SSL-сертификат
SSL-сертификат - цифровой документ, который удостоверяет подлинность веб-сайта и позволяет установить защищённое соединение по протоколу HTTPS. Сертификат содержит информацию о владельце сайта, открытый ключ для шифрования данных и подпись центра сертификации, подтверждающую его достоверность.
Для владельца сайта SSL-сертификат - это не просто техническая деталь, а обязательный элемент современного интернет-проекта. Он влияет на безопасность пользователей, доверие к сайту, позиции в поисковой выдаче и даже на скорость загрузки страниц.
Подробнее о технической стороне работы протоколов SSL и TLS см. SSL.
Что содержится в SSL-сертификате
[править]Любой SSL-сертификат содержит следующие данные:
- Доменное имя, для которого он выпущен.
- Название организации (для сертификатов с проверкой организации).
- Физический адрес организации (для некоторых типов).
- Срок действия - даты начала и окончания действия.
- Информация о центре сертификации, выдавшем сертификат.
- Открытый ключ - используется для шифрования данных.
- Цифровая подпись центра сертификации - гарантирует подлинность сертификата.
- Серийный номер - уникальный идентификатор в системе центра сертификации.
Типы SSL-сертификатов
[править]Сертификаты классифицируются по двум основным критериям: уровню проверки владельца и количеству защищаемых доменов.
По уровню проверки
[править]DV (Domain Validation) - проверка домена
Самый простой и быстрый тип сертификата. Центр сертификации проверяет только право владения доменом (обычно через письмо на admin@домен или добавление DNS-записи).
Особенности:
- Выдаётся автоматически за несколько минут
- Не содержит данных о владельце в открытой части
- Подходит для небольших сайтов, блогов, информационных проектов
- Бесплатные варианты: Let's Encrypt
- Платные варианты: недорогие сертификаты начального уровня
OV (Organization Validation) - проверка организации
Более серьёзный уровень проверки. Центр сертификации подтверждает не только право владения доменом, но и существование организации, её юридический адрес, право на ведение деятельности.
Особенности:
- Выдаётся от нескольких дней до недели
- Данные организации отображаются в сертификате
- Вызывает больше доверия у пользователей
- Рекомендуется для коммерческих сайтов, интернет-магазинов
EV (Extended Validation) - расширенная проверка
Максимальный уровень проверки. Центр сертификации проводит тщательную проверку юридического лица по стандартам, утверждённым международным сообществом.
Особенности:
- Раньше отображал название организации зелёным цветом в адресной строке
- Требует предоставления полного пакета учредительных документов
- Самый дорогой тип сертификатов
- Сейчас большинство браузеров упростили отображение, но статус остаётся наивысшим
По количеству защищаемых доменов
[править]Одиночный сертификат
Защищает только 1 домен (например, example.com). Для защиты поддоменов (www.example.com, shop.example.com) потребуются отдельные сертификаты или wildcard.
Wildcard-сертификат
Защищает домен и все его поддомены любого уровня. Обозначается звёздочкой: *.example.com.
Подходит для:
- Крупных проектов с множеством поддоменов
- Сайтов, где активно используются поддомены для разных разделов
- Удобен, когда сложно предсказать все будущие поддомены
SAN-сертификат (Subject Alternative Name)
Позволяет защитить несколько разных доменов (не обязательно вложенных друг в друга) одним сертификатом.
Пример: 1 сертификат на example.com, example.ru, mysite.net
Подходит для:
- Компаний с несколькими разными сайтами
- Ситуаций, когда нужно сэкономить на покупке нескольких сертификатов
Центры сертификации (CA)
[править]Центры сертификации - это организации, которым доверяют браузеры и операционные системы, и которые имеют право выдавать SSL-сертификаты.
Крупнейшие международные CA
[править]- DigiCert - 1 из лидеров рынка, купил многих конкурентов (Symantec, GeoTrust, RapidSSL)
- Sectigo (бывший Comodo) - популярный массовый поставщик
- GlobalSign - работает с 1996 года
- GoGetSSL - популярный реселлер с удобным интерфейсом
Бесплатные CA
[править]- Let's Encrypt - некоммерческий проект, предоставляющий бесплатные DV-сертификаты. Сертификаты выдаются на 90 дней и автоматически продлеваются через специальные клиенты (Certbot).
Государственные CA
[править]Некоторые страны создают собственные центры сертификации для работы в рамках национального законодательства. В России таким центром является Минцифры, выпускающий сертификаты для госсайтов и порталов.
Как выбрать SSL-сертификат
[править]При выборе сертификата учитывайте несколько факторов:
Для каких целей сайт:
- Информационный сайт, блог - достаточно бесплатного DV от Let's Encrypt
- Интернет-магазин, сайт сбора платежей - лучше OV для доверия клиентов
- Крупный корпоративный портал - можно рассмотреть EV
Какие домены нужно защитить:
- 1 домен без поддоменов - одиночный сертификат
- Домен с множеством поддоменов - wildcard
- Несколько разных доменов - SAN-сертификат
Бюджет:
- Нулевой - Let's Encrypt
- Небольшой - недорогие DV-сертификаты от Sectigo и других
- Средний и высокий - OV и EV от DigiCert, GlobalSign
Срок действия:
- Раньше выпускали на 1-3 года
- Сейчас стандарт - 1 год или 90 дней (для Let's Encrypt)
Установка SSL-сертификата
[править]Варианты установки
[править]Через панель хостинга
Большинство современных хостинг-провайдеров предлагают автоматическую установку бесплатных сертификатов Let's Encrypt в пару кликов. Это самый простой способ для начинающих.
Вручную через Certbot
Certbot - официальный клиент Let's Encrypt, автоматизирующий получение и установку сертификатов. Поддерживает большинство веб-серверов и операционных систем.
Ручная установка платного сертификата
После покупки сертификата вы получаете файлы, которые нужно разместить на сервере и настроить веб-сервер.
Пример настройки для Nginx
[править]server {
listen 443 ssl;
server_name example.com;
ssl_certificate /path/to/certificate.crt;
ssl_certificate_key /path/to/private.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
}
Настройка редиректа с HTTP
[править]После установки сертификата необходимо настроить 301-редирект с HTTP-версии на HTTPS, чтобы все пользователи и поисковые системы попадали на защищённую версию.
server {
listen 80;
server_name example.com www.example.com;
return 301 https://$server_name$request_uri;
}
Проверка установки
[править]После настройки необходимо проверить корректность установки сертификата:
- Браузер должен показывать зелёный замочек
- Онлайн-инструменты (SSL Labs SSL Test) показывают статус «Valid»
- В панелях вебмастера (Google Search Console, Яндекс.Вебмастер) нет ошибок
Ошибки и проблемы SSL-сертификатов
[править]Истёкший сертификат
[править]Самый распространённый тип ошибки. Сертификаты имеют ограниченный срок действия. Необходимо своевременно обновлять сертификат (автоматическое продление Let's Encrypt решает эту проблему).
Недействительный сертификат
[править]Возникает, если сертификат выдан для другого домена. Например, на сайте example.com установлен сертификат для test.com. Браузер показывает предупреждение о несоответствии имени.
Самоподписанный сертификат
[править]Сертификаты, не подписанные доверенным центром сертификации. Браузеры показывают предупреждение «небезопасное соединение». Подходят только для тестовых сред, неприемлемы для публичных сайтов.
Проблемы с цепочкой сертификатов
[править]Промежуточные сертификаты не установлены на сервере. Браузер не может построить цепочку доверия до корневого сертификата. Решается установкой полной цепочки сертификатов.
Смешанный контент (mixed content)
[править]Не ошибка SSL, но связанная с ним проблема: HTTPS-страница загружает ресурсы (изображения, скрипты, стили) по HTTP. Браузер может блокировать такой контент, и зелёный замочек исчезает.
