SSL-sertifikaat on digitaalne fail, mis seob sinu domeeninime krüptovõtmega ja lubab brauseril luua sinu saidiga krüpteeritud HTTPS-ühenduse. Tehniliselt on tänapäeval kasutusel selle järeltulija TLS, aga nimi „SSL-sertifikaat“ on jäänud tavanimeks. Kui sinu sait on HTTPS-i peal, siis ei saa kolmas pool ühenduses liikuvaid andmeid lugeda ega märkamatult muuta ning külastaja näeb brauseris, et ühendus on turvaline.
Mida SSL/TLS-sertifikaat teeb?
TLS-ühendus annab kolm asja: andmed on teel krüpteeritud, neid ei saa märkamatult muuta ja server tõestab brauserile, et ta on see, kelleks end nimetab. Viimase jaoks vajab sait sertifikaati, milles on serveri avaliku võtme allkirjastatud koopia ja mis seob võtme sinu domeeniga.
Sertifikaadis on kirjas, kellele see välja anti, kes selle välja andis ja millal see kehtib. Kehtivusaeg on piiratud, nii et sertifikaati tuleb uuendada. Kui sait on HTTP peal, näitab Chrome aadressi ees märget „Not secure“ ehk „Pole turvaline“, ja kui sertifikaat on aegunud või vale, ilmub täisekraanil hoiatus „Your connection is not private“. Seega vajab HTTPS-i iga sait, mitte ainult e-pood.
Sertifikaat kaitseb ühendust külastaja ja serveri vahel. See ei ütle, et sait ise on usaldusväärne ega et selle sisu on õige.
Millised on sertifikaadi tüübid: DV, OV ja EV?
Tüübid erinevad selles, mida sertifikaadi väljastaja enne väljastamist kontrollib; ühenduse krüpteerimine on kõigil sama protokolli töö.
| Tüüp | Mida väljastaja kontrollib | Kellele sobib |
|---|---|---|
| DV (domeeni valideerimine) | Et taotleja kontrollib domeeni | Blogid, ettevõtte kodulehed, enamik väikesaite |
| OV (organisatsiooni valideerimine) | Lisaks domeenile organisatsiooni nime ja aadressi, riigiasutuse või usaldusväärse andmebaasi järgi | Ettevõte, kes soovib sertifikaadis oma nime |
| EV (laiendatud valideerimine) | Õiguslikku olemasolu, tegevusaadressi, tegevusvõimet ja domeeni kontrolli ning allkirjastaja volitust | Organisatsioon, kes soovib kõige põhjalikumalt kontrollitud ettevõtte andmeid |
Kui sul on tavaline koduleht või väike e-pood, siis piisab tavaliselt DV sertifikaadist. Kui tahad, et sertifikaadis oleks sinu organisatsiooni nimi, siis vali OV või EV, ja arvesta, et väljastaja kontrollib sinu organisatsiooni andmeid.
Kas tasuta sertifikaat on piisav?
Let's Encrypt on tasuta, automaatne ja avatud sertifikaadiväljastaja, mida haldab mittetulundusühing Internet Security Research Group. Igaüks, kellel on domeen, saab usaldusväärse DV sertifikaadi tasuta. Let's Encrypt väljastab ainult DV sertifikaate ega plaani OV ega EV väljastamist.
- Kui vajad ühendust krüpteerivat sertifikaati koduleheks, blogiks või e-poeks, siis piisab tasuta DV sertifikaadist.
- Kui vajad sertifikaati, kus on organisatsiooni nimi, siis vali OV või EV väljastaja, sest Let's Encrypt neid ei anna.
- Kui vajad ühte sertifikaati kõigile alamdomeenidele (wildcard), siis Let's Encrypt toetab seda DNS-i kaudu kinnitamisel; kontrolli, kas sinu majutus seda võimaldab.
Let's Encrypti sertifikaat kehtib vaikimisi 90 päeva ja seda tuleb uuendada; uuendamise saab ACME kliendiga automatiseerida ning soovituslik uuendamise sagedus on umbes iga 60 päeva. Sertifikaadi eraviis võti jääb sinu serverisse.
Kuidas saada oma saidile sertifikaat?
Enamik majutusi seadistab sertifikaadi sinu eest: nad hangivad ja uuendavad Let's Encrypti sertifikaati ise, ja sul tuleb vahel ainult seade sisse lülitada. Mõned majutajad võtavad lisateenuse eest väikese haldustasu; küsi enne tellimist.
- Ava oma majutuse juhtpaneel ja otsi „SSL“, „HTTPS“ või „sertifikaat“. Kui sertifikaat on juba aktiivne, ei pea sa midagi tegema.
- Kui seadet ei leia, küsi majutuse klienditoelt, kas tasuta sertifikaat kuulub paketti. Majutuse valimisel vaata kodulehe majutust.
- Kui sul on oma server ja käsurea ligipääs, siis kasuta Certbotit või mõnda teist ACME kliendit; Let's Encrypt soovitab Certbotit.
- Kui kasutad OV või EV sertifikaati, tellid selle sertifikaadi väljastajalt või majutuselt ja annad organisatsiooni andmed.
- Kontrolli pärast paigaldust, et sait avaneb HTTPS-iga ja et kõik lehed laadivad ilma hoiatuseta.
Sertifikaat kuulub domeeni juurde. Kui vahetad domeeni, vajab uus nimi uut sertifikaati. Kui ehitad uut saiti, siis seadista HTTPS juba käivitamisel, vt kodulehe tegemine.
Kuidas kontrollida, kas saidil on kehtiv sertifikaat?
Ava sait ja vaata aadressiriba ees olevat ikooni: Chrome näitab seal ühenduse turvalisust ning „Not secure“ märget, kui sait ei kasuta HTTPS-i. Ikoonile klõpsates avaneb saidi teave ja sealt leiad ühenduse ja sertifikaadi andmed; menüüde nimed erinevad brauseriti.
- Sertifikaadis peab olema sinu domeeni nimi ja kehtivuse lõppkuupäev peab olema tulevikus.
- Kui brauser näitab täisekraani hoiatust, siis põhjus võib olla saidis, võrgus või sinu seadmes; proovi teist võrku või seadet.
- Kui hoiatus tuleb sinu enda saidil, siis kontrolli esmalt, kas sertifikaat on aegunud või on see antud teise domeeni nimele.
