SSL sertifikaat kodulehele: tasuta või tasuline?
Lukuikoon aadressiriba ees on tänapäeval enesestmõistetav — ilma selleta hoiatab brauser külastajat, et sait „pole turvaline". Aga kui hakkad SSL sertifikaati tellima, jääd kiiresti valiku ette: tasuta või tasuline, ja mis vahet see üldse teeb? Siin on vastus, koos konkreetse näitega, kuidas tellimine reaalselt käib.
Sisukord
Mis on SSL sertifikaat ja miks seda vaja on
SSL (õigemini tänapäeval TLS, aga „SSL" on jäänud üldnimetuseks) krüpteerib andmed külastaja brauseri ja sinu serveri vahel. Ilma selleta liigub kõik — sisselogimised, vormide sisu, maksed — võrgus loetaval kujul. Kolm põhjust, miks see on kohustuslik, mitte valikuline:
- Brauserid hoiatavad selle puudumisel. Chrome ja Firefox märgivad HTTPS-ita saidi otse „Ei ole turvaline" — see on esimene asi, mida külastaja näeb.
- Google kasutab seda järjestustegurina. Väike, aga olemas — kahe muidu võrdse lehe vahel loeb.
- Vormid ja maksed nõuavad seda praktiliselt kõikjal. Maksevahendajad ja paljud pluginad ei tööta korralikult ilma HTTPS-ita.
Tasuta vs tasuline — mis vahe tegelikult on
Siin tuleb esimene üllatus: krüpteeringu tugevus on täpselt sama. Tasuta ja tasuline SSL kaitsevad andmeid võrdselt hästi — vahe ei ole turvalisuses, vaid validatsiooni tasemes ja lisafunktsioonides.
Domeenivalidatsioon (DV). Kontrollitakse ainult, et sina omad seda domeeni. Kõik tasuta sertifikaadid (nt Let's Encrypt) ja enamik odavamaid tasulisi (nt PositiveSSL) on DV-tasemel. Brauseris näeb see välja täpselt sama — lihtne lukuikoon.
Organisatsioonivalidatsioon (OV) ja laiendatud valideerimine (EV). Siin kontrollitakse lisaks ka päris ettevõtte olemasolu — äriregistri kanne, aadress. Need on kallimad, aeglasema väljastusega (mõni päev, mitte minutid) ja mõeldud eelkõige suurematele e-poodidele ja finantsteenustele, kus külastaja usalduse loomine ettevõtte identiteedi kaudu loeb.
Praktikas: enamikule väikeettevõtte kodulehele piisab tasuta DV-sertifikaadist täielikult. Tasulise poole liigutakse tavaliselt mugavuse (wildcard, mitu domeeni ühe sertifikaadiga) või garantii/toe pärast, mitte turvalisuse pärast.
Millal tasub tasulise kasuks otsustada
- Wildcard-sertifikaat, kui sul on palju alamdomeene (nt
pood.sinusait.ee,blogi.sinusait.ee) ja tahad neid kõiki ühe sertifikaadiga katta, selle asemel et iga alamdomeeni jaoks eraldi tegeleda. - Mitme domeeni sertifikaat, kui haldad mitut eraldi domeeni ja tahad need ühte sertifikaati koondada.
- Garantii ja tugi. Tasulistel sertifikaatidel on tavaliselt rahaline garantii (kindlustus, mis maksab välja, kui sertifikaadiga seotud turvaintsident tekitab kahju) ja otsene klienditugi — tasuta sertifikaatidel neid pole.
- Ettevõtte nime nähtavus (OV/EV). Kui tahad, et sertifikaadi detailidest oleks näha ka ettevõtte nimi, mitte ainult domeen.
Konkreetne näide: SSL tellimine veebimajutus.ee juures
Selguse mõttes üks reaalne näide, kuidas valik praktikas välja näeb (kontrolli alati ise täpseid hindu ja tingimusi otse pakkuja lehelt, sest need muutuvad aeg-ajalt):
- Let's Encrypt — tasuta. Domeenivalidatsioon, kiire väljastus, katab domeeni ja
www-alamdomeeni. Enamikule saitidele piisab sellest täielikult. - PositiveSSL — u 12,50 €/aasta. Samuti domeenivalidatsioon, üks domeen +
www. Erinevus tasuta versioonist on peamiselt garantii ja formaalsem sertifikaat. - PositiveSSL Multi Domain — u 40 €/aasta. Katab põhidomeeni pluss kaks lisa-alamdomeeni ühe sertifikaadiga.
- Essential Wildcard — u 105 €/aasta. Katab kogu domeeni alamdomeenide hierarhia — mõistlik, kui alamdomeene tekib jooksvalt juurde ja ei taha iga kord uut sertifikaati tellida.
Tellimine käib majutuse juhtpaneelist: valid sertifikaadi tüübi, kinnitad domeeni omandiõiguse
(tavaliselt automaatne, kui domeen on juba samas kohas hallatud) ja aktiveerimine käib
enamasti majutaja enda poolt. Kui midagi jääb segaseks, on see täpselt see samm, kus tasub
küsida — vale seadistus (nt sertifikaat, mis ei kata www-versiooni) on levinud põhjus, miks
sait näitab vahel turvahoiatust ainult osa külastajatele.
Mis juhtub, kui SSL aegub
Sertifikaadid aeguvad — tasuta Let's Encrypt iga 90 päeva (tavaliselt uueneb automaatselt), tasulised tavaliselt kord aastas (vajavad käsitsi uuendamist, kui automaatuuendust pole seadistatud). Aegunud sertifikaat tähendab, et kõik külastajad näevad täisekraanilist punast hoiatust enne saidile jõudmist — see on üks kiireimaid viise, kuidas kaotada nii külastajate usaldus kui müük.
Kuidas meie seda hooldame
SSL-i ja domeeni aegumise jälgimine kuulub meie WordPressi hoolduse sisse — kontrollime seda samamoodi nagu uuendusi ja varukoopiaid, mitte ei jäta seda juhuse hooleks. Kui tahad teada, mis kõik veel korras peaks olema, vaata WordPressi turvalisuse juhendit.
Kokkuvõte
Tasuta SSL on enamikule kodulehele täiesti piisav — krüpteering on sama tugev, vahe on validatsiooni tasemes ja lisamugavustes. Tasulise poole tasub liikuda, kui vajad wildcard'i, mitme domeeni katvust või garantiid, mitte turvalisuse enda pärast.
Kas sinu sertifikaat on korras ja jälgitud? Teeme tasuta ülevaatuse, kontrollime ka SSL-i ja domeeni aegumise koos muu turvaseisuga.