Hosting z certyfikatem SSL i HTTPS bez ostrzeżeń w przeglądarce

Co HTTPS realnie robi dla firmowej strony, a czego nie robi

Certyfikat SSL szyfruje transmisję między przeglądarką klienta a serwerem i potwierdza, że domena należy do Ciebie. To znaczy, że dane z formularza kontaktowego, logowania czy koszyka nie da się podsłuchać po drodze, na przykład w publicznym Wi-Fi. Dla firmy to kwestia zaufania i zgodności: RODO wymaga odpowiednich środków technicznych przy przetwarzaniu danych osobowych, a formularz bez szyfrowania trudno takim środkiem nazwać.

Warto od razu rozbroić najczęstsze nieporozumienie. HTTPS nie jest tarczą antywłamaniową. Jeśli masz dziurawą wtyczkę WordPressa, kłódka w pasku adresu nie powstrzyma atakującego. Certyfikat chroni transmisję, nie samą aplikację. Dlatego SSL traktujemy jako fundament, a nie całość bezpieczeństwa, i uzupełniamy go o zabezpieczenie strony WordPress: WAF, hardening, skan malware i kopie zapasowe.

DV, OV czy EV: który certyfikat SSL dla strony firmowej

Certyfikaty różnią się nie siłą szyfrowania, tylko zakresem weryfikacji. Szyfrowanie jest w każdym z nich takie samo. Różnica polega na tym, co urząd certyfikacji sprawdza, zanim wystawi dokument: samo prawo do domeny (DV), dane rejestrowe firmy (OV), czy rozszerzoną tożsamość podmiotu (EV).

Dla zdecydowanej większości firmowych stron i sklepów wystarcza certyfikat DV, taki jak Let's Encrypt. Powód jest prosty: przeglądarki od kilku lat nie wyświetlają już zielonego paska z nazwą firmy przy certyfikatach EV. Klient widzi tę samą kłódkę niezależnie od typu certyfikatu, a nazwę firmy trzeba kliknąć, żeby ją zobaczyć. OV i EV mają sens tam, gdzie wymaga tego polityka bezpieczeństwa, procedura przetargowa albo regulator, na przykład w finansach.

• Ta sama siła szyfrowania w DV, OV i EV. Różni je wyłącznie zakres weryfikacji.
• Ta sama kłódka w pasku adresu. Zielony pasek EV zniknął z nowoczesnych przeglądarek.
• DV wystarcza do bezpiecznych formularzy, logowania i integracji z bramkami płatniczymi.
• OV i EV są płatne i wymagają dostarczenia dokumentów firmy. Sięga się po nie, gdy wymaga tego procedura, a nie technologia.

Jak zainstalować certyfikat SSL (i dlaczego u nas nie musisz)

Klasyczna instalacja SSL to kilka kroków, na których łatwo się potknąć. Trzeba wygenerować żądanie certyfikatu, przejść weryfikację domeny, wgrać certyfikat i klucz na serwer, wymusić przekierowanie z HTTP na HTTPS, a na koniec posprzątać mieszaną treść, czyli obrazki, skrypty i style ładowane wciąż po http. Ten ostatni punkt jest najczęstszą przyczyną sytuacji, w której certyfikat działa, a kłódki i tak nie widać.

U nas nie robisz nic z tej listy. SSL uruchamiamy przy zakładaniu konta, konfigurujemy przekierowanie na HTTPS i pilnujemy odnowień. Jeśli przenosisz stronę, certyfikat stawiamy jeszcze przed przełączeniem domeny, więc serwis od pierwszej sekundy działa po HTTPS. To standardowy element naszego hostingu zarządzanego i hostingu WordPress dla firm.

• 1. Certyfikat: wystawiamy i podpinamy do Twojej domeny, także do subdomen.
• 2. Przekierowanie: cały ruch z http trafia na https, bez duplikatów adresów w Google.
• 3. Mieszana treść: podmieniamy adresy zasobów w bazie i szablonie, żeby kłódka była pełna.
• 4. Odnowienie: dzieje się automatycznie, cyklicznie, bez Twojego udziału.
• 5. Monitoring: pilnujemy, żeby certyfikat nie wygasł i żeby HTTPS odpowiadał poprawnie.

Let's Encrypt, 90 dni ważności i automatyczne odnawianie

Certyfikaty Let's Encrypt są typu DV i są ważne 90 dni. Brzmi krótko i regularnie budzi niepokój u osób, które kojarzą certyfikaty kupowane na rok. W praktyce krótszy okres ważności jest zaletą: skraca czas życia ewentualnie skradzionego klucza i wymusza automatyzację, zamiast opierać bezpieczeństwo firmy na przypomnieniu w kalendarzu.

Cały sens polega na tym, że odnowienie jest automatyczne. Nasz system odnawia certyfikat z zapasem, zanim wygaśnie, i robi to bez przerwy w działaniu strony. Ty nie dostajesz maila „certyfikat wygasa za 7 dni", nie logujesz się nigdzie i nie płacisz za przedłużenie. Ten sam mechanizm działa na każdym planie, od Startowego za 29 zł netto po Dedykowany z indywidualnym SLA.

Ma to znaczenie wykraczające poza komfort. Wygasły certyfikat to pełnoekranowe ostrzeżenie przeglądarki, które w praktyce zatrzymuje ruch na stronie. Jeśli akurat trwa kampania reklamowa albo klient próbuje złożyć zamówienie, koszt takiej wpadki liczy się w utraconych zapytaniach i porzuconych koszykach, a nie w cenie certyfikatu.

• Typ DV, uznawany przez wszystkie popularne przeglądarki i systemy operacyjne.
• 90 dni ważności, odnawiane automatycznie z wyprzedzeniem, bez przestoju.
• Bez limitu domen w planie: SSL obejmuje każdą stronę, którą u nas hostujesz.
• Bez opłat za odnowienie, tak jak cena planu, która przy odnowieniu jest taka sama jak na starcie.

HTTPS, SEO i zaufanie klienta

Google traktuje HTTPS jako sygnał w wyszukiwarce. To nie jest czynnik, który sam wypchnie Cię na pierwsze miejsce, ale jego brak działa w drugą stronę i realnie szkodzi. Ważniejsze jest jednak zachowanie samych przeglądarek: strona bez HTTPS jest dziś oznaczana jako „Nie zabezpieczona" tuż obok adresu. Trudno o gorszy pierwszy kontakt z marką, zwłaszcza gdy klient miał właśnie zostawić numer telefonu w formularzu.

W sklepie stawka jest jeszcze wyższa. Bramki płatnicze wymagają HTTPS, a klient, który zobaczy ostrzeżenie na etapie koszyka, po prostu zamyka kartę. Dlatego SSL jest u nas standardem także w hostingu sklepu internetowego, obok szybkich dysków NVMe i kopii zapasowych do 30 dni.

Zaufanie buduje się też lokalizacją danych. Szyfrowanie transmisji odpowiada na pytanie „czy ktoś podsłucha moich klientów", a serwery w Polsce odpowiadają na pytanie „gdzie fizycznie leżą ich dane". W rozmowie z działem prawnym lub przy audycie RODO liczą się obie odpowiedzi.