SSL certifikat

SSL certifikat je potvrda instalirana na serveru koja omogućava da vaš sajt radi preko HTTPS-a. S njim podaci između pregledača i servera putuju šifrovano; bez njega putuju kao otvoren tekst koji se usput može pročitati.

Praktično se prepoznaje po katancu uz adresu i po tome što adresa počinje s https umjesto s http. Sajt bez toga pregledač označava kao nesiguran, i to vidi svaki posjetilac prije nego što išta pročita.

Šta certifikat zaista radi

Radi dvije stvari. Šifruje saobraćaj, tako da lozinka, poruka iz kontakt forme ili broj kartice ne mogu biti pročitani na putu. I potvrđuje da server kojem se pregledač obratio zaista pripada toj domeni, čime otežava podmetanje lažne stranice.

Ono što ne radi jednako je važno. Certifikat ne govori ništa o tome je li firma iza sajta poštena, ne štiti od upada u sistem i ne čini sajt sigurnim. Katanac znači da je veza šifrovana, ne da je onome ko je s druge strane vrijedno vjerovati. Prevarantske stranice imaju katanac jednako kao i vaša.

Koje vrste postoje

Tri nivoa provjere. Kod DV certifikata provjerava se samo to da domena pripada vama, i to automatski. Kod OV se provjerava i postojanje firme. Kod EV provjera je najopsežnija.

Za većinu sajtova ovo je odluka bez težine. Pregledači su odavno prestali vizuelno razlikovati te nivoe, pa posjetilac vidi isti katanac u sva tri slučaja. DV certifikat, koji je besplatan, radi isti posao za prezentacijski sajt firme i za blog.

Postoji i podjela po opsegu. Certifikat za jednu domenu, wildcard za sve poddomene, i multi-domain za više različitih domena na istom serveru. Ako imate shop.vasadomena.ba pored glavnog sajta, tu se odluka zaista donosi.

Let’s Encrypt izdaje besplatne DV certifikate koji traju devedeset dana i obnavljaju se automatski. Skoro svaki ozbiljan hosting ih ugrađuje sam, bez ijednog klika s vaše strane.

Prelazak sa starog HTTP-a

Ako sajt još radi bez HTTPS-a, prelazak nije težak, ali ima korake koji se preskaču i onda skupo koštaju.

Certifikat se instalira, najčešće kroz sučelje hostinga. Zatim se postavi trajni redirect s http na https verziju, i to sa statusom 301, jer se tako Googleu prenosi ono što je stara adresa zaradila.

Zatim se čisti mixed content. To su slike, skripte i stilovi koje sadržaj i dalje povlači preko starog protokola, obično zato što je puna adresa upisana u tekstu prije nekoliko godina. Pregledač tada blokira dio sadržaja ili prikaže upozorenje, pa stranica koja tehnički ima certifikat i dalje izgleda pokvareno.

Na kraju se u Search Consoleu dodaje https verzija sajta, ako je svojstvo bilo postavljeno samo za staru adresu. Interni linkovi, kanonske oznake i sitemap moraju voditi na novu verziju.

Kratak pad prometa u prvim sedmicama poslije prelaska je uobičajen. Ako se ne oporavi za mjesec dana, negdje je redirect nepotpun.

Kada je ovo hitno

Uvijek kad postoji ijedna forma. Kontakt forma, prijava na newsletter, prijava korisnika, bilo šta gdje neko nešto upisuje.

Uvijek kod prodaje. Nijedan ozbiljan platni sistem u BiH ni u regiji neće raditi na sajtu bez HTTPS-a, a i da hoće, kupac koji vidi upozorenje neće doći do plaćanja.

I kod sajta koji ne prikuplja ništa. Upozorenje pregledača ne pravi razliku, a certifikat je besplatan. Nema situacije u kojoj se isplati ostati bez njega.

Kod Core Web Vitals postoji i sporedna korist. HTTP/2 i HTTP/3, koji sajt ubrzavaju, rade samo preko šifrovane veze, pa se prelaskom dobije i nešto brzine.

Gdje certifikat zapravo živi

Kod većine firmi certifikat izdaje i obnavlja hosting, bez ijednog klika. Kod boljih paketa je to uključeno u cijenu i vidi se kao stavka u sučelju, s datumom isteka i oznakom da se obnavlja sam.

Ako sajt stoji iza servisa koji upravlja saobraćajem, recimo Cloudflarea, certifikat može biti i tamo. Tada postoje dvije veze: od posjetioca do tog servisa i od servisa do vašeg servera. Obje trebaju biti šifrovane, a podešavanje u kojem je druga otvorena je česta greška koja izgleda ispravno jer katanac stoji.

Kod trgovina i sajtova koji primaju plaćanja vrijedi provjeriti i šta traži vaša banka ili platni posrednik. Neki zahtijevaju određene verzije protokola ili odbijaju starije postavke servera, pa se zna desiti da sajt radi u pregledaču a naplata ne prolazi.

Šta uz certifikat ide, a šta ne

Certifikat rješava jedan problem i vrijedi znati koji ostaju.

Sigurnost sajta je zaseban posao: ažuriranje sistema i dodataka, pristojne lozinke, ograničen broj ljudi s administratorskim pristupom i redovna kopija podataka. Sajt s katancem i dodatkom koji nije ažuriran tri godine je i dalje otvoren.

Povjerenje kupca je treći posao. Katanac danas ima svako, pa on više ništa ne dokazuje. Ono što dokazuje su podaci o firmi, adresa, broj telefona koji se javlja i jasno napisani uslovi dostave i povrata. Kod domaćih kupaca to vrijedi više od svake tehničke oznake.

Brzina je četvrti. Prelazak na šifrovanu vezu otvara HTTP/2 i HTTP/3, koji sajt ubrzavaju, ali sam po sebi ne rješava velike slike i previše skripti.

Greške koje najčešće viđamo

Prva je certifikat koji istekne. Postavljen je ručno prije godinu dana, podsjetnik je otišao na adresu bivšeg zaposlenika, i jednog jutra sajt dočeka posjetioce punom stranicom upozorenja. Obnova mora biti automatska.

Druga je certifikat bez redirekcije. Sajt radi i na http i na https adresi, pa Google vidi dvije verzije istog sadržaja. Rješava se jednim pravilom na serveru.

Treća je mixed content koji ostane godinama. Stranica ima katanac, ali stariji tekstovi povlače slike preko starog protokola i pregledač ih blokira. Posjetilac vidi tekst bez slika i ne zna zašto.

Četvrta je certifikat samo za jednu verziju adrese. Sajt radi s www i bez www, a certifikat pokriva samo jednu, pa druga baca upozorenje. Danas to rješavaju i besplatni certifikati, ali se mora tražiti.

Peta je uvjerenje da katanac znači sigurnost sajta. Sajt s certifikatom i zastarjelim sistemom za upravljanje sadržajem je i dalje otvoren za upad. Certifikat štiti vezu; sam sistem se čuva ažuriranjem i pristojnim lozinkama.

Šesta je zaboravljena poddomena. Glavni sajt radi na HTTPS-u, a testna ili starija verzija na poddomeni ne radi, pa jedan link iz podnožja odvede posjetioca na upozorenje.

Lista za provjeru

• Stoji li katanac uz adresu na svakoj stranici sajta, uključujući starije objave?
• Prebacuje li adresa s http na https sama, i to trajnom redirekcijom?
• Radi li sajt jednako i s www i bez www, s ispravnim certifikatom u oba slučaja?
• Obnavlja li se certifikat automatski, i na koju adresu stiže obavještenje ako obnova padne?
• Prijavljuje li pregledač problem s dijelom sadržaja na ijednoj stranici?
• Vodi li ijedan interni link ili slika na staru adresu bez šifrovanja?
• Je li https verzija sajta dodana u Search Console i vodi li sitemap na nju?

Pojmovi koje ćete čuti uz SSL

• HTTPS: protokol kojim sajt radi kad je certifikat postavljen.
• TLS: nasljednik SSL-a i ono što se danas zapravo koristi ispod imena SSL.
• Let’s Encrypt: izdavač besplatnih certifikata koje većina hostinga ugrađuje automatski.
• Mixed content: sadržaj koji se na šifrovanoj stranici učitava preko starog protokola.
• Redirect: preusmjeravanje sa stare adrese na novu, obavezno kod prelaska na HTTPS.
• Wildcard certifikat: certifikat koji pokriva sve poddomene jedne domene.