen. Zakres zawsze sprawdź na liście nazw w certyfikacie.
Czy potrzebne są firmowy WHOIS i adres admin@?
Nie są to uniwersalne wymogi. Przy certyfikacie DV potwierdza się kontrolę nad domeną metodą obsługiwaną przez wystawcę, np. przez rekord DNS lub odpowiedź serwera HTTP. Poszczególne rodzaje certyfikatów i dostawcy mają różne procedury. Podstawowe informacje wyjaśnia FAQ Let’s Encrypt.
Jak sprawdzić działanie HTTPS?
- Otwórz stronę po HTTPS i sprawdź, czy przeglądarka nie zgłasza problemu z certyfikatem.
- Sprawdź nazwy domen objęte certyfikatem, datę ważności oraz poprawność łańcucha zaufania.
- Upewnij się, że stare adresy HTTP prowadzą do odpowiadających im adresów HTTPS.
- Sprawdź, czy obrazy, skrypty i arkusze stylów nie są pobierane po HTTP.
- Przetestuj formularze, logowanie oraz zakup w sklepie, także na telefonie.
- Skonfiguruj automatyczne odnawianie i sprawdzanie jego działania. Samo włączenie automatyzacji nie wyklucza awarii.
HTTPS a wymagania ochrony danych
HTTPS jest ważną częścią ochrony danych przesyłanych przez formularze i podczas zakupów. Sam certyfikat nie potwierdza jednak zgodności całego procesu z RODO. Ocena wymaga uwzględnienia rodzaju danych, ryzyka oraz pozostałych zabezpieczeń i obowiązków administratora.
Jeżeli interesuje Cię wpływ wdrożenia na wyszukiwarkę, przeczytaj HTTPS a pozycjonowanie stron. W sprawie wdrożenia i kontroli konfiguracji skontaktuj się z Testin.
