Еще несколько лет назад SSL сертификат воспринимался как отдельная услуга, которую владелец сайта выбирал, покупал и устанавливал примерно так же, как домен или хостинг. Сегодня многие хостинг-провайдеры подключают HTTPS бесплатно, а выпуск и продление сертификата происходят практически незаметно для пользователя.
Из-за этого возникает вполне логичный вопрос. Если бесплатный SSL уже доступен почти каждому сайту, зачем существуют платные сертификаты и есть ли смысл за них платить?
Короткого универсального ответа нет. Обычному информационному сайту, блогу или небольшому интернет-магазину часто действительно достаточно бесплатного сертификата с проверкой домена. Но существуют ситуации, когда компании требуется другой тип проверки, особые условия обслуживания или сертификат для более сложной инфраструктуры.
Главное не путать стоимость сертификата с уровнем шифрования и общей безопасностью сайта. Дорогой SSL сам по себе не защищает WordPress от уязвимого плагина, а бесплатный сертификат не означает слабое шифрование соединения.
Что делает SSL сертификат
Когда пользователь открывает сайт по HTTPS, браузер устанавливает защищенное соединение с сервером. Передаваемые между ними данные шифруются, а сертификат помогает подтвердить, что браузер устанавливает соединение с владельцем соответствующего доменного имени или иной проверенной сущностью в зависимости от типа сертификата.
Это особенно важно при передаче паролей, данных форм, содержимого личного кабинета и другой информации, которую не следует отправлять по сети в открытом виде.
В адресной строке современного браузера HTTPS давно стал нормой, а не дополнительной функцией только для банков и крупных интернет-магазинов.
При этом SSL сертификат решает конкретную задачу. Он защищает соединение между клиентом и сервером. Он не проверяет весь код сайта, не удаляет вирусы и не гарантирует честность владельца ресурса.
Если злоумышленник получил пароль администратора сайта или использовал уязвимость в плагине, наличие сертификата само по себе не остановит атаку.
Почему сегодня можно получить SSL бесплатно
Одна из причин массового распространения бесплатных сертификатов связана с автоматизированными центрами сертификации. Самый известный пример — Let’s Encrypt.
Let’s Encrypt является бесплатным автоматизированным центром сертификации и выпускает сертификаты с проверкой контроля над доменом. Для получения такого сертификата нужно подтвердить, что заявитель действительно управляет соответствующим доменным именем.
В современной хостинговой панели этот процесс часто полностью автоматизирован. Пользователь добавляет домен, включает HTTPS, а хостинг самостоятельно выполняет выпуск и последующие обновления сертификата.
В результате владельцу обычного сайта не приходится покупать сертификат отдельно или вручную следить за сроком его действия.
Именно автоматизация сделала HTTPS доступным даже для небольших проектов, которым раньше отдельная покупка сертификата могла казаться лишней статьей расходов.
Чем бесплатный SSL отличается от платного
Само слово «бесплатный» иногда создает неправильное впечатление, будто соединение будет зашифровано хуже. Это не так.
Надежность защищенного соединения зависит от используемых протоколов, алгоритмов, ключей и конфигурации сервера. Цена сертификата сама по себе не определяет качество шифрования.
Основное различие находится в процедуре проверки и дополнительных услугах.
Бесплатные сертификаты Let’s Encrypt относятся к типу DV. Центр сертификации подтверждает контроль над доменом, но не проводит отдельную проверку юридического лица для выпуска OV или EV сертификата.
Коммерческие центры сертификации могут предлагать сертификаты с проверкой организации, дополнительные сервисы поддержки, различные гарантии и продукты для специальных сценариев.
Поэтому вопрос нужно ставить не «платный SSL лучше бесплатного или нет», а «какой тип сертификата требуется моему проекту».
Что означает проверка DV
DV расшифровывается как Domain Validation. Для выпуска сертификата подтверждается контроль над доменным именем.
Это самый распространенный вариант для обычных сайтов. Он подходит блогу, корпоративному сайту, информационному проекту, лендингу и во многих случаях интернет-магазину.
Проверка может выполняться автоматически через сайт или DNS. Пользователь обычного хостинга часто вообще не видит техническую часть процедуры.
Важно понимать, что DV не подтверждает репутацию компании и не говорит посетителю, насколько надежен сам бизнес. Он подтверждает право управлять доменом в рамках процедуры выпуска сертификата.
Поэтому наличие HTTPS не должно быть единственным признаком, по которому пользователь оценивает надежность интернет-магазина или сервиса.
Когда используются OV и EV сертификаты
OV означает Organization Validation. При выпуске такого сертификата центр сертификации проверяет не только контроль над доменом, но и сведения об организации.
EV означает Extended Validation и предполагает расширенную процедуру проверки в соответствии с требованиями центра сертификации и отраслевыми правилами.
Такие сертификаты могут использоваться организациями, которым важна подтвержденная корпоративная идентичность в данных сертификата или этого требуют внутренние стандарты и процессы.
Однако обычному владельцу сайта не стоит покупать OV или EV только из-за надежды получить «более сильный HTTPS». Для шифрования соединения бесплатного DV сертификата может быть вполне достаточно.
Кроме того, современные браузеры уже не демонстрируют владельцам EV сертификатов тот ярко выраженный визуальный статус в адресной строке, который когда-то был одним из заметных маркетинговых преимуществ этой категории.
Поэтому перед покупкой стоит понимать конкретную причину, по которой проекту требуется расширенная проверка.
Нужен ли платный SSL интернет-магазину
Сам факт наличия интернет-магазина еще не означает, что обязательно нужен платный сертификат.
Если магазин работает по HTTPS с корректно настроенным современным сертификатом, данные между браузером покупателя и сервером передаются через защищенное соединение независимо от того, был сертификат получен бесплатно или приобретен у коммерческого центра.
Для небольшого и среднего магазина бесплатный DV сертификат часто является нормальным практическим решением.
Гораздо важнее правильно настроить весь сайт. Нужно обновлять систему управления, плагины и модули, защищать административные аккаунты, делать резервные копии и следить за сервером.
Платный сертификат имеет смысл покупать тогда, когда требуется конкретная функция или уровень проверки, а не просто потому, что сайт принимает заказы.
Если платежные данные обрабатываются внешней платежной системой, это тоже не отменяет необходимости HTTPS на самом магазине. Пользователь все равно передает сайту учетные данные, содержимое корзины и другую информацию.
Что такое Wildcard сертификат
Обычный сертификат выпускается для определенных доменных имен. Если проект активно использует множество поддоменов, управление отдельными сертификатами может стать неудобным.
Wildcard сертификат позволяет охватить поддомены определенного уровня с помощью маски вида *.example.ru.
Такие сертификаты полезны сервисам, где создается множество поддоменов, например для отдельных кабинетов, регионов или клиентских проектов.
Но покупать Wildcard только на случай, если когда-нибудь появится один поддомен, обычно незачем.
Let’s Encrypt тоже поддерживает выпуск Wildcard сертификатов. Для подтверждения контроля над доменом в этом случае используется проверка через DNS.
Поэтому наличие множества поддоменов само по себе уже не означает необходимость платного SSL.
Почему автоматическое продление важнее срока действия
Сертификат имеет ограниченный срок действия. Если его вовремя не обновить, браузер начнет предупреждать посетителей о проблеме с защищенным соединением.
Для коммерческого сайта это может означать потерю заказов буквально из-за технической мелочи.
Поэтому хороший хостинг должен не просто позволять выпустить бесплатный сертификат, а нормально автоматизировать его продление.
У Let’s Encrypt стандартные сертификаты в настоящее время обычно выпускаются на 90 дней, а дальнейшее развитие отраслевых правил идет в сторону более коротких сроков. Это делает автоматизацию еще важнее.
Владельцу сайта не нужно воспринимать короткий срок как недостаток, если обновление работает автоматически. Проблемой становится не срок действия, а плохо настроенный процесс продления.
После подключения SSL полезно хотя бы один раз убедиться, что хостинг действительно управляет обновлением сертификата, а не ожидает ручных действий каждые несколько месяцев.
Что проверить при выборе хостинга с бесплатным SSL
Само обещание «SSL бесплатно» сегодня уже не является уникальным преимуществом. Намного интереснее, как эта возможность реализована.
Проверьте, выпускается ли сертификат прямо из панели управления и требуется ли отдельная настройка.
Узнайте, продлевается ли он автоматически. Если на аккаунте размещено несколько доменов и поддоменов, выясните, как сертификаты подключаются для каждого из них.
Полезно проверить, умеет ли хостинг автоматически перенаправлять посетителей с HTTP на HTTPS и не приходится ли вручную редактировать серверные настройки.
Для WordPress и других систем управления сайтом важно после перехода проверить адрес сайта и отсутствие смешанного содержимого, когда защищенная страница пытается загрузить отдельные ресурсы по старому HTTP адресу.
Если провайдер берет отдельную плату только за возможность включить базовый DV сертификат, имеет смысл сравнить его условия с конкурентами, у которых автоматический SSL уже входит в услугу.
Когда за SSL действительно стоит платить
Платный сертификат имеет смысл тогда, когда вы понимаете, какую дополнительную возможность покупаете.
Это может быть проверка организации, требования корпоративной политики, определенный коммерческий центр сертификации, особые условия поддержки или специализированный тип сертификата.
У крупных компаний могут существовать внутренние требования к поставщику сертификатов и процедурам управления ключами. Для такой инфраструктуры стоимость сертификата является лишь небольшой частью общей системы безопасности.
Но покупать дорогой SSL для обычного сайта только ради ощущения большей надежности не нужно.
Если задача заключается в том, чтобы сайт работал по HTTPS и браузер устанавливал нормальное защищенное соединение, бесплатный сертификат от надежного центра сертификации часто полностью решает эту задачу.
SSL не заменяет защиту сайта
Это, пожалуй, самое важное ограничение всей технологии.
HTTPS защищает данные при передаче между браузером и сервером. Но сайт остается программным продуктом со своими учетными записями, файлами, базой данных и возможными уязвимостями.
Если администратор использует простой пароль, злоумышленник может получить доступ независимо от сертификата.
Если в старом плагине WordPress обнаружена серьезная уязвимость, SSL ее не исправит.
Если резервных копий нет, сертификат не поможет восстановить случайно удаленную базу данных.
Поэтому безопасность сайта строится слоями. HTTPS является обязательным и важным слоем, но рядом с ним должны быть обновления, надежная авторизация, резервное копирование, контроль доступа и нормальная серверная конфигурация.
Какой SSL выбрать для обычного сайта
Для большинства небольших сайтов логика выбора довольно простая.
Если хостинг бесплатно выпускает надежный DV сертификат и автоматически его продлевает, начинать стоит именно с этого варианта.
Для блога, сайта компании, лендинга, форума и многих интернет-магазинов этого достаточно для нормальной работы HTTPS.
Если используются многочисленные поддомены, можно рассмотреть Wildcard или сертификат, включающий необходимые имена. Конкретный вариант зависит от структуры проекта.
Если организации требуется подтверждение юридической идентичности в сертификате, тогда имеет смысл изучать OV и EV предложения коммерческих центров.
Не нужно выбирать сертификат по принципу «самый дорогой значит самый безопасный». Сначала определяется задача, затем под нее выбирается тип сертификата.
Для владельца обычного сайта намного полезнее потратить деньги на хороший хостинг, резервные копии и обслуживание проекта, чем покупать дорогой сертификат без конкретной необходимости.
HTTPS сегодня должен быть базовой частью сайта. Но базовая защита соединения вовсе не обязана быть дорогой.
