در این راهنمای قطعی نحوه SSL، ما قصد داریم ایمن سازی وب سایت را با جزئیات بررسی کنیم و منابع عالی را ارائه کنیم تا بتوانید با اطمینان و سهولت وب سایت خود را ایمن کنید.
سایت شما دارایی ارزشمندی است که برای آن زمان، فکر و انرژی صرف کرده اید. حفاظت از آن حیاتی است.
بهترین راه برای انجام این کار؟ حداقل حضور و قدرت HTTPS.
ارزش ایمن سازی وب سایت
احتمالاً متوجه تغییر بسیاری از URL های وب سایت شده اید که از HTTP به HTTPS در دهه گذشته، به ویژه در نیم دوجین سال گذشته تغییر کرده اند. اگر به جزئیات بیشتر علاقه دارید، یک مقاله ویکی جالب در جدول زمانی وجود دارد.
بنابراین چه چیزی HTTPS را اینقدر خوب می کند؟
یک سایت HTTPS وردپرس باعث می شود که کسب و کار آنلاین شما برای بازدیدکنندگان قابل اعتمادتر باشد. از لحظه ای که سایت شما در مرورگر خود بارگذاری می شود، آنها یک نشانه بصری می بینند که اطلاعات شخصی آنها در گوشه ای از جهان شما (وب گسترده) به شدت محافظت می شود.
از آنجایی که موتورهای جستجو از وبسایتهای HTTPS حمایت میکنند، سئو را نیز تقویت خواهید کرد. به گفته تحلیلگران Google Webmaster Trends، SSL بخشی از الگوریتم رتبه بندی جستجوی گوگل است.
دریافت پاداش با بهبود زمان بارگذاری صفحه یکی دیگر از بخش های عالی این بسته است. چه کسی خواهان افزایش عملکرد نیست؟
HTTPS، با نام رمزگذاری سرتاسر، می تواند به جلوگیری از انواع حملات آنلاین، از جمله بدهای بزرگ معروف به حملات APT و MitM کمک کند. در اینجا خلاصه ای سریع در مورد این موارد وجود دارد:
APT ها (تهدیدهای پایدار پیشرفته)
کمپین های حمله ای هستند که در آن مهاجمان از تکنیک های مداوم، مخفیانه و پیچیده برای دسترسی به یک سیستم استفاده می کنند و برای مدت طولانی در داخل آن می مانند. اینها پیامدهای بالقوه مخربی دارند.
حملات MitM (مردی در وسط)
زمانی است که یک مجرم سایبری به یک شبکه Wi-Fi ناامن یا با امنیت ضعیف دسترسی پیدا می کند تا داده های ارسال شده را رهگیری و بخواند، اعتبار ورود به سیستم، اطلاعات بانکی و سایر اطلاعات شخصی را ضبط کند. مهاجم همچنین ممکن است شخص یا نهادی را که شما فکر میکنید با او صحبت میکنید جعل کند تا اطلاعات را بدزدد.
متأسفانه، به نظر نمی رسد که این حملات سایبری کند شوند. در حالی که وجود HTTPS در وب سایت شما کاملاً احمقانه نیست، دفاع شما را در برابر APT ها، حملات MitM، بدافزارها، حملات مستقیم هکرها و تعداد زیادی آسیب پذیری دیگر بسیار بهبود می بخشد.
در مرحله بعد، بیایید ببینیم که رمزگذاری واقعاً چگونه کار می کند.
HTTP در مقابل HTTPS
HTTP (پروتکل انتقال ابرمتن) امکان برقراری ارتباط بین سیستم های مختلف – مانند مرورگر شما به سرور وب – را فراهم می کند تا بتوانید صفحات وب را مشاهده کنید یا داده ها را انتقال دهید. HTTP داده ها را در متن ساده جابجا می کند، اما ناامن است/به راحتی برای خواندن در دسترس همه است.
HTTPS (پرتکل انتقال ابرمتن امن) HTTP با یک لایه امنیتی اضافه شده است. از گواهینامه های SSL (Secure Sockets Layer) برای رمزگذاری اطلاعاتی که بین مرورگر شما و سرور جریان دارد استفاده می کند و از اطلاعات حساس در برابر سرقت محافظت می کند.
هنگامی که یک وب سایت ایمن است، HTTPS از طریق گواهی SSL در URL ظاهر می شود. این با علامت قفل در نوار مرورگر نشان داده می شود.
میتوانید روی آن قفل کوچک کلیک کنید تا اطلاعات گواهی را مشاهده کنید، که جزئیات بیشتری را ارائه میکند، از جمله اینکه گواهی برای چه کسی (مالک وبسایت)، چه کسی صادر شده است (مرجع گواهی)، و تاریخ معتبر از/تا تاریخ.
لایه امنیتی اضافی در HTTPS از پروتکل TLS (Transport Layer Security) می آید. TLS فقط یک نسخه به روز شده و امن تر از SSL است. از هر ده بار، 9 بار گواهیهای امنیتی را میشنوید که به آن SSL گفته میشود، بیشتر به این دلیل که اصطلاحی است که مردم به آن عادت میکنند.
HTTPS در ایمن سازی وب سایت چگونه کار می کند؟
به طور خلاصه … یک مرورگر به سرور دسترسی پیدا می کند و یک اتصال “دست دادن” ایجاد می شود. در حین دست دادن، سرور یک گواهی SSL می فرستد که دارای یک کلید عمومی نامتقارن برای مشتری و یک کلید خصوصی است که در سرور وب (خود) ذخیره می شود. این تضمین می کند که تمام داده های موجود در جریان رمزگذاری شده است.
HTTPS از دو نوع رمزگذاری انتها به انتها استفاده می کند که اکنون با جزئیات بیشتر آنها را بررسی خواهیم کرد.
رمزگذاری End-to-End برای ایمن سازی وب سایت
رمزگذاری نامتقارن به عنوان رمزنگاری کلید عمومی شناخته می شود. یک کلید عمومی برای رمزگذاری داده ها استفاده می شود، در حالی که یک کلید خصوصی برای رمزگشایی داده ها استفاده می شود. این دو کلید به هم وصل شده اند و در واقع اعداد بسیار بزرگی هستند که ویژگی های ریاضی خاصی دارند. اگر پیامی را با استفاده از کلید عمومی شخصی رمزگذاری کنید، آنها می توانند با استفاده از کلید خصوصی منطبق آن را رمزگشایی کنند.
رمزگذاری متقارن زمانی است که فقط از یک کلید برای رمزگذاری و رمزگشایی داده ها استفاده می شود. نهادها در طول ارتباط برای رمزگذاری و رمزگشایی داده ها، کلید یکسانی را به اشتراک خواهند گذاشت.
زیرساخت کلید عمومی (PKI)
هر دو TLS و SSL از یک سیستم PKI نامتقارن استفاده می کنند. داده های رمزگذاری شده توسط یک کلید عمومی را فقط می توان با کلید خصوصی یا برعکس رمزگشایی کرد. کلیدهای خصوصی باید بسیار ایمن نگهداری شوند و هرگز در دسترس دیگران غیر از مالک وب سایت قرار نگیرند. کلیدهای عمومی را می توان برای هر کسی که نیاز به رمزگشایی اطلاعاتی که با کلید خصوصی رمزگذاری شده است توزیع کرد.
کلاینت بر اساس الگوریتم ها یک کلید جلسه ایجاد می کند. این کلید جلسه با استفاده از کلید عمومی رمزگذاری می شود. سپس به سرور ارسال خواهد شد. سرور از کلید خصوصی نامتقارن برای رمزگشایی کلید جلسه رمزگذاری شده استفاده می کند و کلید جلسه را دریافت می کند. مرورگر از کلید جلسه برای رمزگذاری و رمزگشایی داده های جلسه استفاده می کند.
اکنون داده ها ایمن می شوند زیرا کلید جلسه توسط مشتری و سرور شناخته می شود. هنگامی که جلسه منقضی شد، فرآیند دوباره تکرار می شود، زیرا کلید جلسه دیگر معتبر نخواهد بود.
امروز ما از الگوریتم رمزگذاری AES استفاده می کنیم که به عنوان استاندارد فدرال توسط موسسه ملی استاندارد و فناوری (NIST) پذیرفته و منتشر شده است.
استاندارد رمزگذاری پیشرفته (AES) از یک کلید به عنوان بخشی از فرآیند رمزگذاری استفاده می کند. طول کلید می تواند 128 بیت (16 بایت)، 192 بیت (24 بایت) یا 256 بیت (32 بایت) باشد. با توجه به اینکه سریعترین رایانه میلیاردها سال طول میکشد تا از طریق هر جایگشت یک کلید 256 بیتی اجرا شود، که برای مدت کوتاهی معتبر است، ربودن کلید جلسه بسیار دشوار است. به همین دلیل است که AES یک استاندارد رمزگذاری بسیار امن در نظر گرفته می شود.
ایمن سازی وب سایت با SSL چیست؟
SSL مخفف Secure Sockets Layer است و فناوری استاندارد برای ایمن نگه داشتن اتصال اینترنت است. از هرگونه داده حساسی که بین دو سیستم ارسال می شود محافظت می کند، بنابراین از رهگیری داده های موجود در جریان توسط گیرندگان ناخواسته که ممکن است قصد مجرمانه داشته باشند جلوگیری می کند.
این کار با اطمینان از عدم امکان خواندن هرگونه داده ای که بین کاربران و سایت ها یا بین دو سیستم منتقل می شود انجام می شود. از الگوریتمهای رمزگذاری برای به هم زدن دادهها در حین انتقال استفاده میکند و از خواندن آنها هنگام ارسال از طریق اتصال توسط هکرها جلوگیری میکند.
این شامل هر چیزی حساس یا شخصی است، مانند نام و آدرس، ورود به سیستم، ایمیل، شماره کارت اعتباری و سایر اطلاعات مالی. و از طریق FTP، برنامه های وب، رایانه های مبتنی بر ابر، سیاره های میزبان (مانند cPanel)، VPN ها، اینترانت ها، اکسترانت ها و اتصالات DB گسترش می یابد.
برای روشن شدن سریع یک نکته: اگرچه اصطلاحات به جای یکدیگر استفاده می شوند و آنها ذاتاً به هم متصل هستند، HTTPS SSL نیست. HTTPS ترکیبی از HTTP و SSL یا TLS است. بنابراین به طور دقیق تر، HTTPS یکی از نمونه های رایج SSL است.
با این گفته، اجازه دهید به گواهینامه های SSL برویم.
گواهی SSL چیست؟
یک گواهی SSL اطلاعاتی را که کاربران به یک سایت ارائه می کنند رمزگذاری می کند، که اساسا داده ها را به کد پیچیده تبدیل می کند. حتی اگر کسی بتواند اطلاعاتی را که بین کلاینت و سرور مخابره میشود، بدزدد، رمزگشایی از آن غیرممکن خواهد بود.
گواهینامه های SSL فایل های داده کوچکی هستند که به صورت دیجیتالی یک کلید رمزنگاری را به جزئیات یک سازمان متصل می کنند. پروتکل HTTPS (روی پورت 443) هنگامی که بر روی یک وب سرور نصب می شود، امکان اتصال امن از یک وب سرور به یک مرورگر را فراهم می کند.
گواهینامه های SSL به یکدیگر متصل می شوند:
نام دامنه، نام سرور یا نام میزبان
هویت سازمانی (به عنوان مثال، نام شرکت) و مکان
یک سازمان باید گواهی SSL را روی وب سرور خود نصب کند تا جلسات امن با مرورگرها را آغاز کند. بسته به نوع گواهی SSL درخواستی، سازمان در سطح مناسب بررسی خواهد شد.
پس از نصب HTTPS، تمام ترافیک و ارتباطات بین وب سرور و مرورگر وب رمزگذاری و ایمن خواهد شد.
انواع گواهینامه های SSL برای ایمن سازی وب سایت
گواهی SSL برای رمزگذاری و اعتبار سنجی استفاده می شود. رمزگذاری تضمین می کند که ترافیک توسط استراق سمع ها دستکاری نمی شود و محرمانه بودن و یکپارچگی اطلاعات در هر تراکنش را افزایش می دهد. اعتبار سنجی تضمین می کند که دو طرف ارتباط در واقع همان چیزی هستند که می گویند.
گواهینامه های SSL بر اساس سطح اعتبار سنجی ارائه شده، و تعداد دامنه ها یا زیر دامنه های تحت گواهی طبقه بندی می شوند. گواهی ها توسط یک مرجع صدور گواهی (CA)، با استفاده از نرم افزاری که به طور خاص برای اجرا و اعطای این گواهی ها طراحی شده است، پردازش می شود. سطوح رمزگذاری برای هر نوع گواهی یکسان است، به این معنی که هیچ کدام از سایرین امنیت کمتری ندارند. تفاوت
بین آنها در بررسی و فرآیندهای راستی آزمایی مورد نیاز برای به دست آوردن آنها، ارزش تضمینی که با آن همراه است، و نوع و تعداد دامنه هایی که شامل می شود، است.
گواهینامه های SSL به دو حوزه تقسیم می شوند:
- سطح اعتبار سنجی
- تعداد دامنه ها
سطوح اعتبارسنجی گواهی SSL عبارتند از:
- اعتبار دامنه (DV)
- تأیید سازمان (OV)
- اعتبارسنجی تمدید شده (EV)
گواهینامه های SSL بر اساس تعداد دامنه ها عبارتند از:
- تک دامنه
- چند دامنه
- عام
ما قصد داریم به شرح مفصل تری در مورد هر یک از این گواهی ها، همراه با برخی از پیشنهادات اساسی در مورد اینکه آنها برای چه کسانی بهترین هستند، و همچنین ایده ای گسترده از هزینه های مرتبط، وارد شویم. (قیمتها بسیار ساده است، زیرا نه تنها بر اساس نوع، بلکه بر اساس فروشندهای که از آن خریداری میشود متفاوت است.).
گواهینامه های SSL بر اساس سطح اعتبار سنجی
1. اعتبار دامنه (DV)
اعتبار سنجی دامنه گواهی های SSL پایین ترین سطح اعتبار هستند. مرجع صدور گواهی به سادگی تأیید می کند که سازمان بر دامنه مربوطه کنترل دارد. تأیید معمولاً از طریق ایمیل انجام می شود، یا با ایجاد تغییرات در یک رکورد DNS یا آپلود یک فایل ارائه شده توسط CA در دامنه. این معمولا چند دقیقه تا چند ساعت طول می کشد تا فرآیند کامل شود.
DV ها اغلب توسط وبلاگ ها یا وب سایت های اطلاعاتی که در درجه اول سرگرم کننده یا اطلاع رسانی هستند استفاده می شوند.
هزینه رایگان تا حداقل است. گواهینامه های DV یکی از کم هزینه ترین ها هستند.
2. تأیید سازمان (OV)
OV ها سطح متوسطی از اعتبار را ارائه می دهند. هدف اصلی این گواهی رمزگذاری اطلاعات حساس در طول تراکنش ها و اعتبارسنجی اعتبار تجاری با سطح بالایی از اطمینان است. مرجع صدور گواهی، مالکیت دامنه را به همراه اطلاعات سازمان (مانند نام، شهر و کشور) تأیید می کند که معمولاً چند روز طول می کشد.
OV ها اغلب برای وب سایت های تجاری و عمومی که اطلاعات مشتریان خود را جمع آوری و ذخیره می کنند مورد نیاز است. ایده آل برای فروش کالا یا ارائه خدمات پولی به صورت آنلاین.
هزینه متوسط است گواهینامه های OV از نظر قیمت بین DV و EV قرار می گیرند.
3. اعتبارسنجی تمدید شده (EV)
خودروهای برقی بالاترین رتبه نوع گواهینامه SSL هستند. برای این موارد، CA مالکیت، اطلاعات سازمان، مکان فیزیکی و وجود قانونی شرکت را تأیید می کند. همچنین بررسی می کند که سازمان از درخواست گواهی SSL قبل از تأیید آن مطلع است. مدارکی برای تایید هویت شرکت به همراه چک های فراوان مورد نیاز است. این معمولا چند هفته طول می کشد.
کارشناسان امنیت وب خودروهای برقی را برای بخشهایی مانند تجارت الکترونیک، بانکداری، رسانههای اجتماعی، مراقبتهای بهداشتی، دولت و مشاغل بیمه توصیه میکنند. اساساً، هر نهادی که جزئیات پرداخت کاربر یا مقادیر زیادی از اطلاعات حساس را مدیریت می کند، باید گواهی EV را دریافت کند.
هزینه: گران است. خودروهای الکتریکی گرانترین قیمتها هستند.
گواهینامه های SSL بر اساس تعداد دامنه ها
یک گواهی SSL ممکن است با یک یا چند دامنه (معروف به نام میزبان) مرتبط باشد. پس از صدور، امکان تغییر نوع نام آن وجود ندارد (به عنوان مثال، تغییر از یک نام به یک نام عام).
گواهی SSL تک دامنه
درست همانطور که به نظر می رسد، این گواهی SSL از یک دامنه/نام میزبان محافظت می کند. گواهی نام واحد فقط برای دامنه مشخص شده با گواهی معتبر است.
با این حال، اگر یک گواهی یک نام را برای www.myspecialsite.com ایمن کنید، اکثر مقامات گواهینامه گواهی امضا شده را با ورودی در فیلد برای myspecialsite.com نیز صادر می کنند. سپس مرورگرها به گواهی با یا بدون www قبلی اعتماد خواهند کرد.
گواهینامه های چند دامنه ای
گواهینامه های SSL چند دامنه ای در طول سال ها تغییر زیادی کرده اند. در اصل برای پشتیبانی از پلتفرمهای جدید مایکروسافت در آن زمان ایجاد شدهاند، آنها همچنین به عنوان نام جایگزین موضوع (SAN) و گواهیهای ارتباط یکپارچه (UCC) شناخته میشوند.
گواهی SSL چند دامنه ای امکان افزودن، ویرایش و حذف دامنه در گواهی فعلی را می دهد. آنها برای انواع DV، OV و EV در دسترس هستند.
گواهی SSL Wildcard
SSL های Wildcard تضمین می کنند که اگر یک گواهی برای یک دامنه خریداری کنید، می توانید از همان گواهی برای زیر دامنه ها استفاده کنید. بنابراین، شما یک دامنه پایه یا اصلی را به همراه زیر دامنه های نامحدود ایمن می کنید.
از آنجایی که وایلدکارتها شبکه بزرگتری نسبت به گواهینامههای تک نام سنتی ایجاد میکنند، سود آنها سه برابر است:
- کار مالک گواهی را کاهش می دهد تا تعداد زیر دامنه های مرتبط با دامنه خود را پوشش دهد.
- این اجازه می دهد تا انعطاف پذیری بسیار بیشتری در اضافه کردن زیر دامنه های جدید به سایت های موجود نسبت به گزینه های جایگزین.
- نسبت به زمانی که یک گواهی جداگانه برای هر زیر دامنه خریداری کرده باشید، ارزان تر است.
گواهینامه های SSL Wildcard فقط زیر دامنه ها را در یک سطح از URL ایمن می کند. با رسیدن به سطوح دوم و سوم URL، همه چیز پیچیده تر می شود. اگر میخواهید چندین سطح را ایمن کنید، باید از چندین وایلدکارت یا گواهی نامه عام چند دامنه استفاده کنید، که میتواند به عنوان یک علامت عام چند سطحی نیز عمل کند.
گواهی نامه های عام از یک علامت ستاره برای indi استفاده می کنند برای شناسایی ساب دامنه.
اگر یک گواهی نامه برای *.myspecialsite.com خریداری می کنید، می توانید از آن در هر زیردامنه سطح اول استفاده کنید، مانند:
www.myspecialsite.com
personal.myspecialsite.com
only.myspecialsite.com
با این حال، شما نمی توانید از آن برای موارد زیر استفاده کنید:
www.personal.myspecialsite.com
personal.only.myspecialsite.com
هر گونه تلاش برای ارائه چندین زیر دامنه گروه بندی شده با گواهی، منجر به هشدار امنیتی در اکثر مرورگرها می شود.
هزینه گواهی نامه های wildcard متناسب با قیمت های OV یا DV است، بسته به اینکه کدام یک را انتخاب کنید. خودروهای برقی برای گواهینامههای SSL در دسترس نیستند.
ویژگی های نام
می توانید چندین دامنه را با استفاده از دو ویژگی مختلف به یک گواهی SSL مرتبط کنید:
نام مشترک (CN)
نام جایگزین موضوع (SAN)
Common Name اجازه می دهد تا یک ورودی را مشخص کنید (اعم از عام یا تک نام)، در حالی که پسوند SAN از چندین ورودی پشتیبانی می کند.
در تئوری، هر گواهی که امروز صادر می شود، در واقع یک گواهی SAN است، زیرا CA نیاز به افزودن محتوای نام مشترک به SAN نیز دارد. حتی اگر گواهی یک نام واحد را پوشش دهد، همچنان از پسوند SAN استفاده می کند و آن نام واحد را شامل می شود.
در عمل، اصطلاحات «گواهینامههای SAN» و «گواهینامههای چند دامنه» مترادف هستند و عموماً نشاندهنده یک محصول گواهی هستند که در آن صادرکنندگان میتوانند بیش از یک دامنه را با مشخص کردن محتوای SAN (مستقیم یا غیرمستقیم) مرتبط کنند.
هر تعداد نام دامنه مختلف را می توان در قسمت SAN گواهی گنجانده و آن را قادر می سازد روی هر یک از نام های دامنه موجود کار کند.
برخلاف wildcard، UCC می تواند حجم نسبتاً بالایی از دامنه ها را پوشش دهد. یک گواهی نامه عام فقط می تواند یک دامنه را پوشش دهد، که شامل تعداد معینی از زیر دامنه ها برای بخشی از نام دامنه است که با ستاره علامت عام در گواهی نشان داده شده است.
برخی از ارائه دهندگان می توانند حروف عام را در فیلد SAN قرار دهند یا گواهینامه چند دامنه ای EV صادر کنند. این اجازه می دهد تا از 100 دامنه با کمک همان گواهی محافظت شود.
این می تواند در بسیاری از موقعیت ها صرفه جویی قابل توجهی در هزینه ها ایجاد کند.
بهترین نوع گواهی SSL برای ایمن سازی وب سایت چیست؟
گواهینامه های SSL همیشه یک سرمایه گذاری خوب هستند، با این حال، مهم است که فکر کنید کدام یک به بهترین وجه با نیازهای کسب و کار شما مطابقت دارد.
در اینجا چند مورد وجود دارد که باید هنگام تصمیم گیری در مورد نوع گواهینامه SSL فکر کنید:
- تعداد دامنه ها
- سطح اطمینان مورد نیاز برای کسب و کار و مشتریان شما
- ملاحظات بودجه
- زمان صدور
یک گواهی استاندارد SSL معمولا برای اکثر افراد و مشاغل کافی است. اگر در بخش مالی یا بیمه (صنایع تحت نظارت) هستید یا به انطباق با PCI، پشتیبانی ایمیل اولویتدار یا امنیت/عملکرد در سطح سازمانی نیاز دارید، احتمالاً به یک OV یا EV نیاز دارید.
انواع رمزگذاری برای ایمن سازی وب سایت
همچنین انواع مختلفی از رمزگذاری وجود دارد که ممکن است هنگام جستجو از طریق مراجع صدور گواهی با آنها روبرو شوید:
- Rivest-Shamir-Adleman (RSA) – نامگذاری شده بر اساس نام خانوادگی سازندگان آن، رایجترین شکل رمزگذاری است و در رمزگذاری 128 بیتی، 256 بیتی و 2048 بیتی ارائه میشود.
- الگوریتم امضای دیجیتال (DSA) – استاندارد دولتی رمزگذاری لازم برای سایت هایی که باید این معیار را برآورده کنند.
- رمزنگاری منحنی بیضوی (ECC) – قدرتمندترین شکل رمزگذاری در بین مواردی که بیشتر استفاده می شود.
هر چه نرخ بیت رمزگذاری بیشتر باشد، امنیت بهتری خواهد داشت. اگرچه ECC قوی تر از RSA است، بنابراین یک گواهی ECC 256 بیتی قوی تر از یک گواهی RSA 2048 بیتی است.
تفاوت بین RSA و DSA این است که اولی در تأیید امضاها سریعتر است، که کلیدهای رمزگذاری شده ای هستند که در فرآیند صدور گواهی SSL استفاده می شوند. RSA همچنین در ایجاد امضا کندتر است. رمزگذاری DSA برعکس است زیرا در ایجاد امضا سریعتر است، اما در تأیید اعتبار آنها کندتر است.
مدت اعتبار گواهی نیز یکی از نکات کلیدی است. اکثر گواهینامه های استاندارد SSL خریداری شده به طور پیش فرض برای یک تا دو سال در دسترس هستند. در صورت نیاز میتوانید نوع پیشرفتهتری را با دورههای زمانی طولانیتر دریافت کنید.
هزینه های خرید گواهینامه های SSL متفاوت است، اما می توانید DV ها را به صورت رایگان دریافت کنید، یا برای دریافت گواهی سفارشی ماهانه پرداخت کنید.
برای توصیه های بیشتر در مورد نوع گواهی مورد نیاز برای ایمن سازی وب سایت ، این مقاله را بررسی کنید.
این به پوشش عمیق ما از اصطلاحات و انواع امنیت دامنه پایان می دهد. در مرحله بعد، موضوع بسیار مهم ….
چگونه یک وب سایت HTTPS بسازیم
بنابراین ما می دانیم HTTPS و SSL چیست و اهمیت آنها را درک می کنیم. بیایید بررسی کنیم که در تهیه و اجرای آنها چه چیزی دخیل است.
نحوه دریافت گواهینامه SSL
گزینه های متعددی برای خرید گواهینامه SSL وجود دارد. برخی از محبوب ترین فروشندگان گواهینامه SSL عبارتند از: Comodo SSL، DigiCert، GeoTrust، SSL.com و Thawte.
گواهینامه های SSL نیز بدون هزینه قابل دریافت هستند. در حال حاضر چندین ارائه دهنده گواهینامه SSL رایگان به صورت آنلاین وجود دارد، مانند ZeroSSL و SSL به صورت رایگان. توصیه شخصی ما به شرکت بسیار مورد اعتماد و بسیار محبوب Let’s Encrypt می رود.
Let’s Encrypt یک گواهی است از مرجعی که گواهینامه های SSL رایگان ارائه می دهد. آنها فقط نوع DV را ارائه می دهند، و هر 90 روز منقضی می شود، بنابراین باید با تمدیدهای منظم همراه باشید. برای انجام این کار، می توانید از کلاینت Certbot ACME استفاده کنید که این فرآیند را با سهولت نسبی خودکار می کند و دستورالعمل هایی در مورد نحوه انجام این کار ارائه می دهد.
بسیاری از ارائه دهندگان میزبانی برتر با Let’s Encrypt همکاری کرده اند تا نصب گواهینامه های SSL را برای صاحبان وب سایت به یک فرآیند بدون دردسر تبدیل کنند. (هی! WPMU DEV یکی از آنهاست.😃) اگر ارائه دهنده هاست شما پشتیبانی Let’s Encrypt را ارائه می دهد، آنها می توانند از طرف شما یک گواهی ارائه کنند، آن را نصب کنند و آن را به روز نگه دارند.
در حالی که گواهینامههای Let’s Encrypt SSL رایگان هستند، ارائهدهندگان میزبانی هزینههای مدیریتی و مدیریتی برای ارائه آن گواهیها (به دست آوردن، پیادهسازی و معتبر نگه داشتن آنها از طریق تمدید منظم) را جذب میکنند. با این حال، این باید بخشی از چیزی باشد که آنها در ارزش میزبانی به شما ارائه می دهند، نه چیزی که برای آن هزینه اضافی دریافت می کنند.
نمونه موردی: Let’s Encrypt در حال حاضر توصیه می کند که گواهی های SSL آنها را از طریق میزبانی GoDaddy دریافت نکنید. این به این دلیل است که GoDaddy تمدید خودکار را فقط با گواهینامه های خود ارائه می دهد – به عنوان یک ویژگی هزینه اضافی. (در میزبانی WPMU DEV، ما هرگز هزینه های تمدید گواهی SSL را نمی پذیریم.)
اگر ارائهدهنده میزبانی شما Let’s Encrypt را ادغام نمیکند، اما از بارگذاری گواهیهای سفارشی پشتیبانی میکند، میتوانید Certbot را روی رایانه خود نصب کنید و از آن در حالت دستی استفاده کنید. برای اطلاعات بیشتر در مورد نحوه انجام این کار، اسناد Cerbot را بررسی کنید. یا، این آموزش مفید را از فروشگاه SSL در مورد نصب cPanel ببینید.
راه اندازی میزبانی
برای اینکه به شما بفهمانیم نصب یک گواهی SSL از طریق یک ارائه دهنده میزبانی چقدر آسان است، اکنون یک قدم سریع در مورد آن خواهیم داشت.
البته جزئیات مربوط به این بستگی به این دارد که شما با چه کسی میزبانی می کنید، زیرا نکات دقیق ارائه گواهی SSL برای هر شرکت منحصر به فرد است.
من نحوه عملکرد فرآیند WPMU DEV را از زمانی که با آنها میزبانی می کنم به اشتراک می گذارم.
هر زمان که یک سایت جدید با یک دامنه موقت tempurl.host یا یک دامنه سفارشی اضافه شده به هر سایت موجود ایجاد می شود، WPMU DEV به طور خودکار یک گواهی SSL معمولی را به منظور ایمن سازی وب سایت برای آن تهیه و نصب می کند.
برای اکثر سایت ها، این اتفاق در عرض چند دقیقه رخ می دهد، اما ممکن است تا چند ساعت طول بکشد. زمان انتظار بر اساس سرعت انتشار تنظیمات DNS شما در سراسر جهان است.
به محض اینکه گواهی به یک سایت اضافه می شود، WPMU DEV تمام ترافیک را فقط از طریق HTTPS مجبور می کند.
برای یک گواهی سایت واحد، همین! شما تمام شده اید
اگر میخواهید گواهینامههای رایگان SSL را برای شبکههای چندسایتی زیر دامنه و زیردایرکتوری و همچنین از طریق WPMU DEV دریافت کنید، کاملاً میتوانید. حتی اگر یک زیر شاخه چند سایت دارید، میتوانید زیر دامنهها را به زیر سایتهای موجود در آن نگاشت کنید و همه آنها را تحت پوشش یک گواهی وایلد کارد قرار دهید.
یک چند سایت زیردامنه را می توان بدون گواهی نامه عام ایجاد کرد، اما مطمئن شوید که شبکه را به صورت زنده اجرا می کنید، در غیر این صورت وقتی بازدیدکنندگان سعی می کنند به آنها دسترسی پیدا کنند، زیر دامنه های شما یک خطای امنیتی نشان می دهند.
برای ایجاد یک گواهی نامه عام رایگان، فقط باید یک رکورد را به DNS دامنه اصلی خود اضافه کنید، سپس SSL را مجدداً تأیید کنید.
ردیف دامنه اضافه شده سفارشی خود را که می خواهید به عنوان اصلی استفاده کنید، پیدا کنید و مکان نما خود را روی نماد منوی 3 نقطه قرار دهید. خواهید دید که یک گواهی معمولی به طور خودکار ارائه شده است. در آنجا اعلانی وجود دارد که به شما یادآوری می کند که اگر می خواهید به جای آن از یک گواهی نامه عام استفاده کنید، باید CNAME مورد نیاز را به رکوردهای DNS دامنه خود اضافه کنید.
هنگامی که CNAME مورد نیاز اضافه شد، دوباره روی نماد منوی 3 نقطه قرار دهید و از منوی کشویی روی گزینه Recheck ACME کلیک کنید. سیستم به طور خودکار DNS را تأیید می کند و گواهی نامه عام را برای آن دامنه ایجاد می کند.
برای دریافت اطلاعاتی که باید به DNS دامنه خود اضافه کنید، به پایین صفحه بروید تا سوابق DNS سایت را پیدا کنید. رکورد CNAME را پیدا کنید (اختیاری برای گواهینامه های SSL با حروف عام)، که دارای دو بخش است: نام میزبان _acme-challenge، و به دنبال آن رکورد واقعی.
نام میزبان و رکورد باید در سیستم نام دامنه شما کپی شود. اگر DNS شما به Hub 2.0 DNS Manager متصل است، راهنما را دنبال کنید تا سریع آن را به روز کنید.
اگر DNS شما در جای دیگری مدیریت می شود، مانند ثبت کننده دامنه شما، به مستندات راهنمای ثبت کننده ما مراجعه کنید، که مجموعه ای از ارائه دهندگان محبوب را پوشش می دهد.
خودشه! امنیت دامنه → فعال شد. 💪
عیب یابی
اگر ارائه دهنده هاست شما این سوئیچ را مدیریت کرده باشد، احتمال اینکه هیچ چیز اشتباه نشود.
اگر نصب خود را انجام داده اید، یا میزبان شما قرارداد را کاملاً منعقد نکرده است، ممکن است با مشکلاتی مواجه شوید.
ما به متداول ترین و نحوه پیدا کردن و رفع آن نگاهی خواهیم انداخت.
هشدار محتوای مختلط
زمانی اتفاق میافتد که سایت شما تصاویر و/یا محتوا را ناامن ارزیابی کرده باشد. اساسا، هر دو محتوای HTTP و HTTPS برای نمایش یک صفحه بارگیری می شوند، در حالی که درخواست اولیه از طریق HTTPS ایمن بود.
اگر این اتفاق بیفتد، اولین سرنخ شما بصری خواهد بود. تصاویر و محتوایی که به طور معمول ظاهر می شدند اکنون به نظر می رسد وجود ندارند یا شکسته شده اند. همچنین از نمایش قفل (که نشان می دهد سایت شما ایمن است) در مرورگر بازدید کننده جلوگیری می کند.
دو نوع محتوای مختلط وجود دارد:
- فعال – اینها منابعی هستند که می توانند رفتار یک وب سایت را تا حد زیادی تغییر دهند، مانند جاوا اسکریپت، CSS، فونت ها و iframes. مرورگرها از بارگیری محتوای ترکیبی فعال خودداری می کنند، که اغلب باعث می شود صفحات آسیب دیده کاملاً بدون استایل یا شکسته ظاهر شوند. مرورگرها با این موارد بسیار تهاجمی برخورد میکنند، زیرا در صورت به خطر افتادن عواقبی که دارند.
- منفعل – اینها منابعی هستند که تأثیر آنها بر رفتار کلی صفحه کمتر است، مانند تصاویر، صدا و ویدیو. مرورگرها محتوای ترکیبی غیرفعال را بارگیری می کنند، اما احتمالاً نشانگر HTTPS را تغییر می دهند.
برای رفع این مشکل، باید مطمئن شوید که SSL وردپرس برای نمایش محتوای ترکیبی تنظیم شده است.
ابزارهایی که می توانند کمک کنند
استفاده از افزونه SSL Insecure Content Fixer اکثر هشدارهای محتوای ناامن را بدون هیچ تلاشی حل می کند. بقیه را می توان با چند ابزار ساده تشخیص داد.
پس از نصب، تنظیمات پیشفرض SSL Insecure Content Fixer به طور خودکار برخی از اصلاحات اساسی را با استفاده از سطح رفع ساده خود در وبسایت شما انجام میدهد. شما می توانید سطوح تعمیر جامع تری را در صورت نیاز وب سایت خود انتخاب کنید.
اگر از WordPress Multisite برای ایمن سازی وب سایت استفاده کنید، صفحه تنظیمات شبکه دریافت خواهید کرد. از این طریق میتوانید تنظیمات را برای همه سایتهای داخل یک شبکه تغییر دهید، اگر شرایطی متفاوت با پیشفرضهای شبکه دارید.
WebAware یک منبع گامبهگام فوقالعاده ایمن سازی وب سایت در سایت خود دارد، که اساساً موارد زیر است که با جزئیات زیاد گسترش یافته است. در اینجا مراحل سطح بالا آمده است:
- افزونه را در وب سایت خود نصب و فعال کنید
- ابزار تست را اجرا کنید (برای تأیید اینکه وردپرس می تواند HTTPS را تشخیص دهد)
- تنظیمات فیکس کننده مناسب را برای محتوای خود انتخاب کنید
- وب سایت خود را تست کنید (با ابزار مرورگر یا تست آنلاین)
- هشدارهای محتوای ناامن HTTPS خود را پاک کنید
اگر ترجیح می دهید، می توانید با بررسی کنسول خطای مرورگر وب خود، بررسی کنید که چه چیزی باعث هشدارهای محتوای مختلط ناامن می شود. موارد زیر را ببینید:
- گوگل کروم یک کنسول جاوا اسکریپت در ابزارهای توسعه دهنده خود دارد
- فایرفاکس دارای کنسول وب است
- اینترنت اکسپلورر دارای کنسول ابزار F12 است
- سافاری دارای کنسول خطا است
مطمئن شوید که صفحه خود را پس از باز کردن کنسول مرورگر خود بهروزرسانی کردهاید، بنابراین محتوای ناامن را دوباره بارگیری میکند و هرگونه هشدار را در کنسول خطا ثبت میکند.
دو ابزار رایگان ایمن سازی وب سایت دیگر وجود دارد که مشکلات وب سایت شما را گزارش می کنند. آنها می توانند جزئیات بیشتری نسبت به کنسول های مرورگر داشته باشند و پیشنهاداتی برای حل مشکلات پیدا شده ارائه دهند.
- چرا بدون قفل؟
- آزمایشگاه های SSL
این وب سایت های آزمایشی هم برای تشخیص مشکلات گواهینامه عالی هستند و هم برای تولید گزارش های تمیز و واضح.
Whynopadlock.com به دنبال محتوای ترکیبی ناامن نیز بود، که دقیقاً همان چیزی است که ما اینجا میخواستیم.
SSLlabs.com، به طور خاص، مطالب زیادی داشت، فقط برای محتوای مختلط. اگرچه بالقوه ارزشمند است، بنابراین ارزش دیدن را دارد.
اگر با یک هاست معتبر برای پیاده سازی SSL برای ایمن سازی وب سایت خود رفته اید، نباید نگران هیچ مشکلی باشید. یا در ابتدا وجود نخواهند داشت، یا تیم پشتیبانی به سرعت هر کدام را که ظاهر می شود حل می کند. (WPMU DEV در پشتیبانی عالی است، و ما 24/7/365 در دسترس هستیم. اگر به دنبال آن هستید، ما را با یک دوره آزمایشی بدون خطر امتحان کنید.)
در این مورد SSLeep نکنید
درک کامل تر از آنچه SSL انجام می دهد قطعاً درک عمیق تری از تأثیر چند سطحی آن ایجاد می کند.
با در نظر گرفتن تمام مزایایی که ارائه می دهد، قرار دادن HTTPS در همه سایت های شما کار بیهوده ای است. کسبوکارهایی که میخواهند موفق شوند یا بمانند، نمیتوانند بدون میدان نیروی دیجیتالی که SSL ارائه میکند، بمانند.
همانطور که در این مقاله دیدید، چند گزینه عالی برای دریافت حفاظت SSL وجود دارد. سریعترین و سادهترین راه این است که با یک میزبان قوی هماهنگ شوید که این کار را برای شما انجام میدهد. در صورتی که از این نوع چیزها لذت می برید، این گزینه نیز وجود دارد که در فایل های وردپرس خود دستکاری کنید.
با این حال که HTTPS خود را روشن می کنید، این کار را انجام دهید و اکنون آن را انجام دهید. با دانستن اینکه داده های مشتریانتان (و شهرت کسب و کارتان) ایمن و سالم است، بهتر می خوابید. سپس می توانید به جای هزینه های هکر، ZZZ را بگیرید. یا آنچه را که به جای گوسفند درو کرده اید بشمارید.
آیا سایت خود را با HTTPS ایمن کرده اید؟ تجربه شما با ce چیست؟ در قسمت نظرات پایین ما را آگاه کنید.