Una gamma completa di prodotti SSL sono disponibili sul mercato oggi che si rivolgono a varie esigenze di dominio e di sicurezza. Anche se molti webmaster stanno esplorando le possibilità, sperando che una mossa per SSL aumenterà la loro classifica di ricerca, può essere schiacciante per cercare di confrontare queste opzioni, per non parlare di comprendere appieno quello che stai pagando per.
Molti provider SSL offrono una vasta gamma di componenti aggiuntivi, il che rende relativamente difficile il confronto tra i provider. Questa guida ti aiuterà a rispondere a diverse domande comuni in modo da poter trovare il certificato più adatto alle tue esigenze:
- Che tipo di certificato SSL devo acquistare?
- Devo utilizzare un certificato gratuito o acquistarne uno da un fornitore?
- Quale certificato è il migliore per proteggere un sottodominio? Più domini?
- Di quanta copertura della garanzia ho bisogno?
- Come posso risolvere i problemi di installazione più comuni?
Che cos’è un certificato SSL?
Prima di affrontare queste domande, copriamo le basi. SSL sta per Secure Sockets Layer, un metodo di sicurezza che consente la crittografia dei dati quando vengono trasferiti su un server. I certificati SSL aiutano a proteggere il trasferimento di informazioni sensibili come numeri di carte di credito, password e nomi utente, numeri di previdenza sociale e altro ancora.
Come funziona?
I certificati SSL utilizzano una chiave pubblica e una privata, che lavorano insieme per stabilire una connessione crittografata. In genere, i dati inviati tra un browser e un server Web vengono inviati come testo normale, il che può renderti vulnerabile agli hacker.
Perché usare SSL?
Il vantaggio di utilizzare un certificato SSL è che offre protezione crittografata durante il trasferimento online di informazioni sensibili. (In effetti, il Payment Card Industry (PCI) ti richiede un certificato SSL se raccogli i dati della carta di credito sul tuo sito.) I certificati SSL possono anche aiutarti a guadagnare la fiducia dei tuoi clienti e proteggerti dagli schemi di phishing.
Inoltre, Google ora fornisce una leggera spinta classifica ai siti web che utilizzano HTTPS. Tecnicamente, Google guarda ancora solo i primi cinque caratteri nell’URL, il che significa che il tuo sito potrebbe sfruttare il protocollo HTTPS senza un certificato valido in atto e ricevere comunque un aumento della classifica. Tuttavia, come suggerito da Gary Illyes di Google, i controlli più rigorosi saranno finalmente messi in atto.
Tipi di certificato
Esistono tre tipi comuni di certificati. La scelta di quella giusta sarà basata sul livello di sicurezza di cui ha bisogno il tuo sito web.
Un certificato SSL convalidato dal dominio, altrimenti noto come certificato low assurance, è il tipo standard di certificato rilasciato. La convalida automatica garantisce che il nome di dominio sia registrato e che un amministratore approvi la richiesta. Affinché la convalida sia completata, il webmaster deve confermare via e-mail o configurare un record DNS per il sito.
- Tempo di lavorazione: da pochi minuti a poche ore
- Consigliato per: utilizzare solo su sistemi interni
Un certificato convalidato dall’organizzazione, o certificato High assurance, richiede agenti reali per convalidare la proprietà del dominio, oltre a informazioni sull’organizzazione come nome, città, stato e paese. Simile a un certificato di garanzia bassa, richiede documentazione aggiuntiva per verificare l’identità dell’azienda.
- Tempo di lavorazione: da poche ore a pochi giorni
- Consigliato per: tutte le aziende e le aziende
Esempio di certificato convalidato dall’organizzazione
Un certificato EV o certificato di convalida estesa è un nuovo tipo di certificato che richiede il processo di convalida più rigoroso. Questo tipo di certificato verifica che l’azienda sia una persona giuridica e richiede che le informazioni aziendali siano fornite come prova della proprietà del dominio. I certificati SSL standard non rappresentano che il tuo sito Web sia gestito da un’azienda legittima e verificata.
Una caratteristica esclusiva dell’acquisto di un certificato EV è che la barra del browser del tuo sito web visualizzerà un lucchetto verde. Ciò può contribuire a rafforzare la fiducia dei consumatori e a rassicurare che la transazione è sicura.
- Tempo di elaborazione:da pochi giorni a poche settimane
- Consigliato per: tutte le aziende di e-commerce
Prezzi & fornitori
Da chi devo acquistare?
Quando si tratta di SSL, alcuni dei grandi nomi sono GeoTrust, DigiCert, Symantec (precedentemente Verisign) e altro ancora. Ci sono anche rivenditori di terze parti, come NameCheap e Comodo, che offrono la stessa protezione a prezzi scontati.
Che dire dei certificati gratuiti?
Perché pagare per qualcosa che è gratuito, chiedi? Quando un utente visita un sito Web protetto da un certificato SSL autofirmato o gratuito, la maggior parte dei browser Web pubblicherà un messaggio di errore. Mentre alcune persone faranno clic su “Capisco i rischi” e procederanno al tuo sito, è probabile che molte persone faranno clic su ” Fammi uscire da qui!”pulsante e non tornare mai più.
Il vero problema sta nel fatto che i certificati autofirmati sono praticamente non regolamentati. Se il tuo sito è compromesso, potrebbe apparire ancora sicuro; tuttavia, i certificati emessi da un’autorità di certificazione attendibile possono essere revocati e quindi avvisare gli utenti di eventuali minacce potenziali.
L’unica volta che un certificato autofirmato deve essere utilizzato è quando si esegue il test dietro un firewall. Puoi aggirare l’acquisto di un certificato se usi una società come PayPal per gestire le tue transazioni, poiché il sito PayPal garantirà la transazione per tuo conto.
Che tipo di garanzia dovrei cercare?
Come ogni tipo di assicurazione, i certificati SSL variano significativamente nel prezzo in base alla quantità di copertura della garanzia che offrono. Tuttavia, la garanzia che si ottiene quando si acquista un certificato SSL può essere fuorviante. Non è una garanzia per l’acquirente (voi), ma piuttosto per gli utenti finali.
In poche parole, se un consumatore subisce una perdita monetaria dopo aver effettuato un acquisto su un sito Web fraudolento, l’autorità di certificazione è tecnicamente in colpa per non aver visualizzato un avviso del browser e non aver protetto il consumatore. In questa situazione, il valore della garanzia sarebbe pagato al cliente, dato che l’importo contestato è inferiore alla garanzia stessa.
Prendi nota, questo praticamente non succede mai! Se un utente dovesse ottenere truffati da un sito web, il primo corso di azione che sarebbe probabilmente prendere è quello di contattare la loro società di carta di credito. Tuttavia, al fine di compensare la garanzia, l’utente finale dovrebbe prendere atto di quale provider SSL stava utilizzando il sito Web fraudolento e contattarlo direttamente. Pur avendo una notevole quantità di copertura della garanzia può dare la pace della mente, è spesso usato come una tattica per convincervi a pagare di più per lo stesso prodotto.
Protezione di più proprietà
I certificati SSL a nome singolo proteggono un singolo dominio. Ad esempio, se si dovesse acquistare un certificato per www.wonderfullywhisked.com, non sarebbe sicuro baking.wonderfullywhisked.com.
I certificati Jolly consentono di proteggere un numero illimitato di sottodomini che vivono di un dominio radice singolare. Per esempio, dire che si desidera proteggere il dominio www.meravigliosamente.com e suoi sottodomini. È necessario richiedere un certificato jolly con *.wonderfullywhisked.com come il nome comune. Questo certificato garantirebbe www.wonderfullywhisked.com, baking.wonderfullywhisked.com, cooking.wonderfullywhisked.com, ecc.
I certificati jolly possono facilmente pagarsi da soli nel tempo, specialmente se è necessario proteggere quattro sottodomini. Come ulteriore vantaggio, è molto più semplice gestire un certificato jolly rispetto a 12 certificati singoli.
I certificati multi-dominio possono proteggere più di 210 domini diversi con un singolo certificato (a seconda del provider scelto).
Risoluzione dei problemi comuni
Ci sono alcuni errori comuni che possono invalidare il certificato SSL:
- Pubblicazione di contenuti misti
- Errore di mancata corrispondenza del nome del certificato
- Certificato intermedio mancante
- Certificato scaduto
- Il certificato visualizzato non è quello installato
La pubblicazione di contenuti misti o entrambi i contenuti HTTP e HTTPS può invalidare il certificato poiché caricato da una fonte sicura. Questo di solito si verifica con plugin, immagini e frammenti JavaScript. Se hai problemi a identificare contenuti non sicuri in una pagina, prova lo strumento gratuito WhyNoPadLock.com.
Un errore di mancata corrispondenza del certificato spesso deriva dalla richiesta di un certificato SSL per ciò che si presume sia il nome di dominio, ma in realtà non corrisponde al dominio stesso. Ad esempio, se il tuo sito Web è protetto da un certificato che specifica “www.wonderfullywhisked.com” e il tuo sito web sta caricando una versione non www, si verificherà un errore di mancata corrispondenza.
Per stabilire una connessione HTTPS, il dominio nella barra del browser deve corrispondere esattamente al dominio immesso al momento della registrazione del certificato.
Molte persone trascurano il fatto che è necessario installare un certificato intermedio/catena affinché il certificato funzioni correttamente. A seconda del tipo di server, potrebbe essere necessario utilizzare uno o due certificati intermedi.
Assicurarsi sempre che il certificato sia aggiornato. Molti browser vi permetterà di controllare questo sotto le loro impostazioni avanzate, ma è anche possibile utilizzare SSL Shopper SSL Checker per ottenere queste informazioni. La maggior parte dei certificati può essere rinnovata già 90 giorni prima della scadenza.
Se viene visualizzato un certificato che non è quello appena installato, è perché solo un certificato può essere installato sullo stesso IP e sullo stesso numero di socket. Quello installato per primo verrà riconosciuto.
Scegliere un certificato
La scelta di un certificato SSL può essere complicata, poiché non tutti i provider offrono tutti gli stessi tipi di certificato. Per semplificare il processo, è possibile fare riferimento alla tabella seguente, che delinea le offerte di certificati da sei dei principali provider SSL. Se si prevede di rimanere con lo stesso provider SSL per più di un anno, spesso è possibile ricevere uno sconto sostanziale se si paga per due o più anni in anticipo.
L’acquisto tramite un rivenditore di terze parti tende ad essere l’opzione più economica — l’unica avvertenza è la qualità dell’assistenza clienti che potresti ricevere.
Come scegliere un certificato:
- Identificare i tipi di proprietà che si desidera proteggere (dominio, sottodominio).
- Identifica se hai bisogno di protezione per una singola proprietà o più proprietà (jolly o dominio multiplo).
- Quindi, decidere quale livello di protezione è necessario.
- dominio convalidato — BASSO
- organizzazione-convalidato MEDIO —
- extended validation — ALTA
Fonti:
- https://casecurity.org
- https://wiki.mozilla.org/CA:Problematic_Practices#Email_Address_Prefixes_for_DV_Certs
- https://cabforum.org/about-ev-ssl
- https://tools.ietf.org/html/rfc6101
- https://www.icann.org/en/system/files/files/valentin-idn-ct-01dec04-en.pdf
- https://letsencrypt.org/getting-started
le Opinioni espresse in questo articolo sono quelle dell’autore ospite e non necessariamente Terra del Motore di Ricerca. Gli autori del personale sono elencati qui.
Circa l’autore
