คู่มือการเริ่มต้นสำหรับใบรับรอง SSL ของเว็บไซต์

เมื่อสร้างแอปพลิเคชันเว็บที่จัดการกับข้อมูลส่วนบุคคลความปลอดภัยเป็นสิ่งสำคัญอันดับแรก สิ่งนี้เป็นจริงไม่เพียงเป็นความจริงกับร้านค้าออนไลน์และตะกร้าสินค้าเท่านั้น แต่ยังเป็นเรื่องของเครือข่ายสังคมยอดนิยมอย่าง Twitter และ Foursquare SSL เป็นโปรโตคอลที่ปลอดภัยเหมือน HTTP ซึ่งสามารถรับและถ่ายโอนข้อมูลผ่านอินเทอร์เน็ต.

แนวคิดทั้งหมดเป็นที่ยอมรับกันเล็กน้อย แต่ไม่ยากที่จะเข้าใจ หากคุณเป็นผู้ดูแลเว็บหรือผู้ที่สนใจเรียนรู้เกี่ยวกับใบรับรอง SSL คู่มือนี้ควรเหมาะกับคุณ ฉันได้รวบรวมคำศัพท์ที่สับสนที่สุดชุดนี้ไว้สำหรับผู้เริ่มต้น ใช้เวลาในการเรียกดูที่นี่เช่นเดียวกับการอ่านบทความภายนอกอื่น ๆ ในหัวข้อ ความปลอดภัยมีความสำคัญต่อความสำเร็จของเว็บไซต์ใด ๆ และ SSL เป็นเพียงก้าวสำคัญในภาพรวม.

SSL คืออะไร?

โปรโตคอล SSL หมายถึง Secure Socket Layers และสร้างสรรค์โดย Netscape เป็นกระบวนการที่ข้อมูลถูกส่งผ่านระหว่างผู้ใช้และเซิร์ฟเวอร์นั้นถูกเข้ารหัส / ถอดรหัสเพื่อที่จะไม่มีบุคคลภายนอกภายนอกที่สามารถขโมยการเชื่อมต่อได้.

SSL ทำตัวเหมือนหนังสือเดินทางดิจิตอลที่ตรวจสอบข้อมูลรับรองของทั้งตัวคุณเองและเว็บเซิร์ฟเวอร์ปลายทาง เมื่อทั้งสองได้รับการยืนยันตัวตน SSL ให้การเชื่อมต่อที่ปลอดภัยผ่าน HTTPS กระบวนการนี้ดำเนินการโดยใช้ ใบรับรอง. ฉันได้จำแนกประเด็นสำคัญของใบรับรอง SSL ซึ่งรวมถึง:

• ชื่อเจ้าของ
• หมายเลขซีเรียลของใบรับรองที่ใช้สำหรับการระบุตัวตน
• วันหมดอายุของใบรับรอง
• รหัสสาธารณะของใบรับรองใช้เพื่อเข้ารหัสข้อมูล
• รหัสส่วนตัวของใบรับรองที่ใช้ในการถอดรหัสข้อมูล (มักมาจากเว็บเซิร์ฟเวอร์)

คุณไม่จำเป็นต้องเข้าใจการใช้งานข้อมูลทั้งหมดนี้อย่างสมบูรณ์ ในบางกรณีคุณจะได้รับใบรับรองพร้อมข้อมูลเพิ่มเติม แต่จะไม่มีผลใด ๆ ต่อผู้ใช้โดยตรง มันมีผลเฉพาะการเชื่อมต่อระหว่างเซิร์ฟเวอร์และคอมพิวเตอร์ระยะไกล.

การตั้งค่า Cert

คุณสามารถที่จะเข้าใจว่า SSL ทำงานอย่างไร มันเป็นรูปแบบที่ซับซ้อนกว่าของการส่งผ่านข้อมูล - เช่นการถ่ายโอนข้อความภายในตู้นิรภัยที่ถูกล็อค ไม่จำเป็นต้องจดจำองค์ประกอบสำคัญของใบรับรอง SSL หรือเรียนรู้วิธีเชื่อมต่อกับเว็บเซิร์ฟเวอร์ แต่อย่างน้อยก็ควรเข้าใจพื้นฐานของกระบวนการก่อนที่จะตั้งค่าของคุณเอง.

ใบรับรอง SSL นั้นซื้อจากผู้จำหน่ายที่เชื่อถือได้จำนวนหนึ่งบนเว็บ ใบรับรองแต่ละใบมีวันหมดอายุซึ่งหมายความว่าคุณจะต้องต่ออายุเพื่อให้เว็บไซต์ของคุณปลอดภัย (โดยปกติจะเป็นทุกปี) ดูเหมือนจะเจ็บปวดจริง ๆ ที่จะจัดการ แต่โฮสต์เว็บยอดนิยมมากมายเช่น FatCow จะช่วยคุณในการตั้งค่า.

ก่อนอื่นคุณต้องสร้าง CSR หรือคำขอลงนามใบรับรองบนเว็บเซิร์ฟเวอร์ของคุณเอง จำเป็นต้องมี CSR ก่อนที่คุณจะได้รับใบรับรอง SSL เป็นไปได้ที่จะสร้างสิ่งนี้ด้วยตัวคุณเองถ้าคุณมีสิทธิ์ระดับผู้ดูแลเต็มรูปแบบบนเว็บเซิร์ฟเวอร์ อย่างไรก็ตามขอแนะนำให้คุณติดต่อผู้ให้บริการพื้นที่เว็บก่อนเนื่องจากอาจไม่อนุญาตให้คุณทำสิ่งนี้ด้วยตนเอง ในความเป็นจริงไม่มีอันตรายใด ๆ ที่จริงแล้วมันทำให้งานของคุณง่ายขึ้นมาก!

หลังจากที่คุณมี CSR ที่เข้ารหัสนี้คุณสามารถติดต่อผู้ให้บริการใบรับรอง มีผู้ค้าที่เชื่อถือได้เพียงไม่กี่คนเช่น Verisign หรือ Thawte เมื่อคุณซื้อใบรับรองแล้วให้ติดต่อฝ่ายสนับสนุนเว็บโฮสต์ของคุณและพวกเขาจะติดตั้งให้คุณอย่างมีความสุข.

SSL ประเภทต่าง ๆ

วิธีทั่วไปในการตั้งค่าใบรับรอง SSL คือที่อยู่ IP หลักของคุณเอง สิ่งนี้เรียกว่า ใบรับรอง SSL เฉพาะ. มันจะใช้กับโดเมนและเว็บเซิร์ฟเวอร์ของคุณเท่านั้น ไม่ใช่ทุกคนที่มีเงินมากพอที่จะซื้อแผนโฮสติ้งโดยเฉพาะ แต่โชคดีสำหรับพวกเราทุกคนมีโซลูชั่นอื่น ๆ.

โดยทั่วไปมีใบรับรอง SSL สามประเภทที่คุณสามารถใช้ได้ ผู้ให้บริการบางรายอาจเสนอใบรับรองฟรีเป็นข้อเสนอทดลองใช้แบบ จำกัด เวลา แต่ใบรับรองเหล่านี้ไม่มีความปลอดภัยมากกว่าการเชื่อมต่อ HTTP มาตรฐานและหมดอายุอย่างรวดเร็ว.

• SSL เฉพาะ - นี่คือโซลูชันที่ปลอดภัยที่สุดและชัดเจนที่สุด การเชื่อมต่อ HTTPS ได้รับการยืนยันสำหรับโดเมนรูทของคุณซึ่งกำหนดเป้าหมายผ่านที่อยู่ IP ที่กำหนดไว้เท่านั้น.
• SSL ที่ใช้ร่วมกัน - โฮสต์เว็บที่ให้บริการโฮสต์ที่ใช้ร่วมกันในบางครั้งจะมีชื่อโดเมนหลายชื่อที่ชี้ไปยังที่อยู่ IP เดียวกัน ในกรณีนี้มันง่ายกว่าสำหรับโฮสต์ในการจัดการ SSL เดียวในแต่ละเซิร์ฟเวอร์ซึ่งประกอบไปด้วยเว็บไซต์ต่าง ๆ มากมาย.
• Wildcard SSL - สิ่งเหล่านี้อาจคล้ายกับใบรับรอง SSL เฉพาะหรือใช้ร่วมกันโดยยึดตามการกำหนดค่าเซิร์ฟเวอร์ Wildcard SSL certs จะกำหนดเป้าหมายหลายโดเมนย่อยสำหรับเว็บไซต์ของคุณ นี่เป็นโซลูชันที่ใช้งานได้หากคุณแยกฟังก์ชั่นต่างๆของเว็บไซต์ของคุณเช่น shop.domain.com, checkout.domain.com ฯลฯ.

หากคุณเพิ่งเริ่มต้นฉันขอแนะนำให้ใช้การตั้งค่า SSL ที่ใช้ร่วมกัน ไม่น่าเป็นไปได้ที่คุณจะสามารถจ่ายเงินให้กับเว็บโฮสต์ / ที่อยู่ IP เฉพาะได้ทันที และแม้ว่าคุณจะทำได้ค่าใช้จ่ายของใบรับรอง SSL โดยเฉพาะนั้นช่างเลวร้ายจริงๆ แต่มันเป็นสิ่งที่คุณควรพิจารณาหากเป็นไปได้.

อย่างไรก็ตามเนื่องจากคู่มือนี้มีเป้าหมายสำหรับผู้เริ่มต้นฉันคิดว่าใบรับรองที่แชร์มีมากเกินพอที่จะเริ่มต้นได้.

คำแนะนำแบบเป็นขั้นตอน

วิธีที่ดีที่สุดที่จะรู้สึกสบายใจกับใบรับรอง SSL คือผ่านตัวอย่างการทำงาน มารวบรวมใบรับรอง Comodo เล็ก ๆ จาก Namecheap กัน พวกเขามีราคาสมเหตุสมผลมากซึ่งเหมาะสำหรับผู้เริ่มต้นใช้งาน และเนื่องจากเราเพียงแค่ต้องทำตามกระบวนการและโครงร่างนี้จะเป็นวัสดุที่สมบูรณ์แบบสำหรับการกวดวิชานี้.

สร้าง CSR

ตอนนี้เริ่มต้นเราต้องสร้างคำขอลงนามในแบ็กเอนด์ของเซิร์ฟเวอร์ของเรา ฉันใช้บัญชีโฮสติ้งธุรกิจผ่าน HostGator เพื่อทดสอบหนึ่งในโดเมนของฉัน เว็บโฮสต์แต่ละแห่งมีความแตกต่างกันเล็กน้อยดังนั้นคุณจะต้องตรวจสอบกับเจ้าหน้าที่ฝ่ายสนับสนุนหากคุณมีปัญหา URL นี้ใช้สำหรับการสร้าง CSR ในบัญชี HostGator.

โปรดสังเกตว่าข้อมูลนี้ส่วนใหญ่จะต้องจับคู่กับข้อมูลเว็บ Whois ของโดเมนของฉัน ฉันใช้แอพ Whois Domain Tools ซึ่งให้ข้อมูลทั้งหมดที่ฟอร์มนี้ต้องการ หากคุณมีการติดตั้งความเป็นส่วนตัวของโดเมนคุณต้องใช้ข้อมูลนี้แทนของคุณเองเพื่อให้ CSR ตรงกัน.

กระบวนการนี้อาจใช้เวลาถึง 24 ชั่วโมงในการลงทะเบียนให้เสร็จสมบูรณ์ ฉันได้รับคำตอบภายใน 15 นาที มาต่อและซื้อใบรับรองของเราตอนนี้เพื่อให้เราพร้อมที่จะติดตั้งพร้อมกับคำขอลงนาม.

ซื้อของกัน!

แผนโคโมโดมีตั้งแต่ $ 9 ต่อปีจนถึงเกือบ $ 100 ฉันกำลังดูแพ็คเกจ EssentialSSL ซึ่งราคาเพียง $ 25 ต่อปี นี่ไม่ใช่ข้อเสนอที่ดีเมื่อพิจารณาทางเลือกบางอย่าง.

แผนนี้มาพร้อมกับนโยบายการคืน 15 วันหากเราไม่พอใจกับใบรับรอง นอกจากนี้ชื่อโดเมนของเราจะปลอดภัยสำหรับโดเมนย่อย www และไม่ใช่ www หลังจากเพิ่มแพ็คเกจนี้ไปยังตะกร้าสินค้าของฉันเราสามารถเช็คเอาท์ Namecheap จะต้องให้ฉันเข้าสู่บัญชีที่มีอยู่หรือสมัครใหม่.

หลังจากป้อนข้อมูลบัญชีของฉันทั้งหมดหน้าจอการชำระเงินครั้งสุดท้ายจะเกิดขึ้น เรามีตัวเลือกในการชำระเงินด้วยเงินที่เก็บไว้ในบัญชีบัตรเครดิตหรือ PayPal หากทุกอย่างผ่านไปอย่างถูกต้องเราจะถูกนำไปยังแบบฟอร์มยืนยันคำสั่งซื้ออีกครั้ง (คุณควรได้รับอีเมลพร้อมข้อมูลนี้เพิ่มเติม) ทุกอย่างดูดีจนถึงตอนนี้!

การติดตั้งครั้งสุดท้าย

CSR ควรปรากฏในอีเมลจากโฮสต์เว็บของคุณ กุญแจเป็นเหมือนบล็อกของตัวอักษรและคีย์ที่สั่นสะเทือน นี่คือสิ่งที่เราต้องเตรียมสำหรับการตรวจสอบ SSL ย้ายกลับไปที่ Namecheap ลองค้นหาหน้าใบรับรอง SSL แล้วคลิก “กระตุ้น”.

ในหน้าใหม่นี้เราต้องเลือกประเภทเซิร์ฟเวอร์และป้อนรหัส CSR ฉันเลือก Apache + OpenSSL เป็นตัวเลือกเริ่มต้น นี่เป็นการตั้งค่าทั่วไปสำหรับ Apache แต่ถ้าคุณไม่แน่ใจให้ตรวจสอบกับโฮสต์ของคุณก่อน โปรดสังเกตว่าเว็บโฮสต์ของคุณควรส่งคืนได้นานกว่า คีย์ RSA ซึ่งใช้สำหรับการรับรองความถูกต้องส่วนตัวที่ส่วนท้ายของเซิร์ฟเวอร์ สิ่งที่เราต้องทำคือคัดลอกคีย์ CSR ที่สั้นกว่าลงในกล่องและส่ง.

จากนั้นเราจะสร้างอีเมลที่ส่งถึง “อนุมัติ” ของชื่อโดเมน นี่จะมีข้อมูลบางอย่างเกี่ยวกับใบรับรอง SSL ของคุณและวิธีเปิดใช้งานบนโฮสต์ แบบฟอร์มการส่งครั้งสุดท้ายนี้จะต้องใช้รหัสลับ RSA ของเรารวมถึงข้อมูลเพิ่มเติมชุดข้อมูล SSL บางส่วน ทั้งหมดนี้มาจาก Namecheap หลังจากเราผ่าน CSR.

เป็นที่น่าสังเกตว่าในบางโฮสต์เว็บคุณอาจไม่สามารถใช้ SSL ในสภาพแวดล้อมที่ใช้ร่วมกันได้ HostGator อนุญาตให้ธุรกิจอัปเกรดบัญชีของตนเป็นที่อยู่ IP หลักดังนั้นจะไม่มีข้อผิดพลาดที่ขัดแย้งกับใบรับรอง แบบฟอร์มการติดตั้ง SSL จาก HostGator นั้นเรียบง่ายและตรวจสอบได้อย่างรวดเร็ว.

หลังจากโฮสต์ของคุณยืนยันว่าทุกอย่างโอเคแล้วเราก็ควรจะพร้อมแล้ว เข้าใจว่าอาจใช้เวลาสองสามชั่วโมงและหนึ่งวันหรือมากกว่านั้น อดทนและตรวจสอบอีเมลของคุณต่อไป เมื่อตรวจสอบแล้วให้ลองเข้าถึงเว็บไซต์ของคุณผ่าน HTTPS และรายละเอียดใบรับรองทั้งหมดควรอยู่ในแถบที่อยู่ การดิ้นรนเมื่อคุณเพิ่งเริ่มต้น แต่ก็ไม่ต้องกลัวที่จะขอความช่วยเหลือจากผู้ให้บริการ SSL หรือเว็บโฮสต์ของคุณหากจำเป็น.

การจัดการการเชื่อมต่อที่ปลอดภัย

ฉันพบบทความสนับสนุน Hostgator นี้มีประโยชน์อย่างมากในการทำความเข้าใจกระบวนการตั้งค่า แม้ว่าคุณจะไม่ใช่ลูกค้าของ HostGator คุณก็จะใช้ cPanel เพื่อจัดการเว็บเซิร์ฟเวอร์ระยะไกล สิ่งนี้เป็นจริงสำหรับ 1 & 1 Hosting, Bluehost ฯลฯ.

แต่ส่วนที่ดีที่สุดเกี่ยวกับการใช้การตั้งค่า SSL บนเว็บโฮสต์บุคคลที่สามคือคุณไม่จำเป็นต้องทำการเปลี่ยนแปลง (หรือเปลี่ยนแปลงอย่างน้อยนาที) กับรหัสของคุณ! หลังจากคุณผ่านการซื้อใบรับรองโฮสต์เว็บส่วนใหญ่จะมีความสุภาพพอที่จะติดตั้งให้คุณ หลังจากทุกอย่างทำงานได้อย่างราบรื่นการเชื่อมต่อทั้งหมดผ่าน HTTP และ HTTPS ควรทำงานเหมือนกัน.

คุณสามารถทดสอบว่าใบรับรองนั้นรับรองความถูกต้องหรือไม่โดยตรวจสอบแถบที่อยู่ URL ในเว็บเบราว์เซอร์ของคุณ คุณควรสังเกตเห็นไอคอนรูปกุญแจขนาดเล็กซึ่งแสดงถึงการเชื่อมต่อ SSL ที่ตรวจสอบแล้วระหว่างคอมพิวเตอร์ของคุณกับเว็บเซิร์ฟเวอร์ระยะไกล เบราว์เซอร์บางตัวจะแสดงข้อมูลใบรับรองเพิ่มเติมหากคุณคลิกที่ไอคอนล็อค.

Apache .htaccess เปลี่ยนเส้นทาง

หากคุณมีปัญหาในการทำให้ผู้เข้าชมใช้โปรโตคอล HTTPS คุณอาจต้องการพิจารณาใช้สคริปต์ Redirect นี่คือการตั้งค่าทั่วไปบนเซิร์ฟเวอร์ Apache โดยใช้ไฟล์ .htaccess, สิ่งที่โฮสต์เว็บจำนวนมากอนุญาตให้คุณกำหนดค่าภายใน cPanel.

ฉันได้เพิ่มตัวอย่างโค้ดด้านล่างที่คุณสามารถใช้เพื่อตั้งค่าไฟล์. htaccess ของคุณเอง การดำเนินการนี้จะเปลี่ยนเส้นทางการรับส่งข้อมูลทั้งหมดไปยัง https: // ด้วยโดเมนย่อย www คุณสามารถลบ www เพื่อให้การเข้าชมทั้งหมดถูกนำไปที่ https://yourdomain.com/ และกฎการเขียนซ้ำจะยังคงทำงานได้อย่างสมบูรณ์.

RewriteEngine เมื่อ RewriteCond% HTTPS = ปิด RewriteRule ^ (. *) $ https://www.yourdomain.com/$1 [R = 301, L] RewriteCond% http_host ^ yourdomain.com [NC] RewriteRule ^ ( *) $ https://www.yourdomain.com/$1 [R = 301, L] 

ไฟล์อ้างอิง

ปัญหาที่น่ารำคาญที่สุดที่คุณจะพบคือการอ้างอิง URL แบบสัมบูรณ์แทนที่จะเป็นพา ธ ของไฟล์ที่เกี่ยวข้อง นี่จะ ไม่ แสดงการเชื่อมต่อที่ปลอดภัยอย่างสมบูรณ์โดยอ้างอิงแทนคำเตือนว่ามี “รายการที่ไม่ปลอดภัย” กำลังแสดงบนหน้า หากคุณเรียกสื่อภายนอกประเภทใด: วิดีโอ, ภาพ, สไตล์ชีทคุณต้องดำเนินการในพื้นที่นั้น ๆ ฉันได้สาธิตตัวอย่างด้านล่าง:

ด้วยรหัสบิตแรกที่คุณกำลังโหลดเอกสารที่อาจไม่ปลอดภัยลงบนหน้าที่ปลอดภัย นี่เป็นวิธีการที่แฮ็กเกอร์อัจฉริยะสามารถหลีกเลี่ยงการเข้ารหัสของคุณได้ กรณีส่วนใหญ่ฉันใช้ในการแยกวิเคราะห์ผ่าน JavaScript หรือ VBScript แต่เพื่อความปลอดภัยโปรดตรวจสอบให้แน่ใจว่าไม่มีเนื้อหาใดของคุณถูกดึงผ่าน HTTP โดยตรง.

หากด้วยเหตุผลใดก็ตามที่คุณต้องดึงไฟล์ผ่าน URL แบบสมบูรณ์ให้ใช้ HTTPS แทน หากคุณมีไฟล์โฮสต์บนเว็บไซต์หรือเซิร์ฟเวอร์ภายนอกอาจทำให้เกิดปัญหาเนื่องจากคุณไม่สามารถตรวจสอบการเชื่อมต่อ HTTPS อื่นได้ ทำงานเพื่อให้สื่อหน้าเว็บทั้งหมดรวมอยู่ภายใต้ IP เดียวดังนั้นคุณจะไม่พบปัญหาเหล่านี้เลย!

ลิ้งค์ที่มีความเกี่ยวข้อง

• อธิบายเช่นเดียวกับฉัน 5: ใบรับรองความปลอดภัยออนไลน์ SSL, HTTPS คืออะไรและทำงานอย่างไร?
• วิวัฒนาการของความน่าเชื่อถือ SSL [Infographic]
• การสร้างและติดตั้งใบรับรอง SSL แบบเป็นขั้นตอน

ข้อสรุป

ฉันหวังว่าคำแนะนำเบื้องต้นนี้จะช่วยให้คุณเข้าใจถึงโลกของ SSL ได้ การรักษาความปลอดภัยของเว็บเป็นอุตสาหกรรมที่เฟื่องฟูซึ่งได้รับข้อมูลผู้ใช้ส่วนตัวจำนวนมาก ร้านค้าออนไลน์ที่มีชื่อเสียงทั้งหมดรวมถึง Amazon และ eBay ใช้ SSL มานานหลายปีแล้ว.

ฉันจะยอมรับว่า SSL / HTTPS ไม่ใช่หัวข้อที่คุณสามารถศึกษาเพื่อทำความเข้าใจได้ เช่นเดียวกับการเขียนโปรแกรมคุณจำเป็นต้องดำน้ำในมือและทำให้การตั้งค่าใบรับรองของคุณสกปรก มันเป็นภารกิจที่น่ากลัวที่ต้องออกเดินทาง แต่มันก็ให้ความรู้สึกถึงความสำเร็จในระยะยาว หากคุณรู้จักแนวทางที่เป็นประโยชน์อื่น ๆ หรือเนื้อหาที่เกี่ยวข้องอย่าลังเลที่จะแบ่งปันในพื้นที่การโพสต์การสนทนา.