SSL sertifikatas — kas tai? Tai skaitmeninis dokumentas, patvirtinantis, kad svetainė tikrai priklauso nurodytam domenui, ir leidžiantis užšifruoti duomenis tarp lankytojo naršyklės ir serverio. Būtent dėl jo adresas prasideda https, o ne http, ir naršyklė nerodo įspėjimo. Praktinis atsakymas verslui: šiandien sertifikatas yra privalomas kiekvienai svetainei, jį galima gauti nemokamai, o darbo tai užtrunka kelias minutes.
Esu Tomas, front-end programuotojas iš Vilniaus. Per aštuonerius su puse metų ir 97+ projektų sertifikatų temą matau iš dviejų pusių: kaip paprastą techninį veiksmą ir kaip priežastį, dėl kurios kartą per metus kažkieno svetainė staiga tampa „nesaugi“. Žemiau — kaip viskas veikia ir kaip to išvengti.
SSL sertifikatas: kas tai ir kaip veikia https
Be sertifikato duomenys keliauja atviru tekstu. Tai reiškia, kad viešame Wi-Fi tinkle ar kelyje tarp tinklų teoriškai galima perskaityti, ką lankytojas įrašė formoje — vardą, telefoną, slaptažodį. Su sertifikatu vyksta du dalykai: naršyklė patikrina, ar serveris tikrai yra tas domenas, kurį rodo, ir sukuriamas šifruotas kanalas, kuriuo perduodamas turinys.
Svarbu suprasti, ko https nedaro. Jis nepatvirtina, kad įmonė sąžininga, neapsaugo nuo įsilaužimo per neatnaujintą įskiepį ir nesutvarko silpno slaptažodžio. Sukčių svetainė taip pat turi spynelę. Sertifikatas garantuoja tik ryšio saugumą — visa kita yra atskiras darbas.
Kodėl naršyklė rodo „Nesaugu“
| Priežastis | Ką reiškia | Sprendimas |
|---|---|---|
| Sertifikato iš viso nėra | Svetainė veikia tik per http | Įjungti nemokamą sertifikatą hostinge |
| Baigėsi galiojimas | Neatsinaujino automatiškai | Atnaujinti ir patikrinti automatinį atnaujinimą |
| Neatitinka domeno | Išduotas be www arba kitam adresui | Išduoti abiem variantams |
| Mišrus turinys | Puslapyje yra http nuorodų į nuotraukas ar skriptus | Pakeisti adresus į https |
| Neįdiegta tarpinė grandis | Dalis naršyklių sertifikatu nepasitiki | Sutvarkyti serverio konfigūraciją |
Verslui svarbiausia praktinė pasekmė: įspėjimo ekranas pamato beveik visi pirmą kartą užeinantys lankytojai, ir dauguma jų tiesiog uždaro langą. Kontaktų forma tokiu metu praktiškai nustoja veikti, nors techniškai svetainė gyva.
Kur gauti SSL sertifikatą nemokamai
Standartinis atsakymas — Let's Encrypt. Tai nemokama sertifikatų įstaiga, kuria pasitiki visos naršyklės; sertifikatas galioja 90 dienų ir atnaujinamas automatiškai. Praktiškai visi rimti hostingo tiekėjai Lietuvoje siūlo jį valdymo skydelyje vienu jungikliu.
- Prisijunkite prie hostingo valdymo skydelio ir suraskite skiltį SSL arba „Saugumas“.
- Pasirinkite domeną ir įjunkite nemokamą sertifikatą — išdavimas trunka nuo kelių sekundžių iki kelių minučių.
- Įjunkite automatinį nukreipimą iš http į https ir įsitikinkite, kad sertifikatas apima ir www, ir be www variantą.
- WordPress nustatymuose pakeiskite svetainės adresą į https.
- Patikrinkite kelis puslapius ir formą.
Jei jūsų hostinge tokio jungiklio nėra arba už sertifikatą prašoma mokėti kasmet, tai ženklas, kad verta pagalvoti apie kitą tiekėją — palyginimą surašiau straipsnyje geriausias hostingas Lietuvoje, o bendrą vaizdą — domenas ir hostingas.
Kada reikia mokamo sertifikato
| Tipas | Ką patvirtina | Kam tinka |
|---|---|---|
| DV (domeno) | Domeno valdymą | 99 % svetainių, įskaitant e-parduotuves — Let's Encrypt yra DV |
| OV (organizacijos) | Papildomai patikrintą juridinį asmenį | Bankams, draudimui, stambioms institucijoms |
| Wildcard | Visus subdomenus vienu sertifikatu | Kai subdomenų daug ir jie kuriami dinamiškai |
Šifravimo stiprumas visuose tipuose vienodas — skiriasi tik tikrinimo apimtis ir garantijos. Todėl įprastai verslo svetainei ar parduotuvei mokėti nėra už ką: nemokamas sertifikatas rodo tą pačią spynelę ir vertinamas taip pat. Mokamas prasmingas tada, kai to reikalauja partneris, reguliavimas arba reikia patogaus wildcard varianto.
Kaip patikrinti galiojimą ir kas nutinka pasibaigus
Greičiausias būdas — paspausti spynelę adreso juostoje: naršyklė parodo, kam sertifikatas išduotas ir iki kada galioja. Pasibaigus galiojimui svetainė neišnyksta, bet vietoj jos lankytojas pamato viso lango įspėjimą, kurį reikia sąmoningai apeiti. Praktiškai tai prilygsta kelių valandų ar dienų prastovai.
Todėl svarbiausia ne pats sertifikatas, o automatinis atnaujinimas. Jis lūžta tipiškai trimis atvejais: pakeitus hostingą ir neperkėlus nustatymų, pakeitus DNS įrašus arba kai domenas rodo į vieną serverį, o sertifikatas išduotas kitame. Į savo priežiūros sąrašą dedu paprastą punktą — kartą per mėnesį pasižiūrėti galiojimo datą; visą sąrašą aprašiau WordPress priežiūros straipsnyje.
Mišrus turinys: dažniausia problema po įjungimo
Įjungus https, senuose puslapiuose dažnai lieka nuorodų į http adresus — nuotraukas, šriftus, skriptus. Naršyklė tokį turinį blokuoja arba rodo įspėjimą, todėl svetainė atrodo sulūžusi: dingsta paveikslėliai, nustoja veikti slankjuostės.
- Pakeiskite adresus duomenų bazėje — ne ranka po vieną, o paieškos ir pakeitimo įrankiu, kuris korektiškai tvarko serializuotus duomenis.
- Patikrinkite temos ir įskiepių nustatymus, kuriuose gali būti įrašytų pilnų http adresų.
- Nustatykite 301 nukreipimą iš http į https ir pasirinkite vieną kanoninį variantą su www arba be jo; kaip tai daroma teisingai, aprašiau straipsnyje 301 nukreipimas: kas tai.
- Search Console pridėkite https versiją kaip atskirą nuosavybę ir pateikite naują sitemap.
Perėjimas prie https laikinai gali truputį supurtyti pozicijas, bet tai normalu ir praeina per kelias savaites. Ilgalaikėje perspektyvoje https yra pliusas: tai patvirtintas rikiavimo signalas ir sąlyga daugeliui naršyklės funkcijų.
Kaip galiu padėti
Sertifikato įjungimas ir perėjimas prie https įeina į mano priežiūros planus kartu su atnaujinimais, kopijomis ir stebėjimu: Bazinis — 30 €/mėn., Standartinis — 60 €/mėn., Verslo — 90 €/mėn., e-parduotuvės priežiūra — nuo 120 €/mėn. Vienkartiniai darbai, jei plano nereikia — 30 €/val.: įjungiu sertifikatą, sutvarkau mišrų turinį, nukreipimus ir patikrinu, kad automatinis atnaujinimas veiktų. Daugiau — svetainės priežiūros puslapyje.
Dažniausiai užduodami klausimai
SSL sertifikatas kas tai ir ar jis privalomas?
Tai dokumentas, leidžiantis svetainei veikti per šifruotą https ryšį. Įstatymas jo tiesiogiai nereikalauja, bet praktiškai jis privalomas: be jo naršyklės rodo įspėjimą „Nesaugu“, o formų duomenys keliauja neužšifruoti.
Ar nemokamas sertifikatas prastesnis už mokamą?
Šifravimas identiškas. Skiriasi tik tikrinimo apimtis ir garantijos, kurių įprastam verslui neprireikia. Let's Encrypt sertifikatu pasitiki visos naršyklės, todėl paprastai mokėti nėra prasmės.
Kas nutinka, kai baigiasi sertifikato galiojimas?
Svetainė lieka pasiekiama, bet vietoj jos lankytojai mato viso lango įspėjimą, kurį reikia apeiti rankiniu būdu. Dauguma tiesiog uždaro langą, todėl pasekmės prilygsta prastovai. Tai išsprendžia veikiantis automatinis atnaujinimas.
Ar https svetainė geriau rikiuojama paieškoje?
Taip, bet poveikis nedidelis — tai vienas iš daugelio signalų. Svarbesnis netiesioginis efektas: be įspėjimo lankytojai lieka svetainėje ir dažniau užpildo formą, o tai jau matosi konversijose.
Kodėl po https įjungimo dingo nuotraukos?
Tai mišraus turinio problema: puslapiuose liko http adresų, kuriuos naršyklė blokuoja. Sprendimas — pakeisti adresus duomenų bazėje tinkamu įrankiu ir peržiūrėti temos bei įskiepių nustatymus.
Ar sertifikato reikia, jei svetainėje nėra formų ir mokėjimų?
Reikia. Naršyklės įspėjimą rodo pagal protokolą, o ne pagal turinį, todėl „nesaugu“ matys ir paprasčiausio vizitinės kortelės puslapio lankytojas. Kai įjungimas nemokamas ir trunka minutes, atsisakyti nėra jokios priežasties.