Certyfikat SSL jest dziś podstawowym elementem każdej profesjonalnej strony internetowej. Pozwala szyfrować komunikację pomiędzy przeglądarką użytkownika a serwerem i sprawia, że strona działa przez HTTPS. Nie oznacza jednak, że witryna staje się automatycznie odporna na włamania, złośliwe wtyczki czy błędy konfiguracji.
Co właściwie robi certyfikat SSL?
Gdy użytkownik otwiera stronę przez HTTPS, przeglądarka zestawia zaszyfrowane połączenie z serwerem. Dzięki temu informacje przesyłane pomiędzy nimi nie są przekazywane w postaci łatwej do odczytania przez osoby trzecie.
Ma to szczególne znaczenie przy formularzach kontaktowych, logowaniu, płatnościach i innych miejscach, w których użytkownik przekazuje dane.
HTTPS nie jest tylko dla sklepów
Każda strona, nawet prosta wizytówka, powinna dziś działać przez HTTPS. Przeglądarki traktują brak bezpiecznego połączenia jako problem i mogą oznaczać taką stronę jako niezabezpieczoną.
Dodatkowo HTTPS jest dziś standardem technicznym wymaganym przez wiele usług, integracji i mechanizmów przeglądarek.
Co może pójść nie tak z certyfikatem?
Najczęstszy problem to wygaśnięcie certyfikatu. Wtedy użytkownik może zobaczyć ostrzeżenie bezpieczeństwa zamiast strony.
Problemy mogą dotyczyć również:
- nieprawidłowo wystawionego certyfikatu,
- braku obsługi właściwej domeny lub subdomeny,
- błędnej konfiguracji przekierowań HTTP → HTTPS,
- niepełnego łańcucha certyfikacji,
- ładowania części zasobów przez niezabezpieczone HTTP.
Mixed content — strona jest HTTPS, ale nie do końca
Czasami główny adres działa przez HTTPS, ale obraz, skrypt albo inny zasób jest nadal pobierany przez HTTP.
To tzw. mixed content. W zależności od rodzaju zasobu przeglądarka może go zablokować albo oznaczyć stronę jako częściowo niezabezpieczoną.
Dlatego sama obecność certyfikatu nie wystarcza. Trzeba jeszcze sprawdzić, czy cała witryna rzeczywiście korzysta z bezpiecznego protokołu.
SSL a formularze i logowanie
Jeżeli użytkownik wysyła dane formularzem kontaktowym albo loguje się do panelu, HTTPS chroni transmisję tych informacji pomiędzy jego urządzeniem a serwerem.
Bez takiego zabezpieczenia dane mogą być przesyłane w sposób znacznie łatwiejszy do przechwycenia.
Czy certyfikat SSL oznacza, że strona jest bezpieczna?
Nie. Złośliwa albo przejęta strona również może posiadać prawidłowy certyfikat SSL. Certyfikat potwierdza bezpieczeństwo połączenia z określoną domeną, a nie wiarygodność całej zawartości witryny.
Strona nadal może mieć podatne wtyczki, słabe hasła, błędy PHP albo zainfekowane pliki.
Certyfikat powinien być monitorowany
Wiele hostingów automatycznie odnawia certyfikaty, ale automatyzacja również może zawieść. Dlatego warto kontrolować ich ważność i konfigurację.
To jeden z tych elementów opieki technicznej, o którym najlepiej pamiętać zanim pojawi się czerwony komunikat w przeglądarce.
Najważniejsza zasada
SSL jest fundamentem bezpiecznej komunikacji, ale tylko jednym z elementów całego systemu.
HTTPS + aktualne oprogramowanie + poprawna konfiguracja + monitoring dają znacznie więcej niż sama kłódka przy adresie strony.
Kłódka przy adresie to dopiero początek.
Jeżeli nie wiesz, czy certyfikat, przekierowania i pozostałe elementy bezpieczeństwa Twojej strony są skonfigurowane prawidłowo, możemy zacząć od sprawdzenia jej obecnego stanu.