SSL sertifikat: šta je, čemu služi i kako se postavlja

SSL sertifikat je ona sitnica zbog koje adresa sajta počinje sa https i zbog koje pregledač pored nje ne ispisuje upozorenje. Većina vlasnika sajtova za njega čuje dva puta: kada se sajt pravi, i kada nešto pukne, pa posetioce umesto sajta dočeka poruka da veza nije privatna. Između ta dva trenutka sertifikat radi tiho i niko ga ne primećuje, što je ujedno i najbolji opis njegovog posla. U ovom tekstu objašnjavamo šta SSL sertifikat zapravo radi, koje vrste postoje, šta je besplatno a šta se plaća, kako se postavlja i, najvažnije za praksu, kako da istek sertifikata nikada ne oborite sajt. Ako su vam pojmovi poput servera i DNS-a novi, krenite od našeg objašnjenja domena i hostinga, a ovde idemo dublje u sam sertifikat.

Šta SSL sertifikat zapravo radi

Kada posetilac otvori sajt, između njegovog pregledača i servera putuju podaci: ono što čita, ono što kuca u forme, lozinka kojom se prijavljuje, broj kartice kojim plaća. SSL, tačnije njegov savremeni naslednik TLS, šifruje taj saobraćaj, pa ga niko usput ne može pročitati ni izmeniti. Sertifikat je dokument kojim server dokazuje da je baš on pravi primalac za dati domen, izdat od tela kome pregledači veruju.

Praktično, sertifikat obavlja dva posla odjednom. Prvi je poverljivost: podaci koji putuju su nečitljivi za svakoga ko bi da prisluškuje, na primer na javnom Wi-Fi mestu u kafiću. Drugi je identitet: posetilac ima potvrdu da razgovara sa serverom domena koji je ukucao, a ne sa nekim ko se ubacio u sredinu. Bez oba posla nema poverenja, a bez poverenja nema ni forme koju će neko popuniti, ni kupovine koju će neko završiti.

Šta se dešava sa sajtom bez sertifikata

Pregledači su odavno prestali da budu neutralni po ovom pitanju. Sajt koji radi bez šifrovane veze Chrome označava natpisom da nije bezbedan pored same adrese, a sajt čiji je sertifikat istekao ili neispravan dočekuje posetioca celim ekranom upozorenja, kroz koje većina ljudi nikada ne prođe. Za posetioce to izgleda isto kao da je sajt hakovan, iako je u pozadini možda samo istekao jedan dokument.

Posledice su vrlo konkretne. Posetilac koji je kliknuo na vaš sajt iz pretrage i naleteo na upozorenje vraća se nazad i bira sledeći rezultat. Kupac koji je u korpu stavio robu ne ostavlja broj kartice na stranici pored koje piše da nije bezbedna. A mejl koji pošaljete sa linkom ka sajtu bez https izgleda sumnjivo i filterima i ljudima. Sertifikat je zato odavno prestao da bude dodatak za banke i prodavnice: on je podrazumevani minimum za svaki sajt, od vizitkarte do portala.

Vrste sertifikata i kome koja treba

Sertifikati se razlikuju po tome šta izdavač proverava pre izdavanja i koliko adresa pokrivaju. Tabela daje kratak pregled.

Bitno je znati da jačina šifrovanja ne zavisi od vrste: DV sertifikat štiti saobraćaj isto kao EV. Razlika je u tome koliko je izdavač proverio ko stoji iza sajta, što posetilac u pregledaču danas gotovo i ne vidi, jer su pregledači ukinuli nekadašnje zelene oznake sa imenom firme. Zato je za tipičan poslovni sajt DV sertifikat sasvim dovoljan, a OV i EV imaju smisla tamo gde to traže interna pravila, partneri ili priroda posla.

Let’s Encrypt ili plaćeni sertifikat

Let’s Encrypt je neprofitno sertifikaciono telo koje DV sertifikate izdaje besplatno, automatizovano i na rok od 90 dana, uz zamisao da se obnova ne radi rukom nego automatski. Danas na njemu radi ogroman deo interneta, a podržavaju ga praktično svi ozbiljni hosting provajderi: na panelu postoji opcija koja sertifikat izda i produžava sama, bez ičijeg angažovanja.

Da li onda plaćeni sertifikat ima smisla? Ima, u tri slučaja. Prvi je kada vam treba OV ili EV provera identiteta, koju Let’s Encrypt ne radi. Drugi je kada poslovna pravila traže ugovornog izdavača sa podrškom i garancijom, što je čest zahtev u korporativnim i javnim okruženjima. Treći je kada infrastruktura ne podržava automatsku obnovu, pa je ručna obnova jednom godišnje praktičnija od ručne obnove na svaka tri meseca. Za sve ostale, besplatan sertifikat sa ispravno podešenom automatskom obnovom je tehnički ravnopravan izbor i standard koji podrazumevamo na sajtovima koje radimo.

Šta od toga košta, a šta ne

Oko cene SSL sertifikata vlada zbrka, pa da je raspletemo. Sam sertifikat može biti potpuno besplatan, preko Let’s Encrypt-a, i to je za većinu sajtova sasvim dovoljno. Plaćeni DV sertifikati koštaju od par hiljada dinara godišnje kod domaćih provajdera, a OV i EV osetno više, pri čemu cenu određuju izdavač i posrednik, ne mi. Neki hosting paketi sertifikat uključuju u cenu, neki ga naplaćuju posebno, i to je legitimno pitanje za provajdera pre kupovine, kao što smo opisali u pregledu provajdera hostinga u Srbiji.

Ono što se zapravo plaća, i što se najviše isplati, jeste briga da sertifikat uvek važi: da je obnova automatska, da se njen uspeh proverava i da neko reaguje kada obnova zakaže. Kod nas je taj nadzor deo održavanja sajta, zajedno sa ostalim bezbednosnim rutinama, pa vlasnik sajta o sertifikatu ne mora da razmišlja uopšte.

Kako se sertifikat postavlja

Postavljanje je danas daleko jednostavnije nego pre nekoliko godina. Na tipičnom hostingu sa cPanel ili sličnim panelom postoji odeljak za SSL u kom se besplatan sertifikat uključuje jednim potezom: panel sam dokaže kontrolu nad domenom, izda sertifikat i podesi obnovu. Kod wildcard sertifikata se kontrola nad domenom po pravilu dokazuje kroz DNS zapis, što je korak više, ali i to većina panela vodi kroz uputstvo.

Proveru kontrole nad domenom vredi razumeti bar u grubim crtama, jer je ona razlog većine zapinjanja. Izdavač pre izdavanja traži dokaz da zaista upravljate domenom za koji tražite sertifikat, i taj dokaz se izvodi ili postavljanjem posebnog fajla na sajt, ili dodavanjem posebnog DNS zapisa. Kada sajt menja server ili DNS podešavanja, taj mehanizam ume da se poremeti, pa sledeća automatska obnova tiho ne prođe. Zato posle svake selidbe ili promene DNS-a treba proveriti da obnova i dalje radi, a ne čekati da to pokaže kalendar.

Posle izdavanja ostaje drugi deo posla, koji se često preskoči: sajt treba da se služi isključivo preko https adrese. To znači preusmerenje sa http na https za sve stranice, ažuriranje adrese sajta u samom sistemu i proveru da svi resursi, slike, stilovi i skripte, stižu preko šifrovane veze. Tek tada je prelazak potpun. Ako se sajt istovremeno seli na drugi server, sertifikat se izdaje iznova na novom, što smo opisali u vodiču za migraciju sajta.

Istek i obnova: odakle dolazi panika

Najčešći SSL incident u praksi nije napad nego kalendar. Sertifikat važi ograničeno, besplatni 90 dana, plaćeni obično godinu, i jednog dana istekne. Ako je obnova automatska i zdrava, to niko ne primeti. Ako nije, sajt preko noći osvane iza upozorenja preko celog ekrana, telefon počne da zvoni, a uzrok je administrativni: dokument je istekao.

Obnova ume da zakaže tiho i iz banalnih razloga. Promenjen DNS pa provera kontrole nad domenom više ne prolazi, istekla kartica kojom se plaćeni sertifikat naplaćuje, nadogradnja servera koja je obrisala zakazani posao za obnovu, mejl sa upozorenjem izdavača koji je završio u neželjenoj pošti. Zato se zdravlje obnove proverava, a ne pretpostavlja: dobar nadzor pazi i na datum isteka i na to da li je poslednja automatska obnova zaista prošla, pa diže uzbunu nedeljama pre roka, dok je popravka još rutinska.

Mixed content: zamka posle prelaska na https

Sajtovi koji su nekada radili preko http, pa prešli na https, često ponesu jednu skrivenu boljku: deo sadržaja, najčešće slike u starijim tekstovima, i dalje se poziva preko starih http adresa. To se zove mixed content, mešani sadržaj, i pregledači ga ne vole: neke resurse tiho blokiraju, a katanac pored adrese zamene upozorenjem, iako sertifikat uredno važi.

Rešenje je mehaničko i jednokratno: stare http adrese u bazi i temi se zamene https verzijama, pa se sajt proveri alatom koji mešani sadržaj pronalazi. Na urednom sajtu posle toga svaka stranica nosi katanac bez zvezdica. Ovo je tipičan posao koji se uradi pri preuzimanju starijeg sajta, jednom i kako treba, umesto da godinama kvari utisak.

Https i Google

Google je još 2014. objavio da je https jedan od signala rangiranja, blag ali stvaran, i od tada ga tretira kao podrazumevano stanje ozbiljnog sajta. U praksi je uticaj na pozicije posredan ali dosledan: sajt bez https gubi poverenje posetilaca, posetioci se vraćaju na rezultate pretrage, a to ponašanje Google vidi. Uz to, pregledačka upozorenja na sajtu bez sertifikata obesmišljavaju svaki ulog u sadržaj i oglase, jer saobraćaj staje na pragu.

Zato https ne treba posmatrati kao SEO trik nego kao higijenu: on je uslov da sve ostalo, sadržaj, brzina, struktura, uopšte dođe do izražaja. Sajt koji danas radi bez njega ne čeka kaznu, nego je već plaća, u poverenju i u poseti.

Kontrolna lista: proverite svoj sertifikat

Za proveru vam ne treba tehničko znanje, dovoljan je pregledač i pet minuta:

• Otvorite sajt i kliknite na katanac pored adrese: pregledač pokazuje do kada sertifikat važi i ko ga je izdao.
• Ako je do isteka manje od dve nedelje, a ne znate ko ga obnavlja, raščistite to danas, ne na dan isteka.
• Ukucajte adresu sa http na početku: mora da vas prebaci na https verziju automatski.
• Prođite kroz nekoliko starijih stranica i proverite da katanac stoji na svakoj, bez upozorenja o mešanom sadržaju.
• Proverite i poddomene ako ih imate, jer sertifikat glavnog domena ne pokriva poddomene sam od sebe.
• Pitajte onoga ko vam održava sajt kako prati obnovu sertifikata; odgovor koji se svodi na valjda je automatski nije nadzor.

Ako na sajtu zateknete istekao sertifikat, upozorenje ili mešani sadržaj, to su stvari koje se rešavaju brzo kada ih radi neko kome je to rutina. Javite nam se, pa ćemo sertifikat, preusmerenja i obnovu dovesti u red u okviru redovnog održavanja.

Česta pitanja