SSL сертификат — как да проверите правилната му настройка

Сайтът има инсталиран ssl сертификат, а браузърът въпреки това показва предупреждение за сигурност. Най-честите причини са изтекъл срок, липсваща част от веригата или сървър, който още приема стари протоколи. Подновяването може да стане до 90 дни преди изтичането на срока, така че има достатъчно време да откриете проблема навреме (WebsitePlanet). Самата проверка е въпрос на няколко минути и не изисква достъп до сървъра.

Какво показва онлайн проверката на ssl сертификат

Безплатните проверки сканират домейна и връщат данните, които браузърът вижда. Инструментът на SSL.com показва издателя на сертификата, датата на изтичане и серийния номер (SSL.com). Проверката на WebsitePlanet допълнително описва сървъра и веригата от сертификати и казва дали инсталацията е правилна, валидна и без проблеми (WebsitePlanet).

Двата инструмента се допълват. Пуснете сайта си през поне един от тях и запазете резултата, за да го сравните след всяка промяна.

Как да проверите сертификата стъпка по стъпка

1. Отворете страницата за проверка на SSL.com или на WebsitePlanet.
2. Въведете домейна без https://, например example.bg, и стартирайте сканирането.
3. Сравнете издателя с този, който сте поръчали или получили от хостинга.
4. Прочетете датата на изтичане в отчета (SSL.com) и си запишете напомняне за подновяване. Инструментът на WebsitePlanet може да добави такова напомняне в Google Calendar (WebsitePlanet).
5. Отворете сайта в браузър и проверете адреса и катинара. Адресът трябва да започва с https://, а щракването върху катинара показва данните за сертификата (Агенция Атаман).
6. Повторете проверката за варианта със www и за варианта без него, защото сертификатът може да покрива само единия.

Съвременните браузъри показват ясно предупреждение, когато сертификатът липсва или има проблем, например „Your connection is not private“ (Агенция Атаман).

Непълна верига от сертификати

Сертификатът на сайта не стига сам до доверен издател. Между него и корена стои междинен сертификат, а ако сървърът не го подава, някои браузъри и приложения отказват връзката. При инсталация в cPanel са нужни три части: сертификат (CRT), частен ключ (KEY) и CA Bundle (CABUNDLE) (СуперХостинг.БГ). Те се поставят в SSL/TLS Certificates, таб Installation, в отделни полета.

Нашият извод е практичен. Ако проверката се оплаква от верига, а полето за CA Bundle е било празно при инсталацията, първо поставете там данните от доставчика на сертификата и инсталирайте отново.

Опцията „Автоматично попълване на данните“ ползвайте само когато данните вече са качени в cPanel (СуперХостинг.БГ). Ако имате няколко домейна в акаунта, изберете от падащото меню точния домейн, иначе сертификатът ще остане върху грешния сайт.

Остарели протоколи — SSL 3.0, TLS 1.0 и TLS 1.1

Старите версии на протоколите са друга честа слабост. Сертификатът може да е напълно изправен, а сървърът да позволява връзка по протокол, който отдавна е счупен.

Ако отчетът показва, че сайтът приема SSL 3.0, TLS 1.0 или TLS 1.1, поискайте от хостинга да ги изключи и да остави TLS 1.2 и 1.3. TLS 1.3 освен това съкращава времето за ръкостискане, затова връзката се установява по-бързо (SSL.com). Повече за скоростта на сайта има в материала за по-леки изображения, кеш на браузъра и CDN.

Изтекъл срок и подновяване

Изтеклият сертификат е най-лесният за откриване проблем. Браузърите показват предупреждение, което може сериозно да навреди на доверието към сайта (WebsitePlanet). Инструментът на WebsitePlanet предлага и напомняне в Google Calendar преди крайния срок.

Сертификатите с валидиране само на домейна са най-бързи за издаване, често безплатни, като тези от Let's Encrypt, и подхождат на блогове и малки сайтове (Агенция Атаман). Видовете, срокът и автоматичното подновяване са описани в наръчника за SSL сертификати и HTTPS. Ако само подновявате сертификат, който вече е бил в употреба, в cPanel не е нужно да правите нищо повече след инсталацията (СуперХостинг.БГ).

Грешки след преминаване от HTTP към HTTPS

Валидният сертификат не оправя връзките в самия сайт. Ако сайтът преди това е работил по HTTP, може да се наложи несигурните ресурси да се насочат към HTTPS (СуперХостинг.БГ). Обновете вътрешните връзки от http:// към https:// в съдържанието, менютата, шаблоните, CSS и JavaScript файловете, както и каноничните тагове (Агенция Атаман).

Преди масова замяна направете резервно копие на сайта. Една грешна замяна в базата данни се връща трудно без копие.

Въпроси и отговори

Достатъчен ли е катинарът в адресната лента? Не напълно. Катинарът показва, че връзката е криптирана, но SSL не пази от всички видове атаки (Агенция Атаман). Затова допълнете визуалната проверка с отчет за веригата и протоколите.

Сертификатът е нов, а грешката остава. Какво да проверя? Първо дали е инсталиран за точния домейн от падащото меню в cPanel (СуперХостинг.БГ). След това сравнете издателя и датата в отчета на онлайн проверката (SSL.com).