SSL-varmenne: miksi HTTPS on pakollinen?
Kerromme, miten salattu yhteys vaikuttaa luottamukseen, SEO:hon ja maksuturvaan, mitä SSL-tyyppejä on ja miten pääset eroon selaimen «ei turvallinen» -varoituksesta.
Aurora YazılımToimitustiimi
6 min lukuaika
SSL-sertifikaatti on digitaalinen asiakirja, joka varmentaa verkkosivuston identiteetin ja huolehtii kävijän ja palvelimen välisen yhteyden salauksesta. Sertifikaatilla varustetun sivuston osoite alkaa merkinnällä https://, ja selain näyttää yhteyden turvallisena. Näin lomakkeiden, salasanojen ja maksutietojen sisältöä ei voi lukea tai muuttaa matkalla.
Mihin SSL-sertifikaattia tarvitaan?
Salaamattomassa yhteydessä kaikki selaimen ja palvelimen välillä kulkeva tieto liikkuu välissä olevissa verkoissa selkotekstinä. Yhteisessä Wi-Fi-verkossa joku pahantahtoinen voi nähdä yhteydenottolomakkeeseen kirjoitetun puhelinnumeron tai kirjautumissivun salasanan. SSL-sertifikaatti salaa tämän liikenteen lukukelvottomaksi.
Sertifikaatin toinen tehtävä on tunnistaminen. Selain tarkistaa sertifikaatin avulla, että palvelin, johon se on yhdistämässä, todella kuuluu kyseiselle verkkotunnukselle. Näin väliin tulevan väärennetyn palvelimen on vaikeampi esiintyä sivustonasi.
Nykyisin käytetyn protokollan tekninen nimi on TLS (Transport Layer Security); SSL on vanhempien versioiden nimi, eikä sitä enää pidetä turvallisena. Tottumuksen vuoksi alalla käytetään kuitenkin yhä ilmaisua SSL-sertifikaatti.
Mikä on HTTPS ja miten se toimii?
HTTPS on verkkosivuja välittävän HTTP-protokollan TLS:llä salattu muoto. Kun kävijä yhdistää sivustolle, selain ja palvelin tekevät lyhyen kättelyn: palvelin esittää sertifikaattinsa, selain varmistaa, että sen on myöntänyt luotettu varmenteiden myöntäjä ja ettei se ole vanhentunut, ja sen jälkeen osapuolet luovat vain kyseistä istuntoa varten salausavaimet.
Tämä kestää millisekunteja, ja nykyaikaisten protokollien ansiosta nopeuden menetys on lähes olematon. Lisäksi nopeammat protokollat, kuten HTTP/2 ja HTTP/3, toimivat selaimissa vain HTTPS:n kautta; salaus siis usein nopeuttaa sivustoa sen hidastamisen sijaan. Käsittelemme nämä palvelinpuolen asetukset yhdessä nopeus- ja suorituskykyoptimoinnin yhteydessä.
Miksi HTTPS on välttämätön?
«Ei turvallinen» -varoitus
Nykyaikaiset selaimet merkitsevät HTTPS:ää käyttämättömät sivut osoiterivillä ei turvallinen -varoituksella; sivuilla, joilla on lomakekenttiä, varoitus on vielä selvempi. Kun varoitus on ensimmäinen asia, jonka kävijä näkee, todennäköisyys täyttää yhteydenottolomake tai tehdä tilaus pienenee.
SEO-vaikutus
Google on ilmoittanut avoimesti käyttävänsä HTTPS:ää hakusijoituksen signaalina. Tämä signaali ei yksin ratkaise sijoitusta, mutta turvaton sivusto aloittaa sivukokemuksen kannalta takamatkalta. HTTPS:ään siirryttäessä vanhojen HTTP-osoitteiden yhdistäminen uusiin osoitteisiin 301-uudelleenohjauksella säilyttää ansaitun hakunäkyvyyden; nämä yksityiskohdat kuuluvat hakukoneystävällisten verkkosivujen prosessiin.
Maksuturva
Jokainen korttitietoja keräävä sivu vaatii salatun yhteyden; korttialan tietoturvastandardi PCI DSS edellyttää, että korttitiedot siirretään avoimissa verkoissa vahvasti salattuina. Kun valitset verkkokauppa-alustaa, tarkista, että sertifikaatti on voimassa kaikilla sivuilla ja uusiutuu automaattisesti.
Henkilötietojen suoja
Sivustot, jotka keräävät nimen, puhelinnumeron ja sähköpostiosoitteen yhteydenotto-, jäsenyys- tai varauslomakkeella, käsittelevät henkilötietoja. Tietojen salaaminen siirron aikana on yksi odotetuista perustason teknisistä suojatoimista. Tarkista velvoitteidesi yksityiskohdat voimassa olevasta KVKK-lainsäädännöstä (Turkin tietosuojalaki, joka on verrattavissa GDPR:ään) ja lakimieheltäsi.
Millaisia SSL-tyyppejä on?
SSL-tyypit jaetaan kahden akselin mukaan: kuinka tarkasti sertifikaatin myöntäjä tunnistaa sinut ja kuinka monta verkkotunnusta sertifikaatti kattaa. Salauksen vahvuus on kaikilla tyypeillä sama; ero on vahvistuksen tasossa ja kattavuudessa.
| Tyyppi | Vahvistettava | Sopiva käyttö |
|---|---|---|
| DV (Domain Validation) | Vain se, että verkkotunnus kuuluu sinulle | Blogit, yrityssivustot, useimmat pienet verkkokaupat |
| OV (Organization Validation) | Verkkotunnus ja yrityksen virallinen rekisteröinti | Yritykset, jotka haluavat yrityksen identiteetin näkyvän sertifikaatissa |
| EV (Extended Validation) | Kattava yrityksen vahvistus | Pankki- ja rahoitusalan kaltaiset korkeaa luottamusta vaativat alat |
Sertifikaatit kattavuuden mukaan
Selaimet nostivat EV-sertifikaatit ennen esiin osoiterivillä yrityksen nimellä; nykyisissä selaimissa tämä visuaalinen ero on pitkälti poistettu. Siksi useimmille sivustoille hyvin määritetty DV-sertifikaatti riittää.
- Yksi verkkotunnus: vain firmaniz.com ja yleensä sen www-versio.
- Wildcard: muodossa *.firmaniz.com kaikki saman tason aliverkkotunnukset (magaza, panel, blog).
- Monen verkkotunnuksen sertifikaatti (SAN): kokoaa eri verkkotunnukset yhteen sertifikaattiin; käytännöllinen yrityksille, joilla on useita brändejä.
Ilmainen vai maksullinen?
Voittoa tavoittelemattomat varmenteiden myöntäjät, kuten Let's Encrypt, tarjoavat ilmaisen DV-sertifikaatin, jonka salauksen vahvuus on sama kuin maksullisten DV-sertifikaattien. Se myönnetään lyhyellä voimassaoloajalla, ja sitä käytetään ongelmitta automaattisten uusintatyökalujen kanssa. Monet hosting-paneelit ja CDN-palvelut asentavat tämän sertifikaatin yhdellä napsautuksella.
Maksulliset sertifikaatit ovat järkeviä tarpeisiin, kuten OV- ja EV-vahvistus, joillakin tarjoajilla vakuutus ja tuki sekä pitkä uusintaväli vanhoissa järjestelmissä, joissa automaatio ei ole mahdollista. Hinnan määräävät vahvistustyyppi, katettujen verkkotunnusten määrä ja varmenteiden myöntäjä.
Tarkistuslista sertifikaatin asennuksen jälkeen
Sertifikaatin asentaminen on vasta puolet työstä. Ilman alla olevia vaiheita sivusto voi yhä antaa varoituksia tai hakunäkyvyys voi kärsiä. Palvelimelle asennuksen vaiheet olemme käsitelleet erikseen oppaassa SSL-sertifikaatin asennus.
- Ohjaa kaikki HTTP-pyynnöt HTTPS:ään pysyvällä (301) uudelleenohjauksella.
- Varmista, ettei sivujen kuvia, skriptejä ja tyylitiedostoja kutsuta osoitteella http://; muuten ilmestyy sekasisältövaroitus.
- Päivitä sivukartta, canonical-tagit ja sisäiset linkit HTTPS-osoitteisiin.
- Tarkista Search Consolesta, että HTTPS-versio on vahvistettu.
- Kun kaikki toimii moitteetta, käske selainta HSTS-otsakkeella yhdistämään sivustoon vain HTTPS:llä.
- Ota käyttöön hälytys, joka seuraa sertifikaatin päättymispäivää.
Yleiset SSL-virheet
Kun otat sivuston ja tietokannan ajantasaisen kopion ennen sertifikaatti- ja palvelinasetusten muuttamista, pääset virhetilanteessa palaamaan takaisin minuuteissa; menetelmät löydät artikkelista Miten varmuuskopiointi tehdään. Jos salauksen tulevaisuus kiinnostaa, kvanttiturvallista salausta käsittelevä artikkelimme kertoo, miten TLS muuttuu tulevina vuosina.
| Virhe | Miksi | Ratkaisu |
|---|---|---|
| Sertifikaatti on vanhentunut | Uusintaa ei ole tehty | Uusi sertifikaatti ja ota käyttöön automaattinen uusinta |
| Nimi ei täsmää | Sertifikaatti ei kata www- tai aliverkkotunnusta | Hanki sertifikaatti, joka kattaa kaikki osoitteet |
| Yhteytesi ei ole yksityinen | Välivarmenteiden ketju puuttuu | Asenna palvelimelle koko sertifikaattiketju |
| Ei lukkokuvaketta, mutta varoitus | Sekasisältö | Muuta http://-osoitteella kutsutut resurssit muotoon https:// |
| Laitteen kello on väärässä | Kävijän puolen ongelma | Korjaa laitteen päivämäärä- ja aika-asetus |
Usein kysytyt kysymykset
01Hidastaako SSL-sertifikaatti sivustoa?
Nykyaikaisissa TLS-versioissa kättely kestää hyvin lyhyen ajan, ja istunnon uudelleenkäytön ansiosta toistuvissa yhteyksissä kustannus pienenee entisestään. Koska HTTP/2 ja HTTP/3 toimivat vain HTTPS:n kautta, salattu sivusto latautuu useimmiten nopeammin.
02Riittääkö SSL pelkällä maksusivulla?
Ei. Selaimet arvioivat jokaisen sivun erikseen ja näyttävät varoituksen salaamattomilla sivuilla. Lisäksi kirjautumisevästeet voivat vuotaa salaamattomien sivujen kautta. Koko sivuston tarjoaminen HTTPS:llä on nykyään vakiokäytäntö.
03Tarvitsenko erillisen sertifikaatin aliverkkotunnuksilleni?
Yhden verkkotunnuksen sertifikaatti kattaa vain mainitut nimet. Jos sinulla on useita aliverkkotunnuksia, voit käyttää wildcard-sertifikaattia tai erillistä ilmaista sertifikaattia jokaiselle aliverkkotunnukselle. Kun automaattinen uusinta on otettu käyttöön, kumpikin on käytännöllinen ratkaisu.
04Mistä tiedän, onko sertifikaattini asennettu oikein?
Napsauttamalla selaimen lukkokuvaketta näet, kenelle sertifikaatti on myönnetty ja milloin se päättyy. Tarkempaan tarkistukseen verkossa toimivat SSL-testityökalut raportoivat sertifikaattiketjun, protokollaversiot ja kokoonpanon heikkoudet.
SSL-sertifikaatti ei ole enää valinta vaan luottamuksen, hakunäkyvyyden ja verkkomaksujen edellytys; oikealla asennuksella ja automaattisella uusinnalla se tehdään kerran ja unohdetaan. Jos haluat käsitellä HTTPS-, palvelin- ja välimuistiasetukset yhdessä, tutustu nopeus- ja suorituskykyoptimointiin, ja hakunäkyvyyttä alusta asti ajattelevaa sivustoa varten katso verkkosivujen suunnittelu; kysymyksissä kirjoita meille.
