בטח שמתם לב לסמל המנעול הקטן ליד כתובת האתר והנחתם שזה כל הסיפור. יש SSL, האתר בטוח, אפשר להמשיך הלאה. אבל המנעול הזה הוא רק פני השטח של מערכת הרבה יותר עמוקה, והאופן שבו המערכת הזו מתארחת ומנוהלת משפיע על הכל, החל מהדירוג שלכם בגוגל ועד לשאלה אם עמוד התשלום שלכם בכלל עובד כשלקוח מנסה לשלם.
בואו נעבור מעבר למנעול ונדבר על מה שתעודת SSL באחסון באמת כוללת, ולמה האיכות של האחסון הזה חשובה יותר ממה שרוב בעלי האתרים מבינים.
מה תעודת SSL באמת עושה
תעודת SSL (שטכנית נקראת היום TLS, אבל כולם עדיין קוראים לה SSL) עושה שתי משימות. ראשית, היא מצפינה את המידע שעובר בין הדפדפן של המבקר לשרת שלכם, כך שסיסמאות, מספרי כרטיסי אשראי ופרטים שממלאים בטפסים לא יכולים להיקרא על ידי מישהו שמיירט את החיבור. שנית, היא מאמתת שהאתר שלכם באמת מי שהוא טוען שהוא, מה שמונע סוגים מסוימים של התחזות.
בלעדיה, דפדפנים מסמנים כיום את האתר שלכם כ"לא מאובטח" ישירות בשורת הכתובת. זו לא אזהרה עדינה. זה אות ברור וקבוע לכל מבקר שמשהו אולי לא בסדר, גם אם האתר שלכם בטוח לחלוטין מכל בחינה אחרת.
הצד של האחסון שעליו אף אחד לא מדבר
כאן זה נהיה מעניין. קבלת תעודה היא רק השלב הראשון. מישהו צריך להתקין אותה נכון, לחדש אותה לפני שהיא פגה, לשמור על ההגדרות מעודכנות ככל שתקני האבטחה משתנים, ולוודא שכל תת-דומיין וכל הפניה באמת משתמשים בה. זה הצד של תעודת SSL באחסון במשוואה, וזה בדיוק המקום שבו מספר מפתיע של אתרים נכשל בשקט.
תעודות בדרך כלל פגות אחת לכל 90 יום עד שנה, תלוי בגורם המנפיק. אם החידוש לא אוטומטי, מישהו צריך לזכור, בכל פעם מחדש, אחרת האתר נשבר. כולנו ראינו את השגיאה "החיבור שלך אינו פרטי" באתרים שאחרת נראים לגמרי מקצועיים. זו כמעט תמיד תעודה שפגה ואף אחד לא תפס את זה בזמן.
למה תעודות שפגו או מוגדרות לא נכון עולות לכם יותר מאי נעימות
תעודת SSL שפגה לא רק נראית רע. היא חוסמת מבקרים באופן אקטיבי. רוב הדפדפנים מציגים אזהרה שממלאת את כל העמוד, שרוב האנשים לא ילחצו מעבר לה. אם אתם מפעילים חנות אונליין, זה אומר מכירות שאבדו בדיוק בחלון הזמן שבו התעודה פגה, בלי שום התראה אליכם אלא אם אתם עוקבים אחרי זה באופן פעיל.
יש גם היבט של ביצועים שאנשים מפספסים. פרוטוקולים מודרניים כמו HTTP/2 ו-HTTP/3 דורשים HTTPS כדי לפעול. אם הגדרת ה-SSL שלכם מיושנת או מוגדרת בצורה גרועה, ייתכן שאתם תקועים על פרוטוקולים ישנים ואיטיים יותר בלי להבין למה האתר שלכם מרגיש איטי בהשוואה למתחרים.
ההשפעה על SEO שאי אפשר להתעלם ממנה
גוגל משתמשת ב-HTTPS כאות דירוג כבר מ-2014, והפער רק הלך והתרחב מאז. מעבר לבוסט הישיר בדירוג, יש גם אפקט עקיף: אתרים עם שגיאות תעודה חווים שיעורי נטישה גבוהים יותר, מה שמשדר איכות ירודה למנועי החיפוש לאורך זמן. נגענו בקשר הרחב הזה בגורמי ה-SEO הטכניים שחיים ברמת האחסון, וניהול תעודות הוא דוגמה מושלמת לפרט ברמת האחסון עם השלכות אמיתיות על הדירוג.
איך נראה אחסון תעודת SSL טוב
הגדרת SSL מנוהלת כראוי צריכה לטפל בכמה דברים בלי שתצטרכו לחשוב עליהם בכלל:
- הנפקה וחידוש אוטומטיים לפני תפוגה, בלי שום שלב ידני
- הגדרה נכונה בכל תתי הדומיינים וההפניות, לא רק בדומיין הראשי
- תמיכה בגרסאות TLS עדכניות והסרה של גרסאות ישנות ולא בטוחות
- בדיקות תוכן מעורב, כדי שלא תמצאו את עצמכם עם עמוד HTTPS שטוען בשקט משאבי HTTP
- ניטור שמתריע למישהו לפני שבעיית תעודה פוגעת במבקרים
רוב ספקי האחסון המנוהל, כולל אנחנו, מטפלים בהנפקה וחידוש תעודות באופן אוטומטי ברקע. לא אמורים להצטרך לקבוע תזכורת ביומן כדי לשמור על האתר שלכם מאובטח. אם האחסון הנוכחי שלכם דורש מכם לחדש תעודות ידנית או לשלם תוספת עבור HTTPS בסיסי, כדאי לבחון את זה מחדש. אפשר לראות איך אנחנו ניגשים לנושא הזה בעמוד ה-SSL שלנו.
תעודות חינמיות מול בתשלום: האם זה משנה?
Let's Encrypt הפכה תעודות חינמיות ואוטומטיות לסטנדרט, ועבור רוב האתרים, הן מציעות את אותה רמת הצפנה כמו האפשרויות בתשלום. ההבדל בתעודות בתשלום בדרך כלל מתבטא בתגיות אימות מורחבות או כיסוי אחריות, שחשובים יותר למוסדות פיננסיים גדולים מאשר לאתר עסק קטן טיפוסי. מה שחשוב הרבה יותר ממחיר הוא האם התעודה מנוהלת ומחודשת כראוי, וזה חוזר לאיכות האחסון ולא לסוג התעודה עצמה.
תעודות הן חלק מתמונת אבטחה גדולה יותר
SSL בלבד לא יעצור תוכנות זדוניות, ניסיונות כניסה בכוח גס, או התקפות ברמת האפליקציה. הוא מצפין את החיבור, אבל לא מחזק את האפליקציה שמאחוריו. אם אתם רוצים את התמונה המלאה של איך נראית הגדרת אבטחה מוצקה, פירטנו את זה במערך האבטחה שכל בעל אתר צריך להכיר ב-2025. חומת אש לאפליקציות ווב (WAF), שמכוסה בהרחבה בסקירת ה-WAF שלנו, מטפלת בשכבת איומים שונה לגמרי ופועלת לצד ה-SSL ולא במקומו.
לסיכום
סמל המנעול הוא קיצור ויזואלי למשהו הרבה יותר מורכב שקורה מאחורי הקלעים. תעודת SSL באחסון שמתעדכנת אוטומטית, מנוטרת ונשמרת עדכנית מגינה על המבקרים שלכם, על הדירוג שלכם בחיפוש ועל המוניטין שלכם, בדרכים שמבט חטוף בשורת הדפדפן לא יכול להראות לכם. אם מעולם לא בדקתם איך התעודות שלכם מנוהלות, זו משימה טובה של חמש דקות להוסיף לרשימה של השבוע, לפני שתאריך תפוגה יתפוס אתכם לא מוכנים.
