U praksi to znači da se podaci koje posjetitelj šalje stranici, primjerice kroz kontaktnu formu, prijavu ili kupnju, šifriraju tijekom prijenosa između njegova preglednika i web poslužitelja.
Iako se danas za zaštitu veze koristi suvremeniji protokol TLS, izraz SSL certifikat i dalje se uobičajeno koristi za certifikate koji omogućuju HTTPS.
Zašto je važno u praksi?
SSL certifikat je osnovni dio uredne web stranice. Štiti prijenos podataka, pomaže posjetitelju prepoznati da stranica koristi zaštićenu HTTPS vezu i izbjegava upozorenja preglednika da stranica nije zaštićena.
To je posebno važno ako stranica ima:
- kontaktne ili upitne forme
- prijavu korisnika
- webshop i naplatu
- upload dokumenata
- pristup korisničkom računu
- bilo kakav unos osobnih ili poslovnih podataka
HTTPS je danas očekivani standard i za jednostavne prezentacijske stranice. Preglednik može HTTP stranicu označiti kao nezaštićenu i kada na njoj nema prijave ili naplate.
SSL je važan i za svakodnevno održavanje weba. Ako certifikat istekne ili nije pravilno postavljen, stranica može posjetiteljima izgledati kao rizična, iako je sadržaj inače u redu.
Zato je dobro znati tko prati obnovu certifikata i je li ona automatizirana.
Najčešća zabuna
Najčešća zabuna je da SSL certifikat znači da je cijela web stranica potpuno sigurna. Ne znači.
SSL štiti vezu između preglednika i stranice, ali ne rješava sve ostale sigurnosne teme. Ne sprječava slabe lozinke, zastarjele dodatke, loše postavljene korisničke ovlasti, phishing e-mailove ni propuste u samoj aplikaciji.
Također, SSL štiti podatke tijekom prijenosa. Ne govori kako ih stranica nakon toga sprema, obrađuje ili šalje dalje.
Druga zabuna je da sigurnosni indikator uz adresu potvrđuje da je organizacija iza stranice pouzdana. On prvenstveno govori da je veza šifrirana i da certifikat vrijedi za domenu koju ste otvorili.
I nepouzdana stranica može imati valjan certifikat, zato je i dalje važno provjeriti naziv domene, sadržaj ponude i kontekst u kojem ostavljate podatke.
Treća zabuna je da SSL treba kupovati zasebno u svakom slučaju. Mnogi hosting provideri i web servisi danas nude besplatne certifikate i automatsku obnovu.
Važnije od cijene je da certifikat stvarno pokriva vašu domenu, da je pravilno instaliran i da se obnavlja na vrijeme.
Kada vam to može trebati?
SSL certifikat će vam trebati pri objavi nove web stranice, migraciji na drugi hosting, dodavanju webshopa, postavljanju korisničke prijave ili bilo kakvog obrasca kroz koji prikupljate podatke.
Korisno ga je provjeriti i kada:
- preglednik prikazuje sigurnosno upozorenje
- web stranica odjednom otvara adresu bez
https:// - kontaktna forma ili checkout prestanu raditi kako treba
- mijenjate domenu, hosting ili način na koji se web isporučuje
- uvodite novu poddomenu
- mijenjate CDN, proxy ili servis preko kojeg se stranica učitava
U praksi je dovoljno provjeriti otvara li se glavna domena na HTTPS-u, preusmjerava li se stara HTTP verzija na sigurnu adresu i postoji li osoba ili servis koji vodi računa o obnovi.
Važno je provjeriti i pokriva li certifikat sve adrese preko kojih se stranica koristi, primjerice domenu s www i bez njega te potrebne poddomene poput shop.primjer.hr.
Za ozbiljnije webove SSL je tek jedna stavka šireg sigurnosnog održavanja, ali je stavka bez koje web stranica ne bi trebala ostati.
Ukratko
SSL certifikat omogućuje HTTPS i štiti prijenos podataka između preglednika i web stranice. Ne znači da je cijela stranica automatski sigurna ili pouzdana, nego da je veza šifrirana i da certifikat vrijedi za domenu koju otvarate.