כל בעל אתר שמע את סיפור האימה הזה. אתר עובד מצוין במשך חודשים, ואז בוקר אחד המבקרים רואים אזהרת דפדפן שאומרת שהחיבור אינו פרטי. לא קרה שום פריצה. אף שרת לא קרס. תעודת ה-SSL פשוט פגה, ואף אחד לא שם לב עד שהיה מאוחר מדי.
זו אחת הבעיות הנפוצות והנמנעות ביותר באחסון אתרים כיום. והפתרון לא מסובך: תעודת SSL באחסון עם חידוש אוטומטי צריכה להיות ברירת המחדל, לא תוספת פרימיום.
מה תעודת SSL בעצם עושה
תעודת SSL מצפינה את המידע שעובר בין הדפדפן של המבקר לשרת שלכם. זה מה שהופך http ל-https ושם את מנעול הקטן הזה בשורת הכתובת. בלעדיה, סיסמאות, פרטי תשלום ושליחת טפסים עוברים בטקסט גלוי, שכל מי שמאזין לחיבור יכול לקרוא.
תעודות אינן קבועות. רובן כיום פגות כל 90 יום, שינוי שהתעשייה דחפה כדי לצמצם את חלון הסיכון במקרה שמפתח פרטי של תעודה נפרץ. זה צעד אבטחה הגיוני, אבל זה גם אומר שצריך לחדש את התעודה ארבע פעמים בשנה, כל שנה, לנצח.
למה חידוש ידני ממשיך להיכשל
תשעים יום נשמעים כמו הרבה זמן, עד שהם לא. בעלי אתרים עסוקים, הגדרות DNS משתנות, קורית הגירת שרת, או שהאדם שהגדיר את התעודה במקור עוזב את החברה. מייל החידוש נקבר בים של התראות אחרות. ואז התעודה פגה.
הנה מה שבאמת קורה כשזה מתרחש:
- דפדפנים מציגים אזהרת "לא מאובטח" או אזהרה על מסך שלם לכל מבקר
- רוב המשתמשים עוזבים מיד במקום ללחוץ דרך אזהרה מפחידה
- מנועי חיפוש עשויים לסמן את האתר כלא מאובטח, מה שפוגע בדירוג
- כל טופס או עמוד תשלום מפסיק לעבוד כי דפדפנים חוסמים תוכן מעורב
- אמון, ברגע שנשבר בדרך הזו, קשה לבנות מחדש עם לקוחות חוזרים
שום דבר מכל זה לא דורש תוקף. זו תקלה שגרמת לעצמך, הנגרמת כולה ממועד חידוש שפספסתם.
איך תעודת SSL באחסון עם חידוש אוטומטי פותרת את זה
אוטומציה מסירה את הטעות האנושית לגמרי. עם תעודת SSL באחסון שמתחדשת אוטומטית, השרת בודק את תאריך התפוגה של התעודה בעצמו, מבקש תעודה חדשה לפני שהישנה פגה, ומתקין אותה בלי שאף אחד יצטרך להניע אצבע. כלים כמו Let's Encrypt הנגישו סוג כזה של אוטומציה לכולם, לא רק לארגונים גדולים עם צוותי אבטחה ייעודיים.
אירוח מנוהל טוב בונה את זה ישירות לתוך הפלטפורמה עצמה. אנחנו מטפלים בהנפקת וחידוש תעודות באופן אוטומטי עבור כל אתר על השרתים שלנו, כך שתפוגה פשוט לא משהו שהלקוחות שלנו צריכים לעקוב אחריו. תוכלו לקרוא עוד על איך זה עובד בעמוד תעודת SSL שלנו.
מה לבדוק אם אתם לא בטוחים שהחברה שלכם מטפלת בזה
כמה תוכניות אחסון משווקות "SSL חינם" אבל מכסות רק את ההגדרה הראשונית, ומשאירות את החידוש כמשימה ידנית קבורה בלוח בקרה. כמה שאלות יכולות להבהיר מה בדיוק אתם מקבלים:
- האם התעודה מתחדשת אוטומטית, או שתקבלו מייל תזכורת לעשות זאת בעצמכם?
- מה קורה אם ניסיון חידוש נכשל? האם יש תהליך ניסיון חוזר והתראה?
- האם החידוש מכסה את כל תתי-הדומיינים וכל דומיין חדש שתוסיפו בעתיד?
- האם יש לוח בקרה שבו תוכלו לאשר את סטטוס התעודה במבט חטוף?
אם התשובה לאחת מהשאלות האלה לא ברורה, כדאי לבדוק זאת לפני שתסמכו עליה לכל דבר שמטפל בנתוני לקוחות.
למה זה חשוב מעבר לאייקון המנעול
SSL זה לא רק להימנע מאזהרת דפדפן מפחידה. זה משפיע על SEO, מכיוון ש-Google אישרה ש-https הוא גורם דירוג. זה משפיע על שיעורי המרה, מכיוון שמשתמשים נוטשים עמודים שנראים לא אמינים. ועבור עסקים שמטפלים בכל סוג של מידע רגיש, מפרטי התחברות ועד טפסי תשלום, זו לרוב דרישה חוקית ורגולטורית בסיסית, לא רק נוהג מומלץ.
כתבנו בעבר על ההשלכות הרחבות יותר על אמון במאמר למה תעודת SSL באחסון חשובה הרבה מעבר להצגת מנעול בדפדפן, ואם אתם מתלבטים בין סוגי תעודות, DV לעומת OV לעומת EV מפרט איזו תעודה מתאימה למצב שלכם.
המחיר של טעות כאן
כיסינו גם מה קורה כשחידוש נכשל במאמר איך כשלי חידוש תעודת SSL הורסים בשקט אמון ותנועה. בקצרה: אפילו כמה שעות של תעודה שפגה יכולות להרוס יום שלם של המרות, והנזק לאמון המבקרים לרוב נמשך הרבה מעבר לתיקון הטכני.
לסיכום
חידוש SSL לא צריך להיות תלוי במישהו שזוכר תאריך ביומן. זו בעיה פתורה, הטכנולוגיה לאוטומציה שלה קיימת ועובדת בצורה אמינה. כל תוכנית אחסון ששווה לשלם עליה צריכה להתייחס לתעודות שמתחדשות אוטומטית כחלק בסיסי מלשמור על האתר שלכם מקוון, לא כהטבת פרימיום. אם החברה שמארחת אתכם כרגע עדיין גורמת לכם לנהל את זה ידנית, זה רגע סביר לשאול למה.
