Selaimen osoiterivillä näkyvä lukko on yksi verkon tunnetuimmista symboleista. SSL-varmenne tuo sen sinne, ja sen todellinen tehtävä ulottuu pidemmälle kuin useimmat kävijät tajuavat. Se ratkaisee, kulkeeko sivustosi kautta lähetetty data salattuna vai selkokielisenä, jonka voi lukea kuka tahansa yhteyden siepannut. SSL:n toiminnan ja sen rajojen ymmärtäminen muuttaa tapaasi suojata kävijöitäsi.
SSL on taustalla oleva teknologia, joka tekee HTTPS:n mahdolliseksi. Kun kävijän selain yhdistää verkkosivustoon, jolla on voimassa oleva SSL-varmenne, se muodostaa salatun yhteyden ennen kuin mitään dataa vaihdetaan. Lukkokuvake, HTTPS-etuliite osoiterivillä ja selaimen "Ei suojattu" -varoituksen puuttuminen syntyvät kaikki siitä, että varmenne on olemassa ja voimassa. Taustaa siitä, miksi tietoturva on tärkeää koko verkkosivustollasi, löydät artikkelista miksi verkkosivuston tietoturva on tärkeää.
Mitä SSL-varmenne oikeasti tekee?
SSL-varmenne hoitaa kaksi erillistä tehtävää samaan aikaan. Se salaa siirrettävän datan ja todentaa verkkosivuston identiteetin.
Salaus
- Salaus tarkoittaa, että kaikki selaimen ja palvelimen välillä lähetettävä data sekoitetaan lukukelvottomaan muotoon siirron aikana
- Vain aiottu vastaanottaja, joko selain tai palvelin, pitää hallussaan avainta, jolla se puretaan
- Ilman salausta lomakelähetykset, kirjautumistunnukset ja maksutiedot kulkevat verkoissa selkotekstinä, joka voidaan lukea, jos se siepataan
Todennus
- SSL-varmenteen myöntää varmenteen myöntäjä, riippumaton organisaatio, joka varmistaa verkkosivuston identiteetin ennen varmenteen myöntämistä
- Tämä varmennusprosessi vahvistaa, että varmenteen kattamaa verkkotunnusta hallitsee organisaatio, joka väittää omistavansa sen
- Kun selain tarkistaa varmenteen, se vahvistaa sekä sen, että yhteys on salattu, että sen, että sivusto on se, joka se väittää olevansa, eikä esiintyjä
Miten SSL-salaus toimii?
Salausprosessi tapahtuu automaattisesti ja näkymättömästi sillä hetkellä, kun selain yhdistää verkkosivustoon. Siihen kuuluu vaiheiden sarja, jota kutsutaan TLS-kättelyksi. TLS eli Transport Layer Security on alun perin SSL:ksi kutsutun protokollan nykyaikainen nimi.
Yhteyden muodostamisen vaiheet
- Selain pyytää suojattua yhteyttä, ja palvelin vastaa lähettämällä SSL-varmenteensa
- Selain varmistaa varmenteen sen myöntäneeltä varmenteen myöntäjältä ja vahvistaa, että se on voimassa eikä ole vanhentunut
- Molemmat osapuolet sopivat salaustavasta ja vaihtavat avaimet, jolloin muodostuu suojattu kanava
- Kaikki tämän jälkeen siirrettävä data salataan istunnon ajan
Mitä salaus suojaa
- Yhteydenottolomakkeen tiedot, mukaan lukien nimet, sähköpostiosoitteet ja viestit
- Kirjautumistunnukset, mukaan lukien käyttäjätunnukset ja salasanat
- Maksukorttitiedot ja laskutustiedot
- Kaikki muu syöte, jonka kävijä lähettää verkkosivustosi kautta
Mitä SSL ei suojaa
- SSL salaa siirrettävän datan. Se ei suojaa dataa, joka on tallennettu palvelimelle turvattomasti vastaanoton jälkeen
- Verkkosivusto, jolla on SSL-varmenne, voidaan silti murtaa, jos itse palvelimessa on tietoturva-aukkoja
- SSL on yksi verkkosivuston tietoturvan kerros, ei kokonainen ratkaisu yksinään
Minkälaisia SSL-varmenteita on?
SSL-varmenteet vaihtelevat sen mukaan, kuinka perusteellisen identiteetin varmennuksen varmenteen myöntäjä tekee ennen niiden myöntämistä.
Verkkotunnuksen vahvistus
- Varmenteen myöntäjä vahvistaa vain, että hakija hallitsee verkkotunnusta
- Prosessi on automaattinen ja varmenteet myönnetään nopeasti
- Verkkotunnuksen vahvistavat varmenteet riittävät blogeille, tiedotussivustoille ja useimmille verkkosivustoille, jotka eivät käsittele maksuja suoraan sivustolla
Organisaation vahvistus
- Varmenteen myöntäjä varmistaa sekä verkkotunnuksen että varmennetta hakevan organisaation oikeudellisen olemassaolon
- Organisaation vahvistavia varmenteita käyttävät yleisemmin yritykset, jotka haluavat näyttää varmennetut organisaatiotiedot varmenteen rinnalla
Laajennettu vahvistus
- Laajennetun vahvistuksen varmenteisiin liittyy perusteellisin identiteetin varmennusprosessi, mukaan lukien organisaation oikeudelliset, fyysiset ja toiminnalliset tarkistukset
- Ne yhdistettiin aiemmin selainten vihreään osoiteriviin, vaikka tämä visuaalinen ero on poistettu nykyaikaisista selaimista
- Laajennetun vahvistuksen varmenteita käyttävät tyypillisesti rahoituslaitokset ja suuret verkkokauppa-alustat
Wildcard- ja monen verkkotunnuksen varmenteet
- Wildcard-varmenne kattaa verkkotunnuksen ja kaikki sen aliverkkotunnukset yhdellä varmenteella
- Monen verkkotunnuksen varmenne kattaa useita erillisiä verkkotunnuksia yhdellä varmenteella
- Nämä ovat käytännöllisiä organisaatioille, jotka hallinnoivat useita sivustoja tai aliverkkotunnuksia ilman erillisen varmenteen hankkimista jokaiselle
Tarvitseeko jokainen verkkosivusto SSL-varmenteen?
Kyllä. HTTPS:n tarve ei rajoitu verkkosivustoihin, jotka ottavat vastaan maksuja tai käsittelevät arkaluonteista dataa. Se koskee jokaista julkisesti avattavaa verkkosivustoa kolmesta syystä.
Selainvaroitukset
- Selaimet näyttävät osoiterivillä "Ei suojattu" -merkinnän jokaiselle HTTP:n kautta tarjotulle verkkosivustolle
- Lomakkeita sisältävillä sivuilla jotkin selaimet näyttävät selkeän varoituksen ennen kuin kävijä lähettää mitään
- Nämä varoitukset heikentävät luottamusta ja karkottavat kävijöitä sivun käytöstä
Hakusijoitukset
- HTTPS on vahvistettu sijoitussignaali. HTTPS:n kautta tarjotuilla sivustoilla on sijoitusetu vastaaviin HTTP:n kautta tarjottuihin sivuihin nähden
- Hakukoneet myös laskevat tuloksissa niiden sivustojen näkyvyyttä, joilla on aktiivisia tietoturvavaroituksia
Kävijädatan suojaus
- Jopa verkkosivusto, jolla on vain yhteydenottolomake, kerää kävijädataa. Ilman HTTPS:ää tämä data siirretään salaamattomana
- Monilla alueilla tietosuojasäännökset edellyttävät henkilötietojen turvallista käsittelyä, mihin kuuluu niiden suojaaminen siirron aikana
Miten SSL-varmenne hankitaan?
Palveluntarjoajasi kautta
- Monet verkkosivustojen palvelinpaikan tarjoajat sisällyttävät SSL-varmenteet palvelinpakettiinsa
- Näissä tapauksissa varmenne asennetaan ja uusitaan automaattisesti ilman, että sivuston omistajan tarvitsee tehdä mitään
- Tämä on yksinkertaisin vaihtoehto useimmille verkkosivustoille
Varmenteen myöntäjän kautta
- SSL-varmenteita voi hankkia suoraan varmenteen myöntäjiltä ja asentaa palvelimelle käsin
- Ilmaisia varmenteita on saatavilla laajasti luotetuilta varmenteen myöntäjiltä, ja ne uusitaan automaattisesti vahvistustyökalujen avulla
- Tämä vaihtoehto vaatii enemmän teknistä osaamista ja on yleisempi kehitystiimeille, jotka hallinnoivat omia palvelimiaan
Varmenteen hankkimisen jälkeen
- Kun varmenne on asennettu, kaikkien sivuston sisäisten linkkien ja resurssiviitteiden pitäisi osoittaa HTTPS-osoitteisiin sekasisältövaroitusten välttämiseksi
- HTTP:stä HTTPS:ään pitää määrittää uudelleenohjaus, jotta HTTP-versioon saapuvat kävijät ohjataan automaattisesti suojattuun versioon
Täydellisen selityksen siitä, mitä HTTPS tarkoittaa ja miten se vaikuttaa kävijöihisi ja sijoituksiisi, löydät artikkelista mikä HTTPS on ja miten se suojaa verkkosivustoasi. Täydellisen oppaan verkkosivustosi suojaamiseen varmenteen lisäksi löydät artikkelista miten suojaat verkkosivustosi hakkereilta. Verkkosivuston varmuuskopioista täydentävänä suojatoimena kerrotaan artikkelissa miten varmuuskopioit verkkosivustosi.
Miten WEMASY hoitaa SSL-varmenteet
SSL-varmenteet kuuluvat jokaiseen WEMASY-pakettiin. Kun verkkosivusto luodaan WEMASY-alustalla, varmenne asennetaan ja aktivoidaan automaattisesti. Kaikki sivut tarjotaan oletuksena HTTPS:n kautta ilman, että sivuston omistajan tarvitsee tehdä mitään asetuksia.
Varmenteet uusitaan automaattisesti ennen vanhenemista. Käsin tehtävää uusimista ei ole, eikä ole riskiä siitä, että varmenne raukeaa ja laukaisee selainvaroituksia. Taustalla oleva SSL-infrastruktuuri ylläpidetään alustatasolla, joten sivustojen omistajien ei tarvitse hallinnoida sitä itse.
Katso, mitä kuuluu mukaan, WEMASY-sivustonrakentajasta tai tutustu pakettivaihtoihin hinnoittelusivulla.
Usein kysytyt kysymykset
Mikä on SSL-varmenne?
SSL-varmenne on digitaalinen tiedosto, joka asennetaan verkkopalvelimelle ja joka mahdollistaa salatut yhteydet palvelimen ja kävijöiden selainten välillä. Sen ansiosta verkkosivusto voi käyttää HTTPS:ää HTTP:n sijaan. Kun kävijän selain varmistaa voimassa olevan SSL-varmenteen, se muodostaa salatun kanavan, jolloin istunnon aikana siirrettävää dataa ei voi lukea, vaikka se siepattaisiin matkalla. WEMASY-sivustonrakentajalla voit ottaa tämän käyttöön suoraan omalla verkkosivustollasi.
Tarvitsenko SSL-varmenteen verkkosivustolleni?
Kyllä. Jokainen julkisesti avattava verkkosivusto tarvitsee SSL-varmenteen. Selaimet näyttävät "Ei suojattu" -varoituksen sivustoilla, joilla sitä ei ole, ja HTTPS on hakukoneille vahvistettu sijoitussignaali. Jopa verkkosivusto, joka kerää vain yhteydenottolomakkeiden lähetyksiä, siirtää kävijädataa, joka pitäisi suojata siirron aikana. Tarvittava SSL-varmenteen tyyppi riippuu sivuston tarkoituksesta, mutta jonkinlainen varmenne on tarpeen kaikille verkkosivustoille.
Mikä ero on SSL:llä ja TLS:llä?
TLS (Transport Layer Security) on SSL (Secure Sockets Layer) -protokollan nykyaikainen, päivitetty versio. SSL:ää ei ole käytetty aktiivisesti yli kahteen vuosikymmeneen, mutta termiä käytetään edelleen laajasti epävirallisesti viittaamaan teknologiaan, joka suojaa verkkoyhteydet. Kun joku sanoo "SSL-varmenne", hän tarkoittaa lähes aina TLS:ää käyttävää varmennetta. Salauksesta huolehtiva taustaprotokolla on päivitetty, mutta varmenteiden käyttötapa ei ole muuttunut merkittävästi.
Mitä tapahtuu, jos SSL-varmenteeni vanhenee?
Kun SSL-varmenne vanhenee, selaimet näyttävät heti koko sivun kokoisen varoituksen kävijöille, jotka yrittävät avata sivuston. Varoituksessa lukee, että yhteys ei ole yksityinen, ja se saa kävijät luopumaan jatkamisesta. Sivusto muuttuu käytännössä saavuttamattomaksi jokaiselle, joka näkee varoituksen eikä päätä ohittaa sitä. Hakukoneet voivat myös laskea sivuston näkyvyyttä. Varmenteet pitää uusia ennen vanhenemista, minkä useimmat palvelinpaikan tarjoajat ja varmenteiden hallintajärjestelmät hoitavat automaattisesti.
Vaikuttaako SSL-varmenne verkkosivuston suorituskykyyn?
TLS-kättely, joka muodostaa salatun yhteyden, lisää pienen määrän aikaa alkuyhteyteen. Nykyaikaisilla palvelimilla ja verkoissa tämä lisäaika mitataan tyypillisesti millisekunteina, eivätkä kävijät huomaa sitä. HTTP/2, jota tuetaan laajasti ja joka vaatii HTTPS:n, voi parantaa latausnopeutta HTTP/1.1:een verrattuna, joten käytännössä hyvin määritetty HTTPS-sivusto latautuu usein nopeammin kuin HTTP-vastineensa.
Onko ilmainen SSL-varmenne yhtä hyvä kuin maksullinen?
Salauksen kannalta ilmainen verkkotunnuksen vahvistava varmenne tarjoaa saman salaustason kuin maksullinen varmenne samalla vahvistustasolla. Lukkokuvake ja HTTPS-etuliite näkyvät selaimessa täysin samalla tavalla. Maksulliset varmenteet organisaation vahvistuksen tai laajennetun vahvistuksen tasolla tarjoavat lisäidentiteetin varmennuksen, mikä voi olla tärkeää rahoituslaitoksille tai suurille verkkokauppa-alustoille, joilla varmennetuilla organisaatiotiedoilla on merkitystä. Useimmille verkkosivustoille ilmainen varmenne riittää täysin.