SSL-tanúsítvány: mit jelent a lakat, és mit nem?

Amikor egy weboldal címe https:// kezdetű, a böngésző és a szerver közötti forgalom titkosított. Ehhez a szervernek SSL/TLS-tanúsítványra van szüksége. (Az SSL a régi név; ma valójában a TLS protokoll fut, de a köznyelvben az SSL elnevezés maradt meg.)

Mit véd a https?#

• Titkosítás: aki a hálózaton lehallgatja a forgalmat (például egy nyilvános wifin), nem látja, mit küld el egy űrlapon, és milyen oldalakat néz az adott weboldalon belül.
• Sértetlenség: útközben senki nem tudja észrevétlenül megváltoztatni az oldal tartalmát (például reklámot vagy kártékony kódot beszúrni).
• A domain azonosítása: a tanúsítvány igazolja, hogy a böngésző tényleg az adott domain szerveréhez kapcsolódik.

Mit nem jelent a lakat?#

A lakat nem jelenti, hogy az oldal tulajdonosa megbízható, vagy hogy az oldal biztonságos vásárlásra. Egy csaló oldal is szerezhet érvényes tanúsítványt a saját domainjére. Ezért a Google Chrome a 117-es verziótól a lakat helyett egy semleges, beállításokat jelző ikont mutat a címsorban: a Chromium-csapat szerint a lakat sok felhasználót félrevezetett, mert megbízhatóságot sugallt.

Milyen tanúsítványok vannak?#

• DV (domain validated): a kiadó csak azt ellenőrzi, hogy a kérelmező rendelkezik-e a domain felett. Ilyen a díjmentes Let's Encrypt tanúsítvány is. A legtöbb weboldalnak ez teljesen elég: a titkosítás ugyanolyan erős, mint a drágább típusoknál.
• OV (organization validated) és EV (extended validation): a kiadó a szervezet adatait is ellenőrzi. A böngészők ma már nem jelenítik meg kiemelten ezeket az adatokat a címsorban, ezért a látogató számára a különbség alig látható.

A Let's Encrypt röviden#

A Let's Encrypt ingyenes, automatizált tanúsítványkiadó. Tanúsítványai alapesetben 90 napig érvényesek, ezért automatikus megújításra tervezték őket: a szerver magától kér újat a lejárat előtt. A privát kulcs mindig a saját szerveren készül és marad.

Gyakori hibák és megoldásuk#

„A kapcsolat nem privát” vagy tanúsítványhiba#

1. A tanúsítvány még nem készült el. Új domainnél vagy költözés után a tanúsítvány csak akkor készülhet el, ha a domain már az új szerverre mutat. Ez néhány perctől néhány óráig tarthat.
2. A név nem egyezik. A tanúsítványnak a www és a www nélküli címet is le kell fednie, ha mindkettőt használja.
3. Lejárt tanúsítvány. Az automatikus megújítás akkor akadhat el, ha a domain DNS-e közben megváltozott, vagy egy CAA-rekord kizárja a kiadót (lásd: DNS-alapok).
4. Rossz dátum a látogató gépén. Ha csak egy-egy látogatónál jelentkezik a hiba, gyakran az ő eszközén rossz az idő.

Vegyes tartalom (mixed content)#

Ha az oldal https-en töltődik be, de egyes képeket, szkripteket vagy stíluslapokat még http:// címről hív be, a böngésző ezeket letilthatja vagy figyelmeztetést mutat. Ez tipikusan régi oldalaknál vagy költözés után fordul elő.

A megoldás: a tartalomban és a beállításokban a belső hivatkozások legyenek https-esek. WordPressnél ellenőrizze a Beállítások → Általános menüben, hogy a WordPress-cím és a honlap címe https:// kezdetű legyen. A régi bejegyzésekben maradt http-s hivatkozásokat egy keresés-csere eszközzel javíthatja (lásd a költöztetési útmutató WP-CLI-példáját), előtte mindig mentéssel.

Irányítsa át a http-t https-re#

Ha a tanúsítvány működik, a http:// címet érdemes állandó (301-es) átirányítással a https:// címre küldeni, hogy a látogatók és a keresők mindig a titkosított változatot kapják. Sok vezérlőpult ezt egy kapcsolóval megoldja; Apache-szerveren a .htaccess fájllal is beállítható:

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

A HSTS – csak óvatosan#

A HSTS egy fejléc, amellyel a szerver előírja a böngészőnek, hogy a domaint egy ideig csak https-en nyissa meg. Ez növeli a biztonságot, de ha bekapcsolja, és később megszűnik a tanúsítvány, a látogatók nem tudnak belépni az oldalra, amíg a beállított idő le nem telik. Csak akkor kapcsolja be, ha a https már stabilan működik, és kezdje rövid idővel.

Egyes végződések, például az .app és a .dev, alapból a böngészők HSTS-listáján vannak: ezeknél a https nem választható, hanem kötelező.

Hogyan nézze meg a tanúsítványt?#

Kattintson a címsor elején lévő ikonra, majd a kapcsolat biztonságára vonatkozó menüpontra. Itt látja, kinek és ki állította ki a tanúsítványt, és meddig érvényes. Ha ügyfelei kérdezik, ezzel könnyen megmutathatja, hogy az oldal kapcsolata titkosított.

Gyakori kérdések#

Kell-e SSL, ha nincs űrlap az oldalon?#

Igen. A titkosítás nemcsak az űrlapokat védi, hanem azt is, hogy útközben senki ne módosíthassa az oldal tartalmát. Emellett a böngészők a titkosítatlan oldalakat „nem biztonságos” jelzéssel mutatják, ami elriaszthatja a látogatókat.

Lassítja az SSL az oldalt?#

A mai szervereken és böngészőkben a titkosítás többletterhe elhanyagolható. Sőt, a gyorsabb, modern HTTP-protokollokat a böngészők jellemzően csak titkosított kapcsolaton használják.

Kell-e külön tanúsítvány az aldomainekhez?#

A tanúsítványnak minden olyan nevet le kell fednie, amelyen az oldal elérhető. Az automatikus rendszerek (például a Let's Encrypt-alapú megoldások) jellemzően minden beállított domainhez és aldomainhez maguktól igényelnek tanúsítványt, ha azok már a szerverre mutatnak.

Mennyibe kerül egy SSL-tanúsítvány?#

A domain-ellenőrzött (DV) tanúsítvány a Let's Encrypt jóvoltából ingyenes, és a legtöbb tárhelyszolgáltató automatikusan biztosítja. Fizetős tanúsítványra általában csak akkor van szükség, ha egy szerződés vagy szabályozás kifejezetten szervezet-ellenőrzött (OV vagy EV) tanúsítványt ír elő.