Begynnerveiledning til SSL-websider for websider

Når du bygger et webprogram som omhandler personlige data, er sikkerhet den første prioriteten. Dette er sant ikke bare sant med nettbutikker og handlekurver, men også like mye med populære sosiale nettverk som Twitter og Foursquare. SSL er en sikker protokoll som ligner HTTP, fordi den kan motta og overføre data over Internett.

Hele konseptet er riktignok litt innviklet, men ikke så vanskelig å forstå. Hvis du er nettleser eller noen som bare er interessert i å lære om SSL-sertifikater, bør denne veiledningen være perfekt for deg. Jeg har satt sammen dette settet av de mest forvirrende vilkårene for å legge ut for nybegynnere. Tilbring litt tid på å surfe her, så vel som å lese andre eksterne artikler om emnet. Sikkerhet er viktig for suksessen til ethvert nettsted, og SSL er bare en stepping stone i det større bildet.

Hva er SSL?

SSL-protokollen står for Secure Socket Layers og ble opprinnelig utviklet av Netscape. Det er en prosess der data som sendes mellom brukeren og serveren er kryptert / dekryptert slik at ingen ekstern tredjepart kan kapre tilkoblingen.

SSL oppfører seg som et digitalt pass som bekrefter legitimasjonene til både deg selv og sluttwebserveren. Når begge identitetene er bekreftet, gir SSL en sikret tilkobling via HTTPS. Denne prosessen utføres ved bruk av sertifikater. Jeg har brutt ned viktige aspekter ved et SSL-sertifikat, som inkluderer:

• Eierens navn
• Sertifikatets serienummer som brukes til identifikasjon
• Sertifikatets utløpsdato
• Sertifikatets offentlige nøkkel brukes til å kryptere informasjon
• Sertifikatets private nøkkel brukes til å dekryptere informasjon (vanligvis kommer fra en webserver)

Du trenger ikke å forstå bruken for all denne informasjonen. I noen tilfeller får du et sertifikat med enda mer informasjon. Likevel vil ingen av det direkte påvirke brukeren; Det påvirker bare forbindelsen mellom serveren og den eksterne datamaskinen.

Sette opp en sertifisering

Du kan mest sannsynlig finne ut av hvordan SSL fungerer. Det er en mer kompleks form for dataoverføring - som å overføre en melding inne i et låst trygt. Det er ikke nødvendig å huske viktige elementer i et SSL-sertifikat eller lære hvordan det kobles til en webserver, men det er godt å minst forstå grunnleggende i prosessen før du setter opp din egen.

SSL-sertifikater er faktisk kjøpt fra en rekke pålitelige leverandører på nettet. Hvert sertifikat har en utløpsdato, noe som betyr at du må forny den for å holde nettstedet ditt sikret (vanligvis dette er hvert år). Det virker som en ekte smerte å håndtere, men heldigvis vil mange populære webverter som FatCow hjelpe deg i installasjonsprosessen.

Først må du opprette en CSR- eller sertifikat-signeringsforespørsel på din egen webserver. KSR er nødvendig før du kan skaffe et SSL-cert. Det er mulig å lage dette selv hvis du har full administrative rettigheter på webserveren. Det anbefales imidlertid sterkt at du kontakter webverten først, da de sannsynligvis ikke vil tillate deg å gjøre dette selv. Ingen skade i det, faktisk gjør det faktisk jobben din så mye lettere!

Etter at du har denne krypterte CSR, kan du kontakte en sertifikatleverandør. Det er bare en håndfull pålitelige leverandører som Verisign eller Thawte. Når du har kjøpt sertifikatet, må du bare kontakte webverten din, og de vil gjerne installere den for deg.

Ulike typer SSL

Den vanligste måten å opprette et SSL-sertifikat på, er på din egen primære IP-adresse. Dette er kjent som en Dedikert SSL-sertifikat. Det gjelder bare for domenet og webserveren. Ikke alle har nok penger til å kjøpe en dedikert hostingplan, men heldig for oss alle, det finnes andre løsninger.

Vanligvis er det tre forskjellige typer SSL-sertifikater du kan bruke. Noen tjenesteleverandører kan tilby et gratis sertifikat som et tidsbegrenset tilbud, men disse certs er på ingen måte mer sikre enn en standard HTTP-tilkobling, og de utløper raskt.

• Dedikerte SSL - Dette er den sikreste og tydeligvis den dyreste løsningen. En HTTPS-tilkobling er bare bekreftet for roten domenet ditt målrettet via en bestemt IP-adresse.
• Felles SSL - Web verter som tilbyr delt hosting vil noen ganger ha flere domenenavn som peker til samme IP-adresse. I dette tilfellet er det mye lettere for verten å administrere en enkelt SSL på hver server som spenner over en rekke forskjellige nettsteder.
• Wildcard SSL - Disse kan lignes på et dedikert eller delt SSL-sertifikat basert på serverkonfigurasjon. Wildcard SSL certs vil målrette flere underdomener for nettstedet ditt. Dette er en levedyktig løsning hvis du deler opp forskjellige funksjoner på nettstedet ditt, f.eks. shop.domain.com, checkout.domain.com, etc..

Hvis du bare er i gang, anbefaler jeg at du bruker et delt SSL-oppsett. Det er usannsynlig at du vil ha råd til en dedikert webverten / IP-adresse med en gang. Og selv om du kan, er kostnadene ved et dedikert SSL-sertifikat fryktelig. Men det er absolutt noe du bør se på om mulig.

Men siden denne veiledningen er målrettet for nybegynnere, tror jeg at et delt sertifikat er mer enn nok til å komme i gang på.

Steg-for-trinn Walkthrough

Den beste måten å føle deg komfortabel med SSL-sertifikater på, er gjennom arbeidseksempel. La oss sette sammen et lite Comodo-sertifikat fra Namecheap. De har svært rimelig prising som er perfekt for å få nybegynnere påbegynt. Og siden vi bare trenger å gå gjennom prosessen og skisserer, vil dette være perfekt materiale for denne opplæringen.

Generer en CSR

Nå for å starte, må vi opprette signeringsforespørselen på serverens backend. Jeg bruker en bedrift hosting konto gjennom HostGator for å teste en av mine domener. Hver webverten er litt annerledes, så du må sjekke med supportpersonalet hvis du har problemer. Denne nettadressen brukes til en CSR-generasjon på HostGator-kontoer.

Legg merke til at mye av denne informasjonen må matches med domenes Whois webdata. Jeg bruker Whois Domain Tools-appen som gir all informasjonen dette skjemaet krever. Hvis du har domeneregistrering, må du bruke disse dataene i stedet for din egen, slik at CSR-en vil samsvare.

Denne prosessen kan ta opptil 24 timer for å fullføre registreringen. Jeg fikk svaret mitt innen 15 minutter. La oss fortsette og kjøpe vårt sertifikat nå, så vi har det klart å installere med signeringsforespørselen.

La oss kjøpe!

Comodo-planene varierer fra $ 9 / år til nesten $ 100. Jeg ser på EssentialSSL-pakken som bare koster $ 25 årlig. Dette er ikke en dårlig avtale vurderer noen av alternativene.

Denne planen kommer med en 15-dagers returpolitikk dersom vi ikke er fornøyd med sertifikatet. I tillegg vil domenenavnet vårt bli sikret for www-underdomenet og ikke-www. Etter at du har lagt denne pakken i handlekurven, kan vi sjekke ut. Namecheap krever at jeg logger på en eksisterende konto eller registrerer meg for en ny.

Etter at du har lagt inn alle mine kontodata, vil den endelige betalingsskjermen komme opp. Vi har mulighet til å betale med penger som er lagret i kontoen min, kredittkort eller PayPal. Hvis alt går gjennom riktig, blir vi omdirigert til en bestillingsbekreftelsesskjema (du bør i tillegg motta en e-post med denne informasjonen). Alt ser bra ut så langt!

Endelig installasjon

KSR skal vises i en e-post fra webverten din. Nøkkelen er mer som en blokk med jumbled opp tegn og nøkler. Dette er hva vi må sørge for SSL-verifikasjonen. Flytter tilbake til Namecheap la oss finne SSL-sertifikatets side og klikk “Aktiver”.

På denne nye siden må vi velge en servertype og skrive inn CSR-nøkkelen. Jeg har valgt Apache + OpenSSL som standardvalg. Dette er et vanlig oppsett for Apache, men hvis du er usikker, bare sjekk med verten din på forhånd. Legg merke til at webverten din burde ha returnert lenger RSA nøkkel som brukes til privat godkjenning på serverens slutt. Alt vi trenger å gjøre er å kopiere-lim inn den kortere CSR-nøkkelen i boksen og send inn.

Vi genererer deretter en e-post sendt til “godkjenner” av domenenavnet. Dette vil inneholde litt informasjon om SSL-sertifikatet og hvordan du aktiverer det på verten. Dette siste innleveringsskjemaet krever vår RSA-hemmelige nøkkel, samt noen ekstra SSL-buntinformasjon. Dette leveres alt fra Namecheap etter at vi har passert inn i CSR.

Det er verdt å merke seg at på noen web verter kan du ikke være i stand til å bruke SSL i et delt miljø. HostGator tillater bedrifter å oppgradere sine kontoer til en primær IP-adresse, så det vil ikke være noen motstridende feil med certifikatet. SSL-installasjonsskjemaet fra HostGator er greit og validerer også veldig raskt.

Etter at verten din bekrefter at alt er i orden, så bør vi være klar til å gå. Forstå at dette kan ta mellom et par timer og en dag eller mer. Vær tålmodig og fortsett å sjekke e-posten din. Når du er bekreftet, kan du prøve å få tilgang til nettstedet ditt via HTTPS, og alle sertifikatdetaljer skal være i adressefeltet. Det er alltid en kamp når du bare starter, men vær ikke redd for å be om hjelp fra din SSL-leverandør eller webverten hvis det er nødvendig.

Administrere en sikker tilkobling

Jeg har funnet denne Hostgator-støtteartikkelen for å være utrolig nyttig for å forstå oppsettprosessen. Selv om du ikke er kunde hos HostGator, vil du mest sannsynlig bruke cPanel til å administrere en hvilken som helst ekstern webserver. Dette gjelder for 1 og 1 Hosting, Bluehost, etc..

Men det beste ved å bruke et SSL-oppsett på en tredjeparts webverten er at du ikke trenger å gjøre endringer (eller i det minste minuttendringer) til koden din! Når du går gjennom å kjøpe et sertifikat, vil de fleste web vertene være høflige nok til å installere dem for deg. Etter at alt kjører jevnt, må alle tilkoblinger via HTTP og HTTPS fungere identisk.

Du kan teste om sertifikatet er autentisert ved å sjekke URL-adresselinjen i nettleseren din. Du bør legge merke til et lite hengelåsikon som angir en verifisert SSL-forbindelse mellom datamaskinen og den eksterne webserveren. Enkelte nettlesere vil til og med vise mer sertifikatinformasjon hvis du klikker på låsikonet.

Apache .htaccess Omadresser

Hvis du har problemer med å holde besøkende på HTTPS-protokollen, kan du vurdere å bruke et omadresseringsskript. Dette settes vanligvis opp på Apache-servere ved hjelp av en fil .htaccess, som mange web verter lar deg konfigurere rett innenfor cPanel.

Jeg har lagt til noen prøvekoder under det du kan bruke til å konfigurere din egen .htaccess-fil. Dette vil omdirigere all innkommende trafikk til https: // med et www underdomene. Du kan fjerne www, så all trafikk vil i stedet bli rettet til https://yourdomain.com/ og omskrivningsreglene vil fortsatt kjøre perfekt.

RewriteEngine On RewriteCond% HTTPS = av RewriteRule ^ (. *) $ Https://www.yourdomain.com/$1 [R = 301, L] RewriteCond% http_host ^ dittdomene.com [NC] RewriteRule ^ (. *) $ https://www.yourdomain.com/$1 [R = 301, L] 

Henvise filer

Det mest irriterende problemet du får inn i, er å referere til absolutte nettadresser i stedet for relative filbaner. Dette vil ikke Vis en helt sikret tilkobling, og referer i stedet til advarselen om at det er “usikrede varer” blir vist på siden. Hvis du ringer til en hvilken som helst type eksternt medium: video, bilde, stilark, må det gjøres lokalt. Jeg har vist et eksempel nedenfor:

Med den første delen av koden laster du et potensielt usikkert dokument på en sikker side. Dette er selve metoden ved hvilken intelligente hackere kan omgå din kryptering. De fleste tilfellene jeg har kjørt inn i parse gjennom JavaScript eller VBScript. Men for å være trygg bare sørg for at ingen av dine eiendeler trekker direkte via HTTP.

Hvis du av en eller annen grunn må dra en fil via den absolutte nettadressen, bruker du HTTPS i stedet. Hvis du har filer vert på en ekstern nettside eller server, kan dette forårsake problemer siden du ikke kan bekrefte en annen HTTPS-tilkobling. Arbeid for å holde alle websidemedier konsolidert under en IP, slik at du ikke løper inn i disse problemene i det hele tatt!

Relaterte linker

• Forklar som jeg er 5: Hva er elektroniske sikkerhetssertifikater, SSL, HTTPS og hvordan fungerer de?
• Utviklingen av SSL-ektheten [Infographic]
• Generere og installere SSL-sertifikater trinn for trinn

Konklusjon

Jeg håper denne innledende veiledningen har gitt deg litt innsikt i SSL-verdenen. Websikkerhet er en blomstrende bransje som sikrer mye privat brukerdata. Alle de berømte nettbutikkene, inkludert Amazon og eBay, har brukt SSL i mange år.

Jeg innrømmer at SSL / HTTPS ikke er et emne du bare kan studere for å forstå. I likhet med programmering, trenger du virkelig å dykke inn og få hendene skitne og sette opp ditt eget sertifikat. Det er en skremmende oppgave å sette seg ut etter, men det gir en fantastisk følelse av prestasjon i det lange løp. Hvis du kjenner til andre nyttige hjelpelinjer eller relatert materiale, kan du dele det i diskusjonsområdet.