SSL/TLS és HTTPS érthetően

Az SSL a titkosító protokoll régi neve; ma a TLS utódverzióit használjuk, de a köznyelv továbbra is „SSL-tanúsítványt” mond. A HTTPS azt jelenti, hogy a weboldal a HTTP protokollt TLS-titkosítással használja.

A kapcsolat elején a böngésző és a szerver „kezet fog”: a szerver bemutatja a tanúsítványát, a böngésző ellenőrzi, hogy megbízható kiadótól származik és a domainhez tartozik, majd titkosított csatornán folytatják.

A titkosítás erőssége mindhárom típusnál ugyanaz lehet; a különbség abban van, mit ellenőriz a kiadó.

• DV (domain-ellenőrzött): azt igazolja, hogy a kérelmező rendelkezik a domain felett. A legtöbb weboldalhoz és webshophoz elegendő, és vannak ingyenes, automatikusan megújuló kiadók is (például a Let’s Encrypt).
• OV (szervezet-ellenőrzött): a kiadó a szervezet adatait is ellenőrzi.
• EV (kiterjesztett ellenőrzés): a legszigorúbb ellenőrzés; a mai böngészők a címsorban jellemzően már nem emelik ki külön.
• Wildcard: egy tanúsítvány a domain összes aldomainjére (például *.pelda.hu).

A tanúsítvány telepítése önmagában még nem elég: az oldalnak minden címen HTTPS-en kell működnie.

• Tanúsítvány telepítése a tárhelyen (sok tárhelyen egy kattintás vagy automatikus).
• 301-es átirányítás minden http:// címről a https:// párjára.
• A belső linkek, képek, szkriptek címe is HTTPS legyen (különben „vegyes tartalom” figyelmeztetés jön).
• A canonical címek, az XML-oldaltérkép és a Google Search Console is a HTTPS-változatot mutassa.
• Ha minden stabil, megfontolható a HSTS fejléc, amely a böngészőt is HTTPS-re kényszeríti.
• Automatikus megújítás és lejárati figyelés.

A leggyakoribb gond a lejárt tanúsítvány: ilyenkor a böngésző teljes oldalas figyelmeztetést mutat, és a látogatók többsége ott elakad. Gyakori még a vegyes tartalom (egy kép vagy szkript HTTP-n töltődik), illetve ha a www és a www nélküli változat közül csak az egyikre szól a tanúsítvány.