Що таке Let's encrypt і як працює HTTPS?
Автор: Редакція Domeny.ForSale Опубліковано
Коротко: Let’s Encrypt — це безплатний центр сертифікації, який видає сертифікати для ввімкнення HTTPS на вебсайті. Завдяки їм браузер може підтвердити автентичність сервера для певного домену та встановити зашифроване з’єднання. У багатьох хостинг-провайдерів достатньо ввімкнути відповідну опцію в панелі керування, але потрібно також подбати про автоматичне поновлення сертифіката й правильне налаштування сайту.
Що дає сертифікат Let’s Encrypt?
Let’s Encrypt працює під керівництвом неприбуткової організації Internet Security Research Group (ISRG). Це центр сертифікації, тобто організація, яка видає цифрові сертифікати, визнані браузерами та іншими програмами. Сертифікат пов’язує доменне ім’я з відкритим ключем, який використовують для захисту з’єднання.
HTTPS — це протокол HTTP, захищений за допомогою TLS — механізму шифрування обміну даними. Він захищає дані від читання чи зміни сторонніми особами під час передавання між браузером і сервером. Це важливо під час входу в обліковий запис, надсилання форми чи оформлення замовлення, а також під час звичайного перегляду сайту.
У пропозиціях хостинг-провайдерів досі можна зустріти назву «сертифікат SSL». Найчастіше вона означає сертифікат, який використовують із TLS — сучасним наступником застарілого протоколу SSL. Не потрібно шукати окремий продукт лише тому, що в панелі хостингу вжито стару назву.
HTTPS не підтверджує доброчесності власника сайту. Сайт, що виманює дані, також може мати чинний сертифікат. Let’s Encrypt перевіряє контроль над доменом, а не надійність магазину, безпеку його програмного забезпечення чи ідентичність компанії.
Як відбуваються видача та поновлення сертифіката?
Let’s Encrypt видає сертифікати типу DV, тобто Domain Validation — з перевіркою контролю над доменом. Перш ніж отримати сертифікат, потрібно довести, що ви контролюєте зазначений домен. Процес відбувається за протоколом ACME, який дає програмному забезпеченню змогу автоматично замовляти й поновлювати сертифікати.
Найпоширеніші способи перевірки:
- HTTP-01: програмне забезпечення розміщує спеціальний файл за вказаною адресою сайту. Сервер перевірки має бути спроможний завантажити його через порт 80.
- DNS-01: у DNS домену, тобто системі, яка зберігає його мережеві налаштування, розміщують спеціальний запис TXT. Цей спосіб також дає змогу отримати сертифікат wildcard, який охоплює субдомени, наприклад
*.example.com.
Сертифікат wildcard *.example.com охоплює, наприклад, mahazyn.example.com, але не сам домен example.com і не адресу panel.mahazyn.example.com. Основний домен можна включити до сертифіката як додаткове ім’я.
Сертифікати мають обмежений строк дії, тому автоматичне поновлення — основа роботи Let’s Encrypt. Не варто покладатися на вручну створене нагадування в календарі. Актуальні строки дії, доступні профілі сертифікатів і ліміти видачі перевіряйте в офіційній документації Let’s Encrypt. Дату завершення дії конкретного сертифіката також можна переглянути в його відомостях.
Як увімкнути Let’s Encrypt на своєму сайті?
На спільному хостингу почніть із панелі адміністрування. Знайдіть розділ «SSL», «TLS», «HTTPS» або «Let’s Encrypt». Перевірте, чи послуга охоплює видачу, встановлення й автоматичне поновлення сертифіката: обсяг обслуговування залежить від провайдера.
Наприклад, якщо блог працює за адресою example.com, а адреса www.example.com переспрямовує на блог, сертифікат має охоплювати обидва імені. Браузер спочатку встановлює з’єднання HTTPS із початковою адресою й лише потім отримує переспрямування.
Практична послідовність налаштування така:
- Перевірте, чи домен і використовувані субдомени вказують на потрібний сервер.
- Увімкніть сертифікат для всіх імен, за якими сайт має бути доступний.
- Відкрийте сайт через
https://і перевірте форми, вхід в обліковий запис та ресурси сайту. - У системі керування вмістом задайте основну адресу з HTTPS і налаштуйте переспрямування з HTTP.
- Переконайтеся, що автоматичне поновлення та сповіщення про помилки працюють.
На власному сервері можна використати клієнт ACME, наприклад Certbot, або вебсервер із вбудованою підтримкою ACME. Конкретні команди залежать від операційної системи та конфігурації. Автоматизуючи перевірку DNS, обмежте права, які надають облікові дані для доступу до DNS, і захистіть ці дані від розголошення.
Чи достатньо безплатного сертифіката для магазину або сайту компанії?
Для звичайного блогу, сайту компанії чи інтернет-магазину Let’s Encrypt зазвичай достатньо, щоб захистити з’єднання HTTPS. Безплатний сертифікат сам по собі не означає слабшого шифрування. Безпека також залежить від налаштувань TLS, захисту закритого ключа та своєчасного оновлення сервера.
Платний сертифікат може бути доцільним, якщо потрібна перевірка даних організації, певна підтримка постачальника або дотримання договірних вимог. Сертифікати OV і EV передбачають додаткову перевірку організації; Let’s Encrypt їх не видає. Сама купівля сертифіката не захищає застосунок від зламу.
Let’s Encrypt видає сертифікати безплатно, але хостинг-провайдер може стягувати плату за їх обслуговування. Перш ніж вибрати послугу, перевірте тарифи й умови провайдера, особливо вартість встановлення та поновлення.
Що перевірити, якщо HTTPS працює неправильно?
Попередження браузера може з’явитися через завершення строку дії сертифіката, відсутність у ньому потрібного доменного імені або неповне налаштування сертифікатів на сервері. Після перенесення сайту на інший хостинг переконайтеся, що новий сервер також поновлює сертифікат: автоматизація на попередньому сервері цього завдання не виконує.
Інша проблема — mixed content, тобто змішаний вміст: ресурси завантажуються через HTTP на сторінці, відкритій через HTTPS. Це можуть бути, наприклад, зображення, скрипти чи таблиці стилів. Браузер може блокувати такі ресурси; їхні адреси потрібно виправити у вмісті, шаблоні або налаштуваннях застосунку.
Після ввімкнення HTTPS перевірте не лише головну сторінку, а й контактну форму, сторінку входу та весь процес оформлення покупки. Насамкінець увімкніть моніторинг строку дії сертифіката, щоб збій поновлення не залишився непоміченим.
Дивіться також: Що таке домени з польськими літерами?
Читайте також
