כל אתר צריך תעודת SSL. זה כבר לא נושא לוויכוח, דפדפנים מסמנים אתרים לא מוצפנים, גוגל מתחשבת ב-HTTPS בדירוג, ומבקרים מצפים לראות את סמל המנעול הקטן בלי לחשוב על זה בכלל. אבל ברגע שמתחילים לחפש תעודת SSL באחסון, נתקלים בשלוש אותיות מבלבלות: DV, OV ו-EV. כולן נותנות לכם את המנעול. אבל הן לא כולן נותנות לכם את אותו הדבר.
בואו נפרק מה בעצם מבדיל בין שלושת סוגי התעודות האלה, והכי חשוב, מתי כל אחת מהן מתאימה למצב שלכם.
מה תעודות SSL באמת מאמתות
לפני שמשווים בין שלושת הסוגים, כדאי לזכור מה תעודת SSL בעצם עושה. היא מצפינה את החיבור בין הדפדפן של המבקר לשרת שלכם, כך שסיסמאות, נתוני טפסים ופרטי תשלום לא יכולים להיחטף באמצע הדרך. זה הבסיס, וכל סוג תעודה עושה את זה באותה רמת איכות.
מה שכן משתנה בין DV, OV ו-EV זה רמת אימות הזהות שעומדת מאחורי התעודה. במילים אחרות, כמה רשות ההנפקה בדקה לגביכם לפני שהנפיקה את התעודה.
אימות דומיין (DV)
תעודות DV הן המהירות והזולות ביותר להשגה, לפעמים אפילו בחינם, ולרוב מונפקות תוך דקות. רשות ההנפקה מאמתת רק דבר אחד: שאתם שולטים בדומיין. זה נעשה בדרך כלל דרך רשומת DNS, אימות במייל, או העלאת קובץ. אין בדיקה של פרטי החברה. אף אדם לא בודק שום דבר. הכול אוטומטי לגמרי.
- מונפקת תוך דקות, לפעמים שניות
- העלות הנמוכה ביותר, חלקן בכלל חינם (Let's Encrypt היא הדוגמה הנפוצה ביותר)
- מאמתת רק בעלות על הדומיין, בלי שום בדיקה לגבי העסק שמאחוריו
- עוצמת ההצפנה זהה לחלוטין ל-OV ו-EV
אימות ארגון (OV)
תעודות OV מוסיפות שכבה של אימות מהעולם האמיתי. רשות ההנפקה בודקת שהעסק שלכם באמת קיים, ומאמתת פרטים כמו שם החברה הרשמי, הכתובת ומספר הטלפון מול רישומים ציבוריים.
התהליך הזה אורך יותר זמן, בדרך כלל כמה ימים, ועולה יותר מ-DV. בתמורה, התעודה עצמה מכילה פרטי ארגון מאומתים שכל מי שלוחץ על פרטי התעודה בדפדפן יכול לראות.
- מאמתת שהארגון שלכם הוא ישות אמיתית ורשומה
- לוקח בין יום לכמה ימי עבודה להנפיק
- מתאים לאתרי עסקים, פלטפורמות B2B ופורטלים פנימיים
- לא משנה את מה שהמבקר רואה בשורת הכתובת בהשוואה ל-DV
אימות מורחב (EV)
תעודות EV דורשות את הבדיקה היסודית ביותר. רשות ההנפקה מאמתת את הקיום המשפטי של העסק, הכתובת הפיזית, מצב הפעילות, ושהאדם שמבקש את התעודה מורשה לעשות זאת בשם הארגון. זה יכול לכלול מסמכים משפטיים, אימות טלפוני, והצלבה מול מאגרי מידע ממשלתיים.
בעבר תעודות EV הציגו שורת כתובת ירוקה עם שם החברה. רוב הדפדפנים הסירו מאז את הסימון החזותי הזה, וכדאי לדעת את זה לפני שמשלמים מחיר גבוה בציפייה לאיתות אמון חזותי דרמטי.
- האימות הזהות היסודי ביותר שקיים
- יכול לקחת שבוע עד שבועיים להנפיק
- העלות הגבוהה ביותר מבין שלושת הסוגים
- כבר לא מוצג אחרת בשורת הכתובת ברוב הדפדפנים המרכזיים
אז באיזה סוג באמת כדאי לבחור?
DV מתאים לרוב האתרים
אם יש לכם בלוג, אתר תיק עבודות, אתר תוכן קטן, או אפילו רוב עמודי השיווק של שירותי SaaS, DV באמת מספיק. ההצפנה זהה לחלוטין ל-OV ול-EV. המבקרים שלכם מקבלים אותו מנעול, אותה הגנה על שליחת טפסים, ואותו יתרון ב-SEO בזכות HTTPS. אין פער אבטחה משמעותי.
OV הגיוני כשצריך גיבוי לאמון
אם אתם מפעילים שירות B2B, פלטפורמה שמטפלת בנתוני עסקים רגישים, או אתר שבו מבקרים עשויים לרצות לאמת עם מי הם מתעסקים, OV מוסיף שכבה של לגיטימיות מתועדת. זה גם נפוץ באינטרא-נטים ארגוניים ובפורטלי שותפים שבהם זהות הארגון חשובה מטעמי תאימות רגולטורית.
EV חשוב בעיקר לעסקאות מפוקחות או בעלות ערך גבוה
בנקים, מוסדות פיננסיים, וחלק מהפלטפורמות בתחום הבריאות או הממשל עדיין משתמשים ב-EV, חלקית בגלל האימות היסודי עצמו וחלקית כי מסגרות תאימות מסוימות דורשות זאת. אם אתם לא נמצאים באחת מהקטגוריות האלה, העלות והזמן הנוספים לרוב לא מביאים שום דבר שהלקוחות שלכם ישימו לב אליו, מכיוון שהסימון החזותי שבעבר הבדיל את EV כמעט נעלם מהדפדפנים המודרניים.
הדבר שחשוב יותר מסוג התעודה
הנה משהו שהולך לאיבוד בוויכוח בין DV, OV ו-EV: הניהול של התעודה חשוב יותר מהסוג שלה עבור רוב בעלי האתרים. תעודה שפג תוקפה, לא משנה כמה יסודי היה האימות שלה, משביתה את האתר שלכם מיידית ומבריחה מבקרים עם אזהרות דפדפן.
כאן אחסון טוב עושה הרבה עבודה בלי שתשימו לב. רוב ספקי האחסון המנוהל, כולל אנחנו, מנפיקים ומחדשים תעודות SSL באופן אוטומטי, כך שלעולם לא תצטרכו לעקוב אחרי תאריכי תפוגה או להתקין מחדש שום דבר ידנית אחרי חידוש. הפרט התפעולי הקטן הזה מונע יותר תקלות אמיתיות מאשר הבחירה בין OV ל-EV אי פעם תמנע.
אם אתם רוצים הסתכלות מעמיקה יותר על התאמת סוג התעודה לסוג האחסון הספציפי שלכם, כיסינו את זה במאמר איך לבחור את סוג תעודת ה-SSL הנכון לסביבת האחסון שלכם, והתמונה הגדולה יותר לגבי למה HTTPS חשוב מעבר למנעול נמצאת בלמה אחסון עם תעודת SSL חשוב הרבה יותר מסתם הצגת מנעול בדפדפן.
דרך פשוטה להחליט
- אתר אישי, בלוג, או אתר עסק קטן: DV מספיק
- פלטפורמת B2B או אתר שאוסף נתוני לקוחות עסקיים: כדאי לשקול OV
- בנק, שירותים פיננסיים, או תעשייה מפוקחת רגולטורית: EV לרוב נדרש או מצופה
איזה סוג שלא תבחרו, אל תיתנו לתעודה לשבת על גיליון אקסל אי שם ולחכות שתפוג. לפרטים נוספים על איך אחסון אמין עם תעודת SSL פועל יום יום, ראו את סקירת ה-SSL שלנו, ואם אתם גם חושבים על איך מערך האבטחה הכללי שלכם מחזיק מעמד, בדקו את סקירת ה-WAF שלנו עבור השכבה שיושבת לצד ההצפנה ותופסת בקשות זדוניות לפני שהן מגיעות לאפליקציה שלכם.
לסיכום
תעודות DV, OV ו-EV כולן מצפינות את התעבורה שלכם באותה רמת איכות. ההבדל הוא לגמרי באימות הזהות, לא בעוצמת האבטחה. בחרו לפי מה שהמבקרים שלכם צריכים כדי לסמוך עליכם, לא לפי איזה ראשי תיבות נשמעים הכי רשמיים, ווודאו שמה שתבחרו מתחדש אוטומטית כדי שזה לעולם לא יהפוך לבעיה שתגלו בדרך הקשה.
