SSL-сертификат

Без шифрования всё, чем обмениваются посетитель и сайт, идёт по сети открытым текстом. Тот, кто сидит в той же сети Wi-Fi — в кафе, в отеле, в зале ожидания, — может общедоступными средствами прочитать, что было набрано в форме. На чисто информационной странице это неприятно, а на форме обратной связи с именем, номером телефона и запросом это уже проблема.

Именно это предотвращает сертификат. Это файл на Вашем сервере, выданный признанным центром, и он подтверждает две вещи: что этот сервер действительно относится к Вашему адресу и каким ключом следует шифровать. Если он есть, адрес начинается с https вместо http, а браузер показывает замок вместо предупреждения.

Термины сложились исторически и сбивают с толку. SSL — это старое название технологии, TLS — то, что используется в действительности сегодня. В обиходе все продолжают говорить «SSL-сертификат», имеется в виду то же самое. Важнее названия то, чтобы он был актуальным и действительным.

О стоимости: сертификат может быть бесплатным. Инициатива Let's Encrypt выдаёт их без платы, и шифрование там такое же, как у платного. Что дополнительно дают более дорогие сертификаты — это более глубокая проверка компании, стоящей за адресом; для ремесленной фирмы, юридического бюро или отеля это, как правило, не даёт видимого преимущества. Тот, кто продаёт Вам сертификат как ежегодную статью расходов и говорит при этом о более сильном шифровании, описывает его неверно.

Самый частый сбой связан не с атаками, а с датой. Сертификаты истекают, бесплатные часто через 90 дней. Если не обновить вовремя, браузер показывает предупреждение во весь экран, и посетителей нет — обычно в выходные, потому что никто не смотрит. Поэтому обновление должно быть автоматизировано и под наблюдением; это часть нормального хостинга, а не особое пожелание.

Предупреждение — не мелочь. Chrome с июля 2018 года прямо помечает страницы без шифрования как «Не защищено», другие браузеры делают похожее. Посетитель, который это видит, не различает истёкший сертификат и настоящую атаку — он уходит назад. Мы видели компании, которые неделями не получали запросов и искали причину в своих текстах.

Есть и правовая сторона. Статья 32 Общего регламента по защите данных (GDPR) требует надлежащих технических мер на уровне современного развития техники и прямо называет шифрование в качестве примера. Форму, через которую имена и контактные данные передаются незашифрованными, с этим трудно совместить. Это не повод для паники, но повод не откладывать.

Для Вас это означает: сертификат — не товар, который приобретают один раз, а текущий процесс. Три вопроса, которые стоит задать своему провайдеру, звучат так: обновляется ли он автоматически, предупредят ли меня, если обновление не удастся, и охватывается ли каждый вариант моего адреса — с www и без. Если чего-то из этого нет, проблема не решена, а лишь отложена.