Mi az az SSL tanúsítvány és miért fontos, hogy egy weboldal rendelkezzen vele?

Egy weboldal létrehozásához domainnévre, tárhelyre és biztonságos adatkapcsolatra is szükség van. Ez utóbbihoz kapcsolódik az, amit a gyakorlatban általában SSL tanúsítványnak nevezünk.

Az SSL tanúsítvány teszi lehetővé, hogy a weboldal és a látogató böngészője között titkosított kapcsolat jöjjön létre. Ennek köszönhetően a jelszavak, űrlapadatok, személyes információk és más érzékeny adatok nem egyszerűen olvasható formában közlekednek a böngésző és a szerver között. Ma már nem csak webshopoknak vagy bankkártyás fizetést kezelő oldalaknak van szükségük erre. A HTTPS a modern web alapvető biztonsági követelménye, ezért egy egyszerű céges bemutatkozó oldalnál is indokolt a használata.

Mi az SSL tanúsítvány?

Az SSL tanúsítvány egy digitális tanúsítvány, amely részt vesz a böngésző és a webszerver közötti titkosított kapcsolat kialakításában. Amikor megnyitsz egy HTTPS-t használó weboldalt, a szerver bemutatja a tanúsítványát a böngészőnek. A böngésző többek között ellenőrzi, hogy a tanúsítvány érvényes-e, az adott domainhez tartozik-e, illetve olyan hitelesítésszolgáltatóhoz vezet-e vissza, amelyben megbízik.

Ha ezek az ellenőrzések sikeresek, létrejöhet a titkosított kapcsolat. Ezt látod a gyakorlatban akkor, amikor a webcím https:// előtaggal töltődik be a korábbi http:// helyett.

SSL vagy TLS: melyik elnevezés a helyes?

Bár a köznyelvben és a szolgáltatók oldalain továbbra is gyakran találkozhatsz az „SSL tanúsítvány” kifejezéssel, a modern webes kommunikáció valójában már TLS-t, vagyis Transport Layer Security protokollt használ. Az SSL a technológia korábbi változata volt, amelyet később a TLS váltott fel. Az „SSL tanúsítvány” elnevezés azonban annyira elterjedt, hogy a tárhelyszolgáltatók, webfejlesztők és felhasználók továbbra is ezt használják.

Ha tehát egy szolgáltatónál SSL tanúsítványt látsz, az nem azt jelenti, hogy a régi SSL protokoll működik a háttérben. A kifejezés mára gyakorlatilag a HTTPS-kapcsolathoz használt tanúsítvány általánosan elterjedt neve lett.

Mi a különbség a HTTP és a HTTPS között?

A különbség biztonsági szempontból alapvető. HTTP-kapcsolat esetén a böngésző és a webszerver közötti kommunikáció nincs megfelelően titkosítva. Ha valaki hozzáfér a hálózati forgalomhoz, bizonyos körülmények között megfigyelheti vagy módosíthatja az átvitt adatokat. HTTPS esetén a kommunikáció TLS segítségével titkosított.

A név is erre utal: HTTP + TLS = HTTPS

Felhasználóként tehát nem önmagában egy „SSL fájlt” használsz. A tanúsítvány annak a rendszernek az egyik eleme, amely lehetővé teszi a biztonságos HTTPS-kapcsolat kialakítását.

Hogyan működik az SSL/TLS titkosítás?

Az SSL/TLS egyik fő feladata, hogy titkosítsa a weboldal és a felhasználó között áramló adatokat. Képzeld el úgy, mintha egy olyan nyelven beszélnél valakivel, amelyet az adott kommunikáció során csak ti tudtok megfelelően értelmezni. Ha valaki belehallgat a beszélgetésbe, nem az eredeti üzenetet kapja meg, hanem számára értelmezhetetlen információt.

A HTTPS működése természetesen ennél jóval összetettebb, de a gyakorlati eredmény hasonló: a böngésző és a szerver olyan kapcsolatot alakít ki, amely megakadályozza, hogy az adatforgalmat egyszerűen olvasható formában lehessen lehallgatni. Ez különösen jelszavaknál, személyes adatoknál, kapcsolatfelvételi űrlapoknál és más érzékeny információknál számít. A TLS nemcsak a titkosítást biztosítja, hanem a kapcsolat integritását is védi. Vagyis nemcsak azt nehezíti meg, hogy valaki elolvassa az adatokat, hanem azt is, hogy észrevétlenül módosítsa a böngésző és a szerver között továbbított tartalmat.

Mit igazol egy SSL tanúsítvány – és mit nem?

Gyakori félreértés, hogy ha egy weboldal HTTPS-t használ, akkor maga az oldal biztosan megbízható. A HTTPS nem ezt jelenti. A megfelelő tanúsítvány és a HTTPS azt mutatja, hogy a böngésző biztonságos kapcsolatot tud létrehozni az adott webhelyhez, és a tanúsítvány megfelel az ellenőrzés feltételeinek.

Ettől maga a weboldal még lehet megtévesztő vagy rosszindulatú. Egy adathalász oldal ugyanúgy rendelkezhet érvényes HTTPS-tanúsítvánnyal. Ezért változtattak a böngészők is a HTTPS megjelenítésén. A korábban használt zöld jelzés és lakatikon helyett ma már jóval visszafogottabban jelzik a biztonságos kapcsolatot, mert sok felhasználó tévesen a webhely megbízhatóságának bizonyítékaként értelmezte ezeket a jelzéseket. A HTTPS megléte mellett tehát azt is ellenőrizni kell, hogy valóban a megfelelő domainen jársz-e.

Miért fontos az SSL tanúsítvány használata?

A HTTPS elsődleges feladata a weboldal és a látogató közötti kommunikáció védelme. Ennek több gyakorlati következménye is van.

Érzékeny adatok védelme

Ha a weboldaladon bejelentkezés, regisztráció, kapcsolatfelvételi űrlap vagy más adatküldés történik, a felhasználó adatokat továbbít a szervernek. HTTP használatakor ezek az információk nincsenek ugyanúgy védve, mint HTTPS esetén. Titkosított kapcsolatnál egy hálózati támadó nem tudja egyszerűen elolvasni az adatforgalmat. Webshopoknál és más, érzékeny adatokat kezelő rendszereknél ennek még nagyobb a jelentősége.

Böngészőfigyelmeztetések és felhasználói bizalom

Az SSL vizuális megjelenítése az elmúlt években sokat változott. Már nem érdemes a régi „zöld lakatot” keresni. A böngészők a HTTP-oldalakat nem biztonságos kapcsolatként kezelhetik, és erre külön figyelmeztethetik a látogatót. Egy ilyen jelzés könnyen elég ahhoz, hogy valaki ne adja meg az adatait, ne jelentkezzen be vagy egyszerűen bezárja az oldalt. Egy céges weboldalnál ezért a HTTPS nemcsak technikai, hanem bizalmi kérdés is.

SSL és SEO

A HTTPS-re nem érdemes SEO-trükkként tekinteni. Elsődleges feladata nem a jobb Google-helyezés, hanem a biztonságos adatkapcsolat biztosítása. SEO-szempontból ugyanakkor egy korszerű weboldal technikai alapjának része. A HTTP és HTTPS verziók megfelelő kezelése, az átirányítások és a belső linkek következetessége azért is számít, hogy a keresőmotor ne találkozzon szükségtelenül több változattal ugyanabból az oldalból.

Mi történik, ha egy weboldal nem használ HTTPS-t?

HTTP használatakor a böngésző és a szerver között továbbított adatok nincsenek ugyanúgy védve, mint HTTPS esetén. Ennek kockázata különösen olyan hálózaton nő meg, amelyet nem te felügyelsz. Nyilvános Wi-Fi használatakor például nem tudhatod biztosan, kik férhetnek hozzá a hálózathoz vagy annak forgalmához. A probléma nemcsak az, hogy valaki megpróbálhatja elolvasni a kommunikációt. Titkosítatlan kapcsolatnál az adatforgalom módosítása is kockázatot jelenthet. Ezért jelszót, személyes adatot vagy más érzékeny információt nem célszerű olyan oldalon megadni, amely nem biztosít megfelelő HTTPS-kapcsolatot. A fordítottja viszont ugyanúgy igaz: a HTTPS megléte önmagában még nem bizonyítja, hogy a webhely megbízható. A domainnevet és magát az oldalt is ellenőrizni kell.

Ingyenes vagy fizetős SSL tanúsítványt válassz?

Egy alapvető HTTPS-kapcsolat biztosításához ma már nem feltétlenül kell külön fizetned a tanúsítványért. Sok tárhelyszolgáltató biztosít ingyenes SSL/TLS-tanúsítványt, amely egy átlagos céges weboldal, blog vagy webshop HTTPS-kapcsolatához megfelelő lehet. Attól tehát, hogy egy tanúsítvány ingyenes, még nem lesz automatikusan gyenge vagy kevésbé biztonságos.

Ingyenes SSL a Let's Encrypt segítségével

Az egyik legismertebb ingyenes hitelesítésszolgáltató a Let's Encrypt. A Let's Encrypt tanúsítványai rövid érvényességi idővel működnek, de a rendszer eleve automatizált megújításra készült. Megfelelő tárhely- vagy szerverbeállítás mellett a weboldal tulajdonosának nem kell minden alkalommal kézzel új tanúsítványt telepítenie. Ez a gyakorlatban sokszor teljesen automatikus. A tárhelyszolgáltató kezeli a tanúsítvány kiállítását, telepítését és megújítását, miközben a weboldal tulajdonosának alig van vele teendője.

Mikor lehet indokolt fizetős tanúsítvány?

Egy egyszerű weboldal esetében nem feltétlenül van szükség fizetős SSL/TLS-tanúsítványra csak azért, mert az komolyabb megoldásnak tűnik. A döntést inkább az alapján érdemes meghozni, hogy vannak-e speciális hitelesítési, támogatási, garanciális vagy vállalati követelmények. Egy átlagos weboldal HTTPS-kapcsolatához az ingyenes tanúsítvány is megfelelő lehet. Sokkal fontosabb, hogy a tanúsítvány helyesen legyen kiállítva, megfelelően telepítsék, és a megújítása folyamatosan működjön.

Mire figyelj az SSL tanúsítvány beállításakor?

A tanúsítvány telepítése önmagában még nem feltétlenül jelenti azt, hogy a weboldal HTTPS-re történő átállítása teljesen elkészült.

HTTP átirányítása HTTPS-re

Ha a weboldal korábban HTTP-n működött, gondoskodni kell arról, hogy a régi címek megfelelően a HTTPS-verziókra irányítsanak. Ellenkező esetben előfordulhat, hogy ugyanaz a tartalom HTTP és HTTPS alatt is elérhető marad. A belső linkeket, canonical címkéket, sitemapet és más technikai elemeket is célszerű következetesen HTTPS-re állítani.

Mixed content hibák

Gyakori probléma, hogy maga az oldal már HTTPS-en működik, bizonyos képeket, JavaScript-fájlokat, CSS-fájlokat vagy más erőforrásokat azonban még HTTP-címről próbál betölteni. Ezt nevezzük mixed contentnek, vagyis vegyes tartalomnak. A böngészők biztonsági okokból az ilyen erőforrások egy részét blokkolhatják, vagy megpróbálhatják automatikusan HTTPS-en betölteni. Ezért HTTPS-re váltás után nem elég csak a kezdőlap címét ellenőrizni. Az egész weboldalt érdemes átnézni, hogy ne maradjanak benne HTTP-ről betöltődő elemek.

A tanúsítvány megújítása

Az SSL/TLS-tanúsítványoknak van lejárati idejük. Ha egy tanúsítvány lejár, a böngésző biztonsági hibát jelezhet, ami akár meg is akadályozhatja a látogatót az oldal normál megnyitásában. A legjobb megoldás az automatikus megújítás. Ettől függetlenül érdemes időnként ellenőrizni, hogy a folyamat valóban működik-e. Egy szerverkonfigurációs hiba, DNS-módosítás vagy más technikai változás miatt az automatizált megújítás is meghiúsulhat.

Honnan tudhatod, hogy megfelelően működik az SSL tanúsítvány?

Elsőként nézd meg, hogy az oldal HTTPS-címen töltődik-e be, és jelez-e a böngésző bármilyen biztonsági problémát. Ne a régi zöld lakatot keresd, mert a böngészők kezelőfelülete azóta megváltozott. Ma inkább az a lényeg, hogy ne jelenjen meg tanúsítvány- vagy kapcsolatbiztonsági figyelmeztetés. Weboldal-tulajdonosként ezen túl azt is ellenőrizd, hogy:

• a HTTP-címek HTTPS-re irányítanak-e;

• nincs-e mixed content;

• a tanúsítvány a megfelelő domainnevekre érvényes-e;

• nincs-e tanúsítványhiba;

• működik-e az automatikus megújítás.

Az SSL/TLS-tanúsítvány tehát nem olyan extra, amelyre csak webshopoknak vagy különösen érzékeny adatokat kezelő weboldalaknak van szükségük. A HTTPS ma a biztonságos webes működés egyik alapja.

A tanúsítvány ugyanakkor csak egy része a weboldal védelmének. Nem helyettesíti a rendszeres frissítéseket, a biztonságos fejlesztést, a megfelelő hozzáférés-védelmet és a folyamatos karbantartást.