Бесплатный HTTPS-сертификат: инструкция по получению. Подключаетесь к серверу через SSH-соединение. Сколько стоит SSL-сертификат

На дворе май 2017-го, а браузеры продолжают путь к "защищённому" интернету, смысл которого заключается в обязательной ssl-сертификации всех сайтов. Этот путь начался давно англ и, некоторое время назад Chrome начал дописывать "Информацию о сайте", в котором указано, что соединение с сайтом не защищено. Mozilla пошла дальше и теперь при заполнении форм входа на сайт, пользователи стали получать сообщение:

Это соединение не защищено. Логины, введенные здесь, могут быть скомпрометированы.

Описание данного явления можно увидеть на официальном сайте Mozilla.

Здорово, Mozilla! Молодцы, Mozilla! Теперь, для любого смертного, попадающего на Ваш сайт, это сообщение выглядит как: Эй, человек! Этот сайт очень страшный и опасный, и он точно сломает твой компьютер. А если не cломает то украдёт твои деньги!
Конечно, я утрирую, но такие надписи значительно уменьшают уровень доверия к сайту.

Ну что ж. Надо, так надо. Попробуем разобраться, что можно сделать без денег.

Если Ваш сайт имеет под собой коммерческую основу, то Вам ничего не стоит потратить хотя бы $100 - $200, чтобы купить нормальный сертификат. Но те, которые хотят "таблеток от жадности, да побольше!", и сертификат желают получить нахаляву (а лучше два =)). Я, со своим блогом, тоже в этом клане и для нас нищебродов есть сайты, которые выпускают бесплатные сертификаты. Их полно, но два отличаются особо: StartSSL и Let"s Encrypt.

Платные сертификаты лучше

Разница заключается в том, что бесплатные CA не дают гарантий. В какой-то момент сертификат может стать не валидным и тогда, с ним будет хуже, чем без него.

Выбор платных CA велик: RapidSSL, GeoTrust, Comodo. Могу рекомендовать только Thawte англ.
С другими не работал, а от Thawte остались положительные впечатления.

Бесплатный сертификат от StartSSL

StartSSL, который переехал на адрес startcomca.com англ раздаёт сертификаты давно и даже статьи на хабре есть по этому поводу. Впрочем, они уже не актуальны.

Бесплатные сертификаты от StartSSL не валидны

С 21-го октября 2016 года браузеры перестали доверять CA StartSSL и WoSign. Так описывают эту причину Google англ. StartSSL сообщают, что исправят проблемы в течении полугода.

Чтобы получить бесплатный сертификат от StartSSL, необходимо:

1. Зарегистрироваться на startcomca.com англ
2. Подтвердить право владения доменом(и) (верификация)
3. Сгенерировать CSR и сделать запрос на получение сертификата одним из предложенных способов
4. Прикрепить полученный сертификат к домену

1. Регистрация в startcomca.com

Регистрация англ простая. Пароля нет, почту подтверждать не надо. Каждый последующий вход выполняется путём получения кода для входа на почту.

2. Верификация

Верифицировать можно разными способами. Мы берём бесплатный сертификат, поэтому любой способ подойдет. Выбираем что проще. Например, верификация по email"у.

Верификация проходит также как и в большинстве других случаев: подтверждением владения почты административной почты. На почту приходит код, вводим его, профит. После этого в правом столбце у Вас появится подтверждённое доменное имя.

3. Запрос на сертификат

Теперь у нас есть подтвержденный домен и можно приступать к получению сертификата. Выбираем самый простой тот, что бесплатный

Этот шаг занимает чуть больше времени, чем остальные, но тоже прост: заполняем форму и отправляем.

4. Крепление сертификата к домену

Начать стоит, безусловно, со скачивания самого сертификата. Список всех сертификатов можно увидеть на странице Certificate list .

В скачанном архиве будет несколько папок и куча сертификатов. Это все один и тот же сертификат, только используется в разных случаях.

Сам процесс крепления обычно начинается и заканчивается запросом в службу техподдержки, где вам нужно будет предоставить полученный архив и файл с расширением.key, который Вы сформировали самостоятельно.

Сертификат от Let"s Encrypt

Однажды, два сотрудника из Mozilla почесали и репу и сказали: "Ёшки-матрёшки! Да что ж это такое?! Сертификаты - это же, всего лишь, единицы и нули. А почему бы нам не раздавать их всем желающим?.. Ну хотя бы тем, у кого нет коммерческой подоплёки?". Другие воскликнули: "Да! Давайте раздавать!". Так возникла идея автоматизированного сервиса по выдаче бесплатных сертификатов сроком на 90 дней, которую, мы теперь знаем под названием Let"s Encrypt.

Этот сервис полностью автоматизирован. Он устанавливается на хостинг за 15 минут, а процедура получения сертификата занимает до 30 секунд, в которую входит выполнение 2-х команд.

Установка CertBot"а - это отдельная тема, но всё же приведу несколько ссылок:

IT-Patrol

Хостинг, который вызывает у меня симпатию IT-Patrol, тоже поддерживает автоматизированный выпуск сертификатов от Let"s Encrypt. Этот хостинг "заточен" на работу с cms Drupal всех версий и нынче он располагается по адресу drupalhosting.ru . Моё последнее обращение к ним началось с просьбы о подключении автогенерации сертификата от Let"s Encrypt. Наше общение было такое же простое, лёгкое и приятное, как все предыдущие и через некоторое время я получил заветное сообщение "Подключили сертификаты. Проверьте, пожалуйста."

SSL (Secure Sockets Layer - уровень защищённых cокетов) - криптографический протокол, который подразумевает более безопасную связь. Протокол SSL использует сертификаты для проверки принадлежности открытого ключа его реальному владельцу.

HTTPS (HyperText Transfer Protocol Secure) - расширение протокола HTTPдля поддержки шифрования в целях повышения безопасности. Данные в протоколе HTTP

S передаются поверх криптографических протоколов SSL или TLS. Он обеспечивает защиту от атак, основанных на прослушивании сетевого соединения, при условии, что будут использоваться шифрующие средства, а сертификат сервера проверен и ему доверяют.

Если не углубляться в дебри определений, а сказать человеческим языком, - это некий метод шифрования ваших данных при сёрфинге в интернете, защищённый с помощью ключей шифрования.

Все передаваемые данные шифруются. И даже, если их перехватит злоумышленник, без секретного ключа, который известен только владельцу сертификата, воспользоваться ими он никогда не сумеет .

Когда вы пользуйтесь каким-нибудь сайтом, который хранит и использует ваши личные данные, а тем более, которой использует методы оплаты или другие финансовые операции, вы хотите что бы эта информация была в безопасности. Эту задачу, как раз и решает .

Ход ят слухи о том, что в будущем наличие SSL сертификатов на коммерческих сайтах , войдет в список факторов ранжирования и будет позитивно оцениваться в поиске Google, хотя официального заявления компания ещё не делала.

Типы SSL сертификатов

Существуют различные виды сертификатов с разным уровнем проверки. Есть самые простые, с проверкой только домена, а есть с проверкой организации и других данных:

Простые

Domain Validation, (DV) – в сертификате указан только домен. Наиболее распространённый вид SSl-сертификатов среди физических лиц. Сертификаты, которые выпускаются для физических лиц, чаще всего подвергаются упрощенной проверке, то есть проверяется только доменное имя, на которое выпускается сертификат.

С проверкой компании

Organization Validation, (OV) – указан домен и название компании. Сертификаты OV, так же доступны для физ.лиц, но процесс валидации намного сложнее и требует заполнения документов и заверение у нотариуса.

С расширенной проверкой

Extended Validation, (EV) – зеленая адресная строка браузера, название компании в ней, в сертификате также домен и название компании. Сертификаты EV физическим лицам в принципе не выдаются. Процесс проверки даже для компаний довольно сложный.

Бесплатный SSL-сертификат

В большинстве случаев, рядовым пользователям совсем не обязательно платить за ssl-сертификат, и значительный ряд хостинг-компаний, предоставляет его своим клиентам бесплатно. Но как быть, если провайдер "ломит" цены?

Для малого бизнеса, дорогой и сложный сертификат не нужен и мы рассмотрим получение простого, бесплатного(Essential) ssl-сертификата, который позволяет установить защищенное соединение с вашим сайтом.

Не платите за воздух..

Покупая платный, простой сертификат, вы платите за воздух.. Почему? Да потому, что никаких сложных вычислений не происходит и всё делается автоматически. Например на сайте Comodo, просят 80$ в год минимум, а в это время, на другом сайте, их же сертификат стоит 5$. Выводы напрашиваются сами собой.

Где и как получить SSL сертификат бесплатно

Ну, вот, мы и подошли к самому главному. Где и как получить ssl-сертификат бесплатно.

Переход сайта на https протокол рано или поздно будет обязательным условием для дальнейшей работы сайта в интернете. Протокол https является безопасным для передачи данных между сайтом и посетителями, так как при передаче данные надежно шифруются. Гугл уже сейчас информирует, что с 2017 года будет ранжировать сайты с HTTPS протоколом выше чем на HTTP.

Тем кто решил самостоятельно установить сертификат, можно сказать что процедура эта безопасная и падением сайта не грозит. Ничего опасного для сайта вы сделать не сможете, даже если перепутаете порядок установки кодов.

Так как панели управления сайтом на хостингах разные, то и установка сертификата немного будет отличаться друг от друга. Но на каждом сервере есть своя инструкция по установке SSL-сертификата. Проверить правильность установки сертификата для сайта можно . Результат проверки сертификата на картинке ниже.

Диагностика домена позволяет узнать действительность SSL-сертификата, правильно ли он установлен и какие ошибки обнаружены. Здесь же можно купить недорого нужный тип ssl-сертификата. Выбрать бесплатный ssl сертификат для сайта или перейти на платный сертификат, каждый решает исходя из своих задач и целей.

Если вы собираете любую важную информацию на своем веб-сайте (включая электронную почту и пароль), то вам нужно быть в безопасности. Один из лучших способов обезопасить себя - включить HTTPS сертификат, также известный как SSL (уровни защищенных сокетов), чтобы вся информация, поступающая на ваш сервер и исходящая из него, автоматически шифровалась. HTTPS сертификат предотвращает взлом хакерами конфиденциальной информации ваших пользователей при хранении оной в интернете. Они будут чувствовать себя в безопасности, когда увидят HTTPS сертификат при доступе к вашему сайту, - зная, что он защищен сертификатом безопасности.

Преимущества HTTPS сертификата

Самое лучшее в SSL сертификате, как и в HTTPS - это то, что его просто настроить, и как только это будет сделано, вам нужно будет направить людей на использование сертификата HTTPS вместо HTTP. Если вы попытаетесь получить доступ к своему сайту, разместив https: // перед вашими URL прямо сейчас, вы получите сообщение об ошибку HTTPS сертификата. Это потому, что вы не установили SSL сертификат HTTPS. Но не волнуйтесь - мы проведем настройку прямо сейчас!

Ваши посетители будут чувствовать себя безопаснее на вашем сайте, когда они увидят HTTPS сертификат при доступе к вашему сайту - зная, что он защищен сертификатом безопасности.

Что такое HTTPS?

HTTP или HTTPS отображаются в начале каждого URL-адреса веб-сайта в веб-браузере. HTTP - это протокол передачи гипертекста, а S в HTTPS - Secure. В общем, это описывает протокол, по которому данные отправляются между вашим браузером и веб-сайтом, который вы просматриваете.

Сертификат HTTPS гарантирует, что вся связь между вашим браузером и веб-сайтом, который вы просматриваете, зашифрована. Это означает, что это безопасно. Только принимающие и отправляющие компьютеры могут видеть информацию при передаче данных (другие могут получить к ней доступ, но не смогут ее прочитать). На защищенных сайтах веб-браузер отображает значок замка в области URL-адреса, чтобы уведомить вас.

HTTPS должен быть на любом веб-сайте, который собирает пароли, платежи, медицинскую информацию или другие конфиденциальные данные. Но что, если вы можете получить бесплатный и действительный сертификат SSL для своего домена?

Как работает защита веб-сайта?

Чтобы включить сертификат безопасности HTTPS, вам необходимо установить Он содержит открытый ключ, который необходим для безопасного начала сеанса. Когда запрашивается HTTPS-соединение с веб-страницей, сайт отправляет сертификат SSL в ваш браузер. Затем они инициируют «рукопожатие SSL», которое включает в себя разделение «секретов» для установления безопасного соединения между вашим браузером и веб-сайтом.

Стандартный и расширенный SSL

Если сайт использует стандартный сертификат SSL, вы увидите значок замка в области URL-адреса браузера. Если используется сертификат расширенной проверки (EV), адресная строка или URL-адрес будут зелеными. Стандарты EV SSL превосходят стандарты SSL. EV SSL обеспечивает удостоверение личности владельца домена. Получение сертификата EV SSL также требует от претендентов пройти строгий процесс оценки, чтобы подтвердить их подлинность и право собственности.

Что будет если использовать HTTPS без сертификата?

Даже если ваш веб-сайт не принимает и не передает конфиденциальные данные, существует несколько причин, по которым вы можете захотеть иметь защищенный веб-сайт и использовать бесплатный и действительный сертификат SSL для своего домена.

Представление. SSL может улучшить время, необходимое для загрузки страницы.

Поисковая оптимизация (SEO). Цель Google заключается в том, чтобы интернет был безопасным и безопасным для всех, а не только для тех, кто использует Google Chrome, Gmail и Диск, например. Компания заявила, что безопасность будет фактором того, как они ранжируют сайты в результатах поиска. Пока этого мало. Однако, если у вас есть защищенный веб-сайт, а ваши конкуренты этого не делают, ваш сайт может получить более высокий ранг, что может быть необходимо для увеличения его популярности со страницы результатов поиска.

Если ваш сайт не защищен и он собирает пароли или кредитные карты, то пользователи Chrome 56 (выпущенного в январе 2017 года) будут видеть предупреждение о том, что сайт небезопасен. Посетители, не знакомые с технологией, (большинство пользователей веб-сайта) могут быть встревожены, увидев окно «ошибка HTTPS сертификата», и покинуть ваш сайт, просто потому, что не понимают, что это значит. С другой стороны, если ваш сайт защищен, это может сделать посетителей более непринужденными, что повысит вероятность того, что они заполнят регистрационную форму или оставят комментарий на вашем сайте. У Google есть долгосрочный план, чтобы показать все HTTP-сайты как небезопасные в Chrome.

Где можно получить бесплатный HTTPS сертификат?

Вы получаете SSL-сертификат от центра сертификации. Такие сертификаты действительны в течение 90 дней, но рекомендуется продление на 60 дней. Некоторые надежные бесплатные источники:

• Cloudflare: бесплатный для личных сайтов и блогов.
• FreeSSL: бесплатный для некоммерческих организаций и стартапов на данный момент; не может быть клиентом Symantec, Thawte, GeoTrust или RapidSSL.
• StartSSL: сертификаты действительны в течение от 1 до 3 лет.
• GoDaddy: сертификаты для проектов с открытым исходным кодом, действительны в течение 1 года.

Тип сертификата и срок его действия зависят от источника. Большинство органов власти предлагают стандартные сертификаты SSL бесплатно и взимают плату за сертификаты EV SSL, если они их предоставляют. Cloudflare предлагает бесплатные и платные планы и различные дополнительные опции.

Что нужно учитывать при получении сертификата SSL?

Вам нужно будет решить, нужен ли вам один, несколько доменов или групповой сертификат:

1. Один сертификат будет использоваться для одного домена (например, www.example.com).
2. Многодоменный сертификат будет использоваться для нескольких хорошо известных доменов (например, www.example.com, cdn.example.com, example.co.uk).
3. Сертификат подстановочного знака будет использоваться для безопасного домена со многими динамическими субдоменами (например, a.example.com, b.example.com).

Как установить сертификат SSL?

Ваш веб-хостинг может установить сертификат бесплатно или за отдельную плату. У некоторых хостов фактически есть опция установки Let"s Encrypt в своём личном кабинете cPanel, что упрощает работу. Запросите у своего текущего хоста или найдите тот, который предлагает прямую поддержку Let"s Encrypt. Если хост не предоставляет эту услугу, ваша компания по обслуживанию веб-сайта или разработчик могут установить сертификат для вас. Вы должны быть готовы к тому, что вам придется обновлять сертификат очень часто. Проверьте таймфрейм с сертификатом.

Что еще нужно сделать?

После получения и установки SSL-сертификата вам необходимо принудительно применить SSL на сайте. Опять же, вы можете попросить ваш веб-хост, компанию по обслуживанию или разработчика выполнить данное действие. Однако если вы предпочитаете делать это самостоятельно, и ваш сайт работает на WordPress, вы можете сделать это путем загрузки, установки и использования плагина. При последнем варианте обязательно проверяйте совместимость с вашей версией WordPress.

Два популярных плагина для принудительного использования SSL: простой SSLWP, принудительный SSLSSL-плагин. Обязательно создайте резервную копию своего сайта и будьте очень осторожны при выполнении этого. Если вы неверно настроите что-то, это может иметь плачевные последствия: посетители не смогут увидеть ваш сайт, изображения не отображаются, скрипты не загружаются, что повлияет на то, как некоторые вещи на вашем сайте функционируют, например, типографика и цвета не отображаются должным образом.

Вам нужно перенаправить пользователей и поисковые системы на HTTPS-страницы с помощью в файле.htaccess в корневой папке на сервере. Файл.htaccess является невидимым файлом, поэтому убедитесь, что ваша настроена на показ скрытых файлов. В FileZilla, например, перейдите в раздел Сервер> Принудительный просмотр скрытых файлов. FileZillaBefore, прежде чем добавлять переадресации, было бы неплохо создать резервную копию файла.htaccess. На сервере временно переименуйте файл, удалив период (что и делает его невидимым в первую очередь), скачайте файл (который теперь будет виден на вашем компьютере в результате удаления периода), затем добавьте период назад в том, что на сервере.

Изменение настроек Google Analytics

После выполнения этих действий вам необходимо изменить предпочтительный URL-адрес в своей учетной записи Google Analytics, чтобы отобразить HTTPS-версию вашего домена. В противном случае статистика вашего трафика будет отключена, потому что версия URL-адреса HTTP воспринимается как совершенно другой сайт из версии HTTPS сертификата. Консоль Google Search Console рассматривает HTTP и HTTPS также как отдельные домены, поэтому добавьте в нее учетную запись домена HTTPS. Помните, когда вы переключаетесь с HTTP на HTTPS сертификат, если на вашем сайте есть кнопки специального доступа, счетчик будет сброшен.

В этой статье я расскажу где совершенно бесплатно и легально получить SSL сертификат для своего сайта на срок от одного до трех лет, чтобы ваш ресурс был доступен не только по протоколу HTTP, но и HTTPS.

В последнее время участились разговоры о защищенном протоколе HTTPS. О том что для любого сайта будет крайне полезен переход на его использование. Связано это с тем, что у посетителей будет больше доверия к такому сайту. Так же ожидается лучшая лояльность поисковых систем. Кроме того постоянно витают слухи, что в ближайшем будущем популярные браузеры вообще откажутся от использования незащищенного протокола HTTP.

По-совести говоря, сам HTTPS протокол не говорит о том, что посещаемый вами ресурс безопасен. Он обещает, что данные которыми вы обмениваетесь с посещаемым сайтом не могут быть перехвачены никем другим.

Виды SSL сертификатов

Сертификатов SSL для сайтов существует несколько видов.

Cамоподписной сертификат

Самый простой и бесплатный - это самоподписной сертификат (self-signed), который можно сгенерировать прямо на веб-сервере. Минус этого сертификата в том, что на такой сертификат все браузеры будут выдавать предупреждение, что сайт не проверен.

Для служебных целей и для внутреннего использования такие сертификаты подходят, а вот для публичных сайтов, а тем более для сайтов, которые продают услуги, такие сертификаты нежелательны. Посудите сами, хотели бы вы, чтобы ваш клиент при заказе услуги увидел вот такую ошибку на весь экран? Как показывает практика, большинство посетителей такая страничка отпугивает и отбивает желание продолжать заказ дальше.

Сертификаты, которые подтверждают только доменное имя (Domain Validation - DV)

Это самые простые сертификаты, это ваш выбор если сертификат вам нужен срочно, так как выпускаются они автоматически и моментально. При проверке такого сертификата отсылается письмо со специальной ссылкой, по которой нужно кликнуть, чтобы подтвердить выпуск сертификата.

Сертификаты, которые подтверждают домен и организацию (Organization Validation - OV)

В таком сертификате уже будет указано название организации. Такой сертификат частное лицо получить не может. Срок выдачи таких сертификатов как правило от 3 до 10 рабочих дней, зависит от центра сертификации.

Сертификаты, с расширенной проверкой (Extendet Validation - EV)

Это самые дорогие сертификаты и получить их сложнее всего. В таких сертификатах есть так называемый «green bar» - то есть при входе не сайт, где установлен такой сертификат в адресной строке браузера посетителя появится зеленая строка, в которой будет указано название организации, получившей сертификат. Пожалуй это самый заветный сертификат для владельца сайта.

Типы SSL сертификатов по своим свойствам

Wildcard . Сертификаты, которые выдаются на все поддомены одного домена. Если у вас много региональных или других поддоменов, то обязательно нужно брать wildcard-сертификат.
С поддержкой IDN . Не все сертификаты поддерживаются для кириллических доменов. Если у вас кириллический домен, то нужно искать сертификаты с поддержкой IDN.
SGC сертификаты — это сертификаты с поддержкой повышения уровня шифрования. Актуально для очень старых браузеров, которые поддерживали только 40 или 56 бит шифрование.

Какой сертификат выбрать для сайта

Для частных лиц владельцев сайтов (блогов) доступен только один вид сертификатов: Domain Validation - DV. К счастью он самый дешевый, а дальше я расскажу где можно получить его бесплатно на срок от одного до трех лет.

Где взять SSL сертификат для сайта бесплатно

Мир не без добрых людей. В сети есть несколько ресурсов, которые раздают SSL сертификаты совершенно бесплатно.

CAcert

Mozilla

В сентябре 2015 года Mozilla обещают сделать бесплатную выдачу сертификатов .

Переход на использование HTTPS

Сначала необходимо получить SSL сертификат. Я рекомендую StartSSL . В сети полно информации как это сделать.
Затем вам необходимо настроить веб-сервер, установив SSL сертификат. Здесь многое зависит от типа сервера и используемой панели управления. В частности в VestaCP все настройки можно сделать прямо в окне браузера.

На втором этапе необходимо настроить ваш сайт. В частности переделать все прямые ссылки с HTTP на HTTPS. Подробнее читайте у Сергея Кокшарова . Он написал замечательную инструкцию по переходу на HTTPS.

Чтобы использовать HTTPS протокол необходим выделенный IP адрес. Который есть по-умолчанию у владельцев виртуальных и выделенных серверов. Пользователи обычного шаред хостинга так же могут получить выделенный адрес, но не на всех хостингах это возможно. Поэтому на мой взгляд лучше сразу переходить на виртуальный или выделенный сервер, благо у меня