Kun joku lähettää lomakkeen HTTP-sivustolla (ei HTTPS), hänen datansa kulkee internetin yli selkotekstinä. Kuka tahansa hänen ja palvelimesi välisessä verkossa voi nähdä, mitä hän kirjoitti, myös salasanat, luottokorttinumerot ja sähköpostiosoitteet. Tämä ei ole teoriaa. Pakettien nuuskintatyökalut ovat vapaasti saatavilla, ja hyökkääjät sieppaavat aktiivisesti salaamattomia lomakelähetyksiä.
SSL/TLS-salaus on tekniikka, joka suojaa lomakedataa sen kulkiessa kävijän selaimesta palvelimellesi. Se on lomakkeen tietoturvan perustavin muoto, eikä siitä voi tinkiä.
Tästä oppaasta opit: miten HTTPS-salaus toimii, mitä eroa on SSL:llä ja TLS:llä, mikä SSL-sertifikaatti on ja miksi tarvitset sellaisen, miten varmistat, että lomakkeesi on salattu oikein, ja mitä teet, jos HTTPS ei toimi.
Mikä HTTPS on ja miten se salaa dataa?
HTTPS on HTTP:n (Hypertext Transfer Protocol) turvallinen versio. "S" tulee sanasta Secure. HTTPS käyttää SSL/TLS:ää (Secure Sockets Layer / Transport Layer Security) salatakseen kaiken kävijän ja palvelimesi välillä lähetettävän datan.
Näin tapahtuu, kun kävijä lähettää lomakkeen HTTPS:n yli:
- Kävijä täyttää ja lähettää lomakkeen. Hänen selaimensa kerää datan.
- Selain muodostaa salatun yhteyden. Se ottaa yhteyden palvelimeesi ja tarkistaa SSL-sertifikaatin (lisää tästä alla).
- Molemmat osapuolet sopivat salausasetuksista. Ne neuvottelevat vahvimman salauksen, jota molemmat tukevat.
- Kaikki data salataan ennen lähettämistä. Lomakedata sekoitetaan neuvotellulla salauksella.
- Palvelimesi vastaanottaa salatun datan. Se käyttää yksityistä avaintaan datan purkamiseen, jotta se voidaan lukea.
Verkossa salakuuntelevalle data näyttää satunnaisilta merkeiltä. He eivät voi lukea sitä ilman salausavainta, joka on vain palvelimellasi.
Ero SSL:n ja TLS:n välillä
SSL (Secure Sockets Layer) ja TLS (Transport Layer Security) ovat toisiinsa liittyviä tekniikoita, jotka tekevät saman työn. SSL oli alkuperäinen standardi, joka julkaistiin ensimmäisen kerran 1995. TLS on moderni, parannettu versio, joka korvasi sen.
- SSL 3.0: SSL:n viimeinen versio, julkaistu 1996. Vanhentunut eikä enää turvallinen.
- TLS 1.0: TLS:n ensimmäinen versio, julkaistu 1999. Toimii yhä, mutta vanhempi.
- TLS 1.2: Julkaistu 2008. Yhä laajasti käytössä ja katsotaan turvalliseksi.
- TLS 1.3: Julkaistu 2018. Nykyinen standardi, nopeampi ja turvallisempi.
Nykyaikaiset selaimet ja palvelimet käyttävät TLS 1.2:ta tai TLS 1.3:a. Kun ihmiset puhuvat "SSL-sertifikaatista", he tarkoittavat yleensä TLS-salaukseen käytettävää sertifikaattia. Termejä käytetään usein vaihdellen, mutta TLS on tekniikka, jota oikeasti käytetään nykyään.
Mikä SSL-sertifikaatti on?
SSL-sertifikaatti on digitaalinen tiedosto, jota verkkopalvelimesi käyttää todistaakseen identiteettinsä ja muodostaakseen salatun yhteyden. Siinä on:
- Verkkotunnuksesi: Mille verkkotunnukselle sertifikaatti on voimassa (www.example.com)
- Organisaatiosi tiedot: Yrityksen nimi, osoite ja niin edelleen
- Julkinen avain: Kävijöiden selaimet käyttävät sitä datan salaamiseen
- Digitaalinen allekirjoitus: Todiste siitä, että luotettava taho on varmentanut sertifikaatin
- Vanhenemispäivä: Milloin sertifikaatti vanhenee ja se täytyy uusia
Sertifikaatti on kuin digitaalinen henkilökortti, joka todistaa palvelimesi olevan aito.
Miten SSL-sertifikaatit varmennetaan
Kun kävijä vierailee HTTPS-sivustollasi, hänen selaimensa tarkistaa SSL-sertifikaattisi varmistaakseen, että se on aito:
- Palvelimesi lähettää sertifikaattinsa. Selain vastaanottaa sen.
- Selain tarkistaa digitaalisen allekirjoituksen. Onko tämän sertifikaatin allekirjoittanut luotettava sertifikaattiviranomainen?
- Selain varmistaa verkkotunnuksen. Vastaako sertifikaatti verkkotunnusta, jolla kävijä vierailee?
- Selain tarkistaa vanhenemispäivän. Onko sertifikaatti yhä voimassa?
Jos jokin näistä tarkistuksista epäonnistuu, selain näyttää varoituksen. Jos kaikki menee läpi, selain näyttää lukkokuvakkeen (tai turvallisuusmerkin), joka kertoo kävijälle, että yhteys on salattu ja sivusto on aito.
SSL-sertifikaattien tyypit
Verkkotunnuksen varmentavat (DV) sertifikaatit
Perussertifikaatti. Sertifikaattiviranomainen varmistaa, että omistat verkkotunnuksen, mutta ei varmista organisaatiotasi. Edullisin vaihtoehto. Sopii useimmille lomakkeille.
Organisaation varmentavat (OV) sertifikaatit
Viranomainen varmistaa sekä verkkotunnuksen että organisaatiosi tiedot. Kalliimpi kuin DV, antaa enemmän luottamusta. Selain näyttää organisaatiosi nimen sertifikaatin tiedoissa.
Laajennetun varmennuksen (EV) sertifikaatit
Viranomainen tekee laajan varmennuksen, johon kuuluu oikeudellisia tarkistuksia. Kallein. Näyttää organisaation nimen suoraan selaimen osoitepalkissa. Käytetään lähinnä rahoituslaitoksissa ja korkean tietoturvan sivustoilla.
Wildcard-sertifikaatit
Voimassa verkkotunnukselle ja kaikille sen aliverkkotunnuksille (esim. wildcard-sertifikaatti *.example.com kattaa mail.example.com, blog.example.com ja niin edelleen). Hyödyllinen, jos sinulla on monta lomakkeellista aliverkkotunnusta.
Monen verkkotunnuksen (SAN) sertifikaatit
Voimassa useille eri verkkotunnuksille yhdellä sertifikaatilla. Hyödyllinen, jos ylläpidät useita lomakkeellisia verkkosivustoja.
SSL-sertifikaatin hankkiminen
Sertifikaattiviranomaiset
Ostat sertifikaatit sertifikaattiviranomaisilta (CA), kuten:
- Pitkään toimineet kaupalliset sertifikaattiviranomaiset
- Verkkotunnusrekisterit, jotka jälleenmyyvät sertifikaatteja
- Suuret kansainväliset sertifikaattiyhtiöt
- Ilmainen, laajasti käytetty sertifikaattiviranomainen
Hinnat vaihtelevat ilmaisesta satoihin dollareihin vuodessa (EV-sertifikaatit).
Web-hotellisi kautta
Useimmat nykyaikaiset web-hotellit (myös WEMASY) sisältävät SSL-sertifikaatit automaattisesti. Sinun ei tarvitse ostaa tai hallita niitä erikseen. Ne hoitavat uusimisen automaattisesti.
Asennus ja uusiminen
SSL-sertifikaatit vanhenevat ja ne täytyy uusia. Useimmat web-hotellit hoitavat tämän automaattisesti. Tarkista sertifikaattisi vanhenemispäivä silloin tällöin varmistaaksesi, että se on yhä voimassa. Jos se vanhenee, sivustosi näyttää tietoturvavaroituksen ja kävijät eivät välttämättä luota siihen.
Sen varmistaminen, että lomakkeesi on salattu oikein
Tarkista URL-osoite
Lomakesivusi pitäisi käyttää HTTPS:ää, ei HTTP:tä. Tarkista osoitepalkki.
HYVÄ: https://www.example.com/contact
HUONO: http://www.example.com/contact
Etsi turvallisuusmerkki
Nykyaikaisissa selaimissa suojattu HTTPS-yhteys näyttää lukkokuvakkeen tai "Secure"-tekstin osoitepalkissa. Napsauta sitä nähdäksesi sertifikaatin tiedot.
Tarkista sertifikaatin voimassaolo
Napsauta lukkoa ja katso sertifikaattia. Katso:
- Onko se voimassa verkkotunnuksellesi?
- Onko se vanhentunut?
- Kuka sen myönsi (sertifikaattiviranomainen)?
Käytä verkossa toimivaa SSL-tarkistustyökalua
Verkossa olevilla SSL-tarkistustyökaluilla voit syöttää verkkotunnuksesi ja saada yksityiskohtaisen raportin SSL-määrityksestäsi. Se tarkistaa, käytätkö uusimpia salausstandardeja, ja tunnistaa mahdolliset heikkoudet.
Yleisiä HTTPS- ja SSL-ongelmia
Sekasisältövaroitus
Lomakesivusi on HTTPS, mutta jotkin resurssit (kuvat, skriptit, tyylitiedostot) ladataan HTTP:n yli. Selaimet varoittavat kävijöitä siitä, ettei sivu ole täysin turvallinen. Korjaa tämä tekemällä kaikista resursseista HTTPS.
Sertifikaatin ja osoitteen ristiriita
Sertifikaatti on osoitteelle www.example.com, mutta kävijä on osoitteessa example.com (ilman www) tai päinvastoin. Selaimet näyttävät tietoturvavaroituksen. Korjaa tämä wildcard-sertifikaatilla tai ohjaamalla toinen versio toiseen.
Vanhentunut sertifikaatti
Sertifikaattisi vanheni ja se täytyy uusia. Selaimet näyttävät selvän tietoturvavaroituksen. Kävijät eivät välttämättä luota lomakkeeseesi. Uusi sertifikaatti heti.
Itse allekirjoitettu sertifikaatti
Palvelimesi käyttää itse luomaasi sertifikaattia luotetun viranomaisen sijaan. Selaimet eivät luota siihen ja näyttävät varoituksen. Älä koskaan käytä itse allekirjoitettuja sertifikaatteja julkisissa lomakkeissa. Osta tai käytä tunnetun viranomaisen sertifikaattia.
HTTPS ei ole vain lomakkeita varten
Jokaisen verkkosivustosi sivun pitäisi käyttää HTTPS:ää, ei vain lomakesivujen. Tämä suojaa kaikkea kävijädataa ja kertoo Googlelle, että sivustosi on turvallinen. Ohjaa kaikki HTTP-liikenne HTTPS:ään, jotta kävijät ovat aina suojattuja.
Mitä WEMASY tekee SSL/TLS-salauksen eteen
Jokainen WEMASY-verkkosivusto ja jokainen WEMASYllä rakennettu lomake käyttää oletuksena HTTPS:ää. Lomakkeesi toimivat suojatuilla yhteyksillä automaattisesti. WEMASY hallitsee SSL-sertifikaatit puolestasi, myös automaattisen uusimisen. Sinun ei koskaan tarvitse ostaa, asentaa tai hallita sertifikaatteja. Salaus on sisäänrakennettu ja aina käytössä.
Lue lisää tietoturva-asetuksistasi tilisi asetuksista tai hinnastosivulta.