Kysy keneltä tahansa, mikä SSL-varmenne on, ja saat kirjon vastauksia, aina "se juttu, joka saa HTTPS:n toimimaan" siihen, että "ei aavistustakaan, mutta tiedän, että sivustot tarvitsevat sellaisen". Molemmat ovat lähempänä totuutta kuin voisi luulla. SSL-varmenne on digitaalinen tunniste, joka salaa vierailijan selaimen ja verkkopalvelimen välisen yhteyden, ja se myönnetään nimenomaan verkkotunnukselle. Se vaikuttaa siihen, miltä sivustosi näyttää selaimissa, miten hakukoneet kohtelevat sitä ja luottavatko vierailijat siihen tarpeeksi jäädäkseen.
Mikä SSL-varmenne on?
SSL-varmenne on verkkopalvelimelle asennettu digitaalinen tiedosto, joka tekee kaksi asiaa. Ensiksi se salaa vierailijan selaimen ja palvelimesi välillä kulkevan datan, jolloin mitään lähetettyä tietoa, lomakelähetykset, kirjautumistiedot ja maksutiedot mukaan lukien, ei voi lukea kukaan, joka siepaa yhteyden. Toiseksi se varmistaa, että palvelin kuuluu verkkotunnukselle, jolle se väittää kuuluvansa, jotta vierailijat voivat luottaa päätyneensä oikealle sivustolle.
SSL tulee sanoista Secure Sockets Layer. Tekniikkaa on päivitetty vuosien varrella, ja nykyinen standardi on teknisesti nimeltään TLS (Transport Layer Security), mutta termi SSL on säilynyt yleisessä käytössä, ja useimmat ihmiset, myyjät ja web-hotellien tarjoajat kutsuvat näitä varmenteita yhä SSL-varmenteiksi taustalla olevasta versiosta riippumatta.
Kun varmenne on asennettu ja voimassa, selaimet näyttävät osoitepalkissa lukkokuvakkeen ja lataavat sivuston HTTPS-yhteydellä. Se "S" HTTP:n lopussa on se, minkä SSL mahdollistaa. Ilman varmennetta yhteys on salaamaton, osoite näyttää pelkän HTTP:n ja nykyaikaiset selaimet näyttävät vierailijoille "Ei suojattu" -varoituksen.
Mitä HTTPS tarkoittaa ja miten SSL saa sen toimimaan?
HTTP on protokolla, jota selaimet käyttävät verkkosivujen pyytämiseen ja vastaanottamiseen. HTTPS on sama protokolla salatulla kerroksella, jonka SSL-varmenne tarjoaa. Joka kerta, kun vierailija lataa sivun HTTPS:ää käyttävältä sivustolta, hänen selaimensa ja palvelin käyvät läpi nopean varmennusvaihdon. Tässä selain tarkistaa SSL-varmenteen, varmistaa sen olevan voimassa ja myönnetty oikealle verkkotunnukselle ja muodostaa salatun yhteyden. Sen jälkeen kaikki vierailijan ja palvelimen välinen data sekoitetaan siirron aikana.
Vierailijoille tämä tarkoittaa, että mitä tahansa he kirjoittavat lomakkeeseen, mitä tahansa sivuja he selaavat ja mitä tahansa dataa sivusto lähettää takaisin heidän selaimelleen, kolmas osapuoli ei voi lukea sitä tarkkaillessaan yhteyttä. Brändin omistajille se tarkoittaa, että sivuston ja sen vierailijoiden välinen viestintä on oletuksena yksityistä ja turvallista.
Lukkokuvake selaimen osoitepalkissa on näkyvä vahvistus siitä, että HTTPS on käytössä ja varmenne on voimassa. Vihreä tai harmaa lukko tarkoittaa, että yhteys on salattu ja varmenne on vahvistettu. Rikkoutunut lukko, yliviivattu lukko tai lukon puuttuminen kokonaan tarkoittaa, että yhteys on salaamaton tai varmenteessa on ongelma.
Miten SSL-varmenne liittyy verkkotunnukseesi?
SSL-varmenne myönnetään tietylle verkkotunnukselle. Kun varmenteenmyöntäjä, eli luotettu organisaatio, joka myöntää ja tarkistaa varmenteita, allekirjoittaa varmenteen, se sitoo sen yhteen tai useampaan verkkotunnukseen. Verkkotunnukselle yourbrand.com myönnetty varmenne kattaa juuri sen verkkotunnuksen. Se ei automaattisesti kata www-versiota, aliverkkotunnusvariaatioita tai mitään muuta verkkotunnusta, ellei niitä ole nimenomaisesti sisällytetty varmenteeseen.
Tämä on SSL:n suora yhteys verkkotunnukseesi. Varmennetta ei asenneta yleiselle palvelimelle. Se myönnetään nimenomaan sinun verkkotunnuksellesi, ja selain tarkistaa, että varmenteessa oleva verkkotunnus vastaa verkkotunnusta, jonne vierailija yrittää päästä. Jos ne eivät täsmää, selain näyttää tietoturvavaroituksen riippumatta siitä, onko itse varmenne voimassa.
Edellisessä luvussa verkkotunnuksen suojaamisesta kaappaukselta käsiteltiin rekisteröintiisi kohdistuvia tilitason uhkia. SSL toimii eri kerroksella ja suojaa sitä, mitä yhteydellä tapahtuu, eikä sitä, kuka hallitsee verkkotunnuksen rekisteröintiä. Sen ymmärtäminen, mikä verkkotunnus on ja miten se toimii sivustosi osoitteena, auttaa selkeyttämään tätä yhteyttä. Verkkotunnus on nimi, johon varmenne on sidottu, ja sekä nimen että varmenteen on oltava kunnossa, jotta suojattu yhteys toimii.
Myös verkkotunnuksesi ja sivustosi tiedostojen isännöintipaikan suhde on tässä olennainen. Koska varmenne asennetaan palvelimelle, jolla sivustosi sijaitsee, ja verkkotunnus osoittaa kyseiseen palvelimeen, näiden kahden on oltava linjassa. Luku verkkotunnus vai web-hotelli käsittelee, miten verkkotunnus ja web-hotellitili liittyvät toisiinsa, ja se on sama infrastruktuuri, joka saa SSL:n toimimaan käytännössä.
Mitä SSL-varmenteiden tyyppejä on?
SSL-varmenteita on kolmea pääasiallista validointitasoa. Ero niiden välillä on se, kuinka perusteellisesti varmenteenmyöntäjä varmentaa verkkotunnuksen takana olevan organisaation ennen varmenteen myöntämistä.
Domain Validation (DV)
Domain Validation -varmenne vahvistaa, että sen pyytäjä todella hallitsee verkkotunnusta. Varmenteenmyöntäjä tarkistaa, että hänellä on pääsy verkkotunnuksen DNS-tietueisiin tai siihen liittyvään sähköpostilaatikkoon. Organisaation henkilöllisyyttä tai oikeudellista olemassaoloa ei varmenneta. DV-varmenteet myönnetään nopeasti, usein automaattisesti, ja ne ovat yleisin tyyppi henkilökohtaisille sivustoille, blogeille ja pienten brändien verkkosivustoille. Lukko näkyy, yhteys on salattu ja vierailijat näkevät HTTPS:n. Useimmille sivustoille DV riittää.
Organization Validation (OV)
Organization Validation -varmenne sisältää pyytävän organisaation oikeudellisen olemassaolon ja yhteystietojen tarkistuksen. Varmenteenmyöntäjä tarkastelee julkisia rekistereitä vahvistaakseen, että organisaatio on todellinen ja että varmennetta pyytävällä henkilöllä on siihen valtuudet. OV-varmenteita käyttävät tyypillisesti vakiintuneet brändit ja organisaatiot, jotka haluavat varmenteeseensa liitetyn korkeamman varmennetun henkilöllisyyden tason.
Extended Validation (EV)
Extended Validation -varmenne sisältää perusteellisimman varmennusprosessin. Varmenteenmyöntäjä tarkistaa oikeudellisen rekisteröinnin, fyysisen osoitteen, onko organisaatio aktiivisesti toiminnassa ja onko hakijalla oikeus pyytää sitä. EV-varmenteet liitettiin historiallisesti vihreään osoitepalkkiin selaimissa, vaikka useimmat nykyaikaiset selaimet ovat luopuneet tämän visuaalisen eron näyttämisestä näkyvästi. Ne ovat yleisimpiä rahoituslaitoksilla ja verkkokauppa-alustoilla, joilla luottamus on ensisijainen huolenaihe.
Tyypilliselle brändisivustolle DV-varmenne kattaa tarpeesi. Salaus ja HTTPS-lukko ovat identtiset kaikilla kolmella tyypillä. Ero on siinä, kuinka paljon organisaation henkilöllisyyttä on varmennettu ja liitetty varmenteeseen.
Mitä sivustollesi tapahtuu ilman SSL-varmennetta?
Ilman SSL-varmennetta oleva sivusto latautuu pelkällä HTTP:llä. Vierailijoille näkyvin seuraus on selaimen varoitus. Chrome ja muut suuret selaimet näyttävät osoitepalkissa "Ei suojattu" -merkinnän jokaiselle sivustolle, joka ei käytä HTTPS:ää. Sivuilla, joilla on lomakkeita tai kirjautumiskenttiä, selaimet voivat näyttää näkyvämmän varoituksen, joka aktiivisesti estää vierailijoita syöttämästä mitään tietoja.
Tämän lähettämä luottamussignaali on merkittävä. Vierailijat, jotka näkevät "Ei suojattu" -merkinnän, poistuvat todennäköisemmin ennen kuin lukevat mitään. Sivustolla, joka pyytää vierailijoita ottamaan yhteyttä, rekisteröitymään johonkin tai tekemään ostoksen, SSL:n puuttuminen vaikuttaa suoraan siihen, kuinka moni heistä vie asian loppuun.
SEO-vaikutus on myös todellinen. Google on vahvistanut HTTPS:n sijoitussignaaliksi, mikä tarkoittaa, että SSL:llä varustetuilla sivustoilla on mitattavissa oleva etu hakutuloksissa vastaaviin ilman sitä oleviin sivustoihin nähden. Etu ei ole yksinään valtava, mutta yhdistettynä selainvaroitusten aiheuttamiin korkeampiin poistumisprosentteihin SSL:ttä oleva sivusto taistelee ylämäkeen usealla rintamalla. Tätä käsitellään tarkemmin alla olevassa osiossa.
Miten SSL vaikuttaa hakusijoituksiisi?
Google on käyttänyt HTTPS:ää sijoitussignaalina vuodesta 2014. Signaali itsessään antaa kohtalaisen sijoitusnoston, mutta SSL:n puuttumisen välilliset vaikutukset ovat usein merkittävämpiä kuin itse signaali. Sivusto, joka laukaisee selaimen tietoturvavaroituksia, saa korkeampia poistumisprosentteja, vähemmän aikaa sivustolla ja vähemmän konversioita. Kaikki nämä käyttäytymissignaalit vaikuttavat takaisin hakusuorituskykyyn ajan myötä.
Googlen indeksointirobotit myös suosivat sivujen HTTPS-versioiden indeksointia. Jos sivustosi toimii sekä HTTP:llä että HTTPS:llä ilman kunnollista määritystä, voit päätyä päällekkäisen sisällön ongelmiin, jakautuneisiin linkkisignaaleihin ja indeksointisekaannukseen. SSL:n asennus ja oikea määritys HTTP:stä HTTPS:ään ohjaavalla uudelleenohjauksella pitää kaikki nämä signaalit koottuna sivustosi yhteen versioon.
Puhtaan käytännön näkökulmasta HTTPS on nykyään perusodotus jokaiselle sivustolle, joka haluaa sijoittua ja tulla otetuksi vakavasti vierailijoiden silmissä. Se ei ole niinkään kilpailuetu vaan sisäänpääsymaksu.
Miten hankit SSL-varmenteen?
SSL-varmenteen saa verkkotunnukselle kolmella pääasiallisella tavalla, ja oikea vaihtoehto riippuu siitä, missä sivustosi on isännöity ja millainen web-hotelliratkaisusi on.
Web-hotellin tarjoajan tai verkkosivualustan kautta
Jos sivustosi on isännöity alustalla tai web-hotellin tarjoajalla, suoraviivaisin tapa on heidän kauttaan. Monet web-hotellit ja verkkosivualustat sisällyttävät SSL:n tarjontaansa ja hoitavat asennuksen automaattisesti. Kun liität verkkotunnuksesi web-hotellitiliisi, varmenne myönnetään ja määritetään ilman, että sinun tarvitsee tehdä mitään käsin. Tämä on tapa, joka aiheuttaa vähiten kitkaa ja vähiten määritysvirheitä.
Verkkotunnusmyyjäsi kautta
Jotkin verkkotunnusten myyjät tarjoavat SSL-varmenteita lisäpalveluna verkkotunnuksen rekisteröintiin. Ostat varmenteen samasta hallintapaneelista, jossa verkkotunnuksesi on rekisteröity, ja asennat sen palvelimellesi tai noudatat myyjän antamia ohjeita. Prosessi on käytännönläheisempi kuin SSL:n hankkiminen web-hotellilta, joka automatisoi sen, mutta se on suoraviivainen vaihtoehto ihmisille, jotka hallinnoivat omaa palvelintaan. Luku verkkotunnuksen rekisteröinnistä on hyödyllinen viite sen ymmärtämiseen, mitä myyjät tyypillisesti tarjoavat rekisteröinnin rinnalla.
Ilmainen SSL avoimen varmenteenmyöntäjän kautta
Avoin varmenteenmyöntäjä on ilmainen, automatisoitu varmenteenmyöntäjä, joka myöntää DV-varmenteita ilman kustannuksia. Se luotiin tekemään SSL saavutettavaksi jokaiselle internetin sivustolle, ja siinä on onnistuttu. Suurin osa web-hotelleista tukee sitä joko natiivisti tai integraatioiden kautta, ja monet määrittävät sen automaattisesti, kun liität verkkotunnuksen. Varmenteet uusitaan automaattisesti 90 päivän välein, mikä poistaa riskin siitä, että varmenne vanhenee ja aiheuttaa selainvaroituksia.
Milloin käyttää ilmaista SSL-varmennetta ja milloin maksullista?
Useimmille brändisivustoille ilmainen avoimen varmenteenmyöntäjän varmenne kattaa kaiken tarvittavan. Salaus on identtinen maksullisten varmenteiden kanssa. Lukko näkyy. HTTPS-protokolla toimii. Vierailijat näkevät suojatun sivuston. Jos web-hotellisi tukee avointa varmenteenmyöntäjää ja määrittää sen automaattisesti, ei ole syytä maksaa varmenteesta saadakseen saman DV-tason suojan.
Maksulliset varmenteet ovat järkeviä tietyissä tilanteissa. Jos tarvitset OV- tai EV-varmenteen organisaation varmentamiseen, se vaatii maksullisen varmenteen, koska avoin varmenteenmyöntäjä myöntää vain DV-varmenteita. Jos hallinnoit suuren mittakaavan verkkokauppasivustoa, rahoituspalvelua tai mitä tahansa alustaa, jossa sivuston takana olevan organisaation henkilöllisyys on merkittävä luottamustekijä käyttäjille, OV:n tai EV:n mukanaan tuoma lisävarmennus on kustannuksen arvoinen.
Maksullisiin varmenteisiin kuuluu usein myös ominaisuuksia, kuten takuu, eli taloudellinen takuu epätodennäköisen varmennevirheen aiheuttaman tietoturvaongelman varalta, ja yksityiskohtaisempi asiakastuki. Pienelle brändisivustolle tai sisältöpainotteiselle verkkosivustolle nämä lisät tuovat harvoin käytännön arvoa. Sivustolle, joka käsittelee suuria tapahtumamääriä, takuu ja tukeen pääsy voivat olla olennaisia.
SSL-varmenteen uusinta ja mitä tapahtuu, kun varmenne vanhenee
SSL-varmenteilla on eräpäivä. Tavalliset varmenteet ovat voimassa enintään 13 kuukautta (noin 397 päivää). Kun varmenne vanhenee, selaimet näyttävät välittömästi tietoturvavaroituksia jokaiselle vierailijalle riippumatta siitä, miltä sivusto näytti edellisenä päivänä. Lukko katoaa, "Ei suojattu" -merkintä ilmestyy ja vierailijat näkevät näkyviä virhesivuja, jotka varoittavat sivuston varmenteen vanhentuneen.
Tämä on nopea tapa menettää vierailijoiden luottamus ja orgaaninen liikenne. Varmenteen vanhenemisvaroitukset tunnistavat myös valvontatyökalut, ja ne voivat laukaista ilmoituksia Search Consolesta tai käyttöaikaseurantapalveluista, jos olet määrittänyt ne.
Käytännön ratkaisu on sama kuin verkkotunnuksen vanhenemisessa. Automatisoi uusinta. Avoimen varmenteenmyöntäjän varmenteet uusiutuvat automaattisesti 90 päivän välein, jos web-hotelli on määrittänyt uusintaprosessin oikein. Monet maksullisten varmenteiden tarjoajat tarjoavat myös automaattista uusintaa. Jos hallinnoit omaa varmennettasi, aseta kalenterimuistutus hyvissä ajoin ennen eräpäivää, jotta ehdit uusia ja asentaa uudelleen ilman katkoa kattavuudessa.
Mikä on wildcard-SSL-varmenne?
Tavallinen SSL-varmenne kattaa tietyn verkkotunnuksen ja valinnaisesti www-version. Wildcard-varmenne kattaa juuriverkkotunnuksen ja kaikki sen aliverkkotunnukset kerralla. Verkkotunnuksen yourbrand.com wildcard-varmenne kattaisi myös osoitteet shop.yourbrand.com, blog.yourbrand.com, app.yourbrand.com ja kaikki muut luomasi aliverkkotunnukset ilman, että jokaiselle tarvitaan erillistä varmennetta.
Wildcard-varmenteet ovat hyödyllisiä brändeille, jotka ajavat useita palveluja tai sivuston osioita eri aliverkkotunnuksilla. Luku oma verkkotunnus vai aliverkkotunnus käsittelee, milloin aliverkkotunnukset ovat järkeviä ja miten ne liittyvät pääverkkotunnukseesi, mikä on yhteys, jossa wildcard-varmenteet tulevat olennaisiksi.
Suoraviivaiselle brändisivustolle, joka toimii yhdellä verkkotunnuksella ja www-versiolla, tavallinen varmenne riittää. Wildcard on käytännöllinen askel ylöspäin, kun verkkotunnusrakenteeseesi kuuluu useita aktiivisia aliverkkotunnuksia.
Näin WEMASY hoitaa SSL:n
WEMASY sisältää SSL:n kaikille alustalla isännöidyille sivustoille. Kun liität verkkotunnuksen WEMASY-sivustoosi, SSL-varmenne myönnetään ja määritetään automaattisesti. HTTPS-uudelleenohjaus on oletuksena käytössä, joten verkkotunnus aukeaa turvallisesti ilman manuaalista määritystä. Varmenteen uusinta hoidetaan alustan puolella, joten ei ole eräpäivää seurattavaksi eikä uusintaprosessia hallittavaksi.
WEMASYn kautta rekisteröidyille tai liitetyille verkkotunnuksille varmenne kattaa määrittämäsi verkkotunnuksen. Näet, mitä kukin paketti sisältää, sivulla WEMASYn hinnoittelu.
Usein kysytyt kysymykset
Suojaako SSL-varmenne sivustoni hakkeroinnilta?
SSL-varmenne salaa vierailijan selaimen ja palvelimesi välillä kulkevan datan. Se ei suojaa sivustosi tiedostoja, tietokantaa tai koodia luvattomalta pääsyltä. Sivustolla voi olla voimassa oleva SSL-varmenne ja silti se voi olla haavoittuva hyökkäyksille, jotka kohdistuvat palvelimeen, sisällönhallintajärjestelmään tai itse sovellukseen. SSL vastaa yhteen tiettyyn riskiin, datan siepaamiseen siirron aikana, eikä mihinkään sen ulkopuoliseen. Alustasi ja ohjelmistojesi pitäminen ajan tasalla vastaa laajempaan sivuston tietoturvan luokkaan. WEMASYn sivustonrakentajalla voit määrittää tämän suoraan sivustollasi.
Voiko SSL olla käytössä yhdellä sivulla mutta ei muilla?
Ei. SSL-varmenne koskee koko verkkotunnusta, ei yksittäisiä sivuja. Kun HTTPS on määritetty ja HTTP-pyynnöt ohjataan HTTPS:ään, jokainen verkkotunnuksen sivu latautuu suojatulla yhteydellä. Salausta ei voi ottaa käyttöön valikoivasti vain tietyillä saman verkkotunnuksen sivuilla. Jotkin sivustot lataavat sekasisältöä, eli HTTPS-sivuja, joiden resurssit, kuten kuvat tai skriptit, latautuvat yhä pelkällä HTTP:llä, mutta se on määritysongelma, ei tarkoituksellinen ratkaisu. Selaimet merkitsevät sen tietoturvaongelmaksi.
Rikkoutuvatko nykyiset linkkini, jos vaihdan HTTP:stä HTTPS:ään?
URL-osoitteidesi HTTP-versioon osoittavat ulkoiset linkit toimivat edelleen, jos määrität asianmukaisen 301-uudelleenohjauksen HTTP:stä HTTPS:ään. 301-uudelleenohjaus lähettää vierailijat ja hakukoneet automaattisesti vanhasta HTTP-osoitteesta HTTPS-versioon säilyttäen suurimman osan linkkiarvosta. Ilman uudelleenohjausta HTTP-linkit johtavat sivustosi salaamattomaan versioon tai virheeseen palvelimesi määrityksestä riippuen. Uudelleenohjauksen oikea määritys on vakiovaihe jokaisessa SSL-asennuksessa.
Tarvitsenko erillisen SSL-varmenteen jokaiselle omistamalleni verkkotunnuspäätteelle?
Kyllä. SSL-varmenne myönnetään tietylle verkkotunnukselle. Jos omistat verkkotunnukset yourbrand.com ja yourbrand.net erillisinä rekisteröinteinä, kumpikin tarvitsee oman varmenteensa. Verkkotunnuksen yourbrand.com varmenne ei koske verkkotunnusta yourbrand.net. Verkkotunnuspääte on osa sitä, mitä varmenne kattaa. Luku verkkotunnuspäätteestä selittää, miten TLD:t toimivat erillisinä tunnisteina, mikä auttaa ymmärtämään, miksi jokainen verkkotunnus tarvitsee oman varmenteensa.
Mikä ero on SSL:llä ja verkkotunnuksen yksityisyyssuojalla?
Nämä ovat kaksi erillistä asiaa, jotka vastaavat eri huoliin. SSL salaa vierailijan selaimen ja palvelimesi välisen yhteyden suojaten datan siirron aikana. Verkkotunnuksen yksityisyyssuoja (WHOIS-yksityisyys) piilottaa verkkotunnuksen rekisteröijän henkilökohtaiset yhteystiedot julkisesta WHOIS-tietokannasta, jolloin nimesi ja osoitteesi eivät näy kenellekään, joka hakee verkkotunnuksen tiedot. Toinen suojaa vierailijoiden dataa selauksen aikana, toinen rekisteröijän henkilötietoja julkiselta haulta. Molemmat kannattaa ottaa käyttöön, mutta ne palvelevat täysin eri tarkoituksia.
SSL-varmenteeni näkyy voimassa olevana, mutta vierailijat näkevät silti tietoturvavaroituksen. Mistä se johtuu?
Yleisin syy on sekasisältö. Se tapahtuu, kun HTTPS-sivu lataa yhden tai useamman resurssin HTTP:llä, kuten kuvan, skriptin tai tyylitiedoston, joka on isännöity suojaamattomassa URL-osoitteessa. Selain merkitsee sivun turvattomaksi, koska kaikki sen sisältö ei ole salattua. Tarkista sivustosi lähdekoodista kaikki linkit tai upotetut resurssit, jotka alkavat osoitteella "http://" eikä "https://", ja päivitä ne suojattuihin versioihin. Useimmat selainten kehittäjätyökalut tunnistavat sekasisällön lähteet suoraan.
Seuraavassa luvussa käsitellään 301-uudelleenohjauksia, mukaan lukien se, mitä ne ovat, miten ne toimivat ja milloin tarvitset sellaisen siirtääksesi liikenteen ja linkkiarvon URL-osoitteesta toiseen.