Begynder's Guide til SSL-websider på hjemmesiden

Når du opbygger en webapplikation, der beskæftiger sig med personlige data, er sikkerhed den første prioritet. Dette gælder ikke kun for onlinebutikker og indkøbsvogne, men også lige så meget med populære sociale netværk som Twitter og Foursquare. SSL er en sikker protokol, som ligner HTTP, da den kan modtage og overføre data via internettet.

Hele konceptet er ganske vist en smule sammenfaldende, men ikke så svært at forstå. Hvis du er webmaster eller en person, der bare er interesseret i at lære om SSL-certifikater, skal denne vejledning være perfekt til dig. Jeg har sammensat dette sæt af de mest forvirrende vilkår for at lægge ud for begyndere. Brug lidt tid på at surfe her og læs andre eksterne artikler om emnet. Sikkerhed er afgørende for succesen på enhver hjemmeside, og SSL er kun en skridt i det større billede.

Hvad er SSL?

SSL-protokollen står for Secure Socket Layers og blev oprindeligt udviklet af Netscape. Det er en proces, hvor data, der sendes mellem brugeren og serveren, er krypteret / dekrypteret, så ingen ekstern tredjepart kan kapre forbindelsen.

SSL opfører sig som et digitalt pas, som verificerer legitimationsoplysningerne for både dig selv og slutwebserveren. Når begge identiteter er verificeret, giver SSL en sikret forbindelse via HTTPS. Denne proces udføres ved anvendelse af certifikater. Jeg har brudt nøgleaspekter af et SSL-certifikat, som omfatter:

• Ejerens navn
• Certifikatets serienummer anvendt til identifikation
• Certifikatets udløbsdato
• Certifikatets offentlige nøgle bruges til at kryptere oplysninger
• Certifikatets private nøgle bruges til at dekryptere oplysninger (som regel kommer fra en webserver)

Du behøver ikke fuldt ud at forstå brugen af ​​alle disse oplysninger. I nogle tilfælde modtager du et certifikat med endnu flere oplysninger. Men ingen af ​​det vil direkte påvirke brugeren; det påvirker kun forbindelsen mellem serveren og den eksterne computer.

Opsætning af en cert

Du kan højst sandsynligt finde ud af, hvordan SSL fungerer. Det er en mere kompleks form for dataoverførsel - som at overføre en besked inde i et låst pengeskab. Det er ikke nødvendigt at huske nøgleelementer i et SSL-certifikat eller lære, hvordan det forbinder med en webserver, men det er godt at i det mindste forstå det grundlæggende i processen, før du opretter din egen.

SSL-certifikater købes faktisk hos en række pålidelige leverandører på nettet. Hvert certifikat har en udløbsdato, hvilket betyder at du bliver nødt til at fornye det for at holde din hjemmeside sikret (normalt er det hvert år). Det lader til en reel smerte at håndtere, men heldigvis vil mange populære webværter som FatCow hjælpe dig med installationsprocessen.

Først skal du oprette en CSR- eller certifikatsigneringsforespørgsel på din egen webserver. CSR er nødvendig, før du kan få et SSL cert. Det er muligt at oprette dette selv, hvis du har fuld administrative rettigheder på webserveren. Det anbefales dog stærkt, at du kontakter din webhost først, da de sandsynligvis ikke tillader dig at gøre det selv. Ingen skade i det faktisk gør det faktisk dit arbejde så meget lettere!

Når du har denne krypterede CSR, kan du kontakte en certifikatudbyder. Der er kun en håndfuld betroede leverandører som Verisign eller Thawte. Når du har købt certifikatet, skal du bare kontakte din webhost support, og de vil med glæde installere det for dig.

Forskellige typer af SSL

Den mest almindelige måde at oprette et SSL-certifikat på er din egen primære IP-adresse. Dette er kendt som a Dedikeret SSL-certifikat. Det gælder kun for dit domæne og webserver. Ikke alle har nok penge til at købe en dedikeret hostingplan, men heldig for os alle, der findes andre løsninger.

Generelt er der tre forskellige typer SSL-certifikater, du kan bruge. Nogle tjenesteudbydere kan tilbyde et gratis certifikat som et tidsbegrænset prøvetilbud, men disse certs er på ingen måde mere sikre end en standard HTTP-forbindelse, og de udløber hurtigt.

• Dedikeret SSL - Dette er den mest sikre og tydeligvis den dyreste løsning. En HTTPS-forbindelse bekræftes kun for dit roddomæne målrettet via en bestemt IP-adresse.
• Shared SSL - Web-værter, der tilbyder delt hosting, vil nogle gange have flere domænenavne, der peger på den samme IP-adresse. I dette tilfælde er det meget lettere for værten at styre en enkelt SSL på hver server, der spænder over en række forskellige websteder.
• Wildcard SSL - Disse kan ligner et dedikeret eller delt SSL-certifikat baseret på serverkonfiguration. Wildcard SSL certs vil målrette flere underdomæner til dit websted. Dette er en levedygtig løsning, hvis du opdeler forskellige funktioner på dit websted, f.eks. shop.domain.com, checkout.domain.com osv.

Hvis du lige er begyndt, anbefaler jeg stærkt, at du bruger et delt SSL-opsæt. Det er usandsynligt, at du med det samme har råd til en dedikeret webhost / IP-adresse. Og selvom du kan kan omkostningerne ved et dedikeret SSL-certifikat være frygtelige. Men det er absolut noget, du bør undersøge om muligt.

Men da denne vejledning er målrettet mod begyndere, tror jeg, at et delt certifikat er mere end nok til at komme i gang på.

Step-by-Step Walkthrough

Den bedste måde at føle sig godt tilpas med med SSL-certifikater er gennem arbejdseksempel. Lad os sammensætte et lille Comodo-certifikat fra Namecheap. De har meget rimelige priser, som er perfekte til at begynde begyndere. Og da vi kun behøver at gå igennem processen og omridsene, vil dette være perfekt materiale til denne vejledning.

Generer en CSR

Nu for at starte, skal vi oprette signeringsanmodningen på vores serverens backend. Jeg bruger en virksomhed hosting konto via HostGator for at teste et af mine domæner. Hver webhost er lidt anderledes, så du bliver nødt til at tjekke hos supportpersonalet, hvis du har problemer. Denne webadresse bruges til en CSR-generation på HostGator-konti.

Bemærk, at mange af disse oplysninger skal matches med mit domænes Whois web data. Jeg bruger Whois Domain Tools-appen, som indeholder alle de oplysninger, denne formular kræver. Hvis du har et domæne-privatliv installeret, skal du bruge disse data i stedet for din egen, så CSR'en vil matche.

Denne proces kan tage op til 24 timer for at afslutte registreringen. Jeg fik mit svar inden for 15 minutter. Lad os fortsætte og købe vores certifikat nu, så vi har det klar til at installere med underskriftsanmodningen.

Lad os købe!

Comodo planerne spænder fra $ 9 / år op til næsten $ 100. Jeg kigger på EssentialSSL-pakken, som kun koster 25 dollar årligt. Dette er ikke en dårlig aftale i betragtning af nogle af alternativene.

Denne plan leveres med en 15-dages returpolitik, hvis vi ikke er tilfredse med certifikatet. Derudover vil vores domænenavn blive sikret for www-underdomænet og ikke-www. Efter at have tilføjet denne pakke til min indkøbskurv kan vi tjekke ud. Namecheap kræver, at jeg logger ind på en eksisterende konto eller tilmelding til en ny.

Efter at jeg har indtastet alle mine kontooplysninger, kommer den endelige betalingsskærm op. Vi har mulighed for at betale med penge, der er gemt i min konto, kreditkort eller PayPal. Hvis alt går igennem korrekt, bliver vi omdirigeret til en ordrebekræftelsesformular (du skal desuden modtage en e-mail med disse oplysninger). Alt ser godt ud indtil nu!

Afsluttende installation

VSA'en skal vises i en e-mail fra din webhost. Nøglen er mere som en blok af jumbled up tegn og nøgler. Dette er, hvad vi skal sørge for SSL-verifikationen. Flytter vi tilbage til Namecheap, skal vi finde SSL-certifikatets side og klikke på “Aktiver”.

På denne nye side skal vi vælge en servertype og indtaste CSR-nøglen. Jeg har valgt Apache + OpenSSL som standardvalg. Dette er en almindelig opsætning til Apache, men hvis du er i tvivl, skal du bare tjekke med din vært på forhånd. Bemærk, at din webhost skulle have vendt tilbage en længere periode RSA nøgle som bruges til privat godkendelse på serverens ende. Alt, hvad vi skal gøre, er at kopiere den kortere CSR-nøgle i boksen og indsende.

Vi genererer derefter en e-mail sendt til “godkender” af domænenavnet. Dette vil indeholde nogle oplysninger om dit SSL-certifikat og hvordan du aktiverer det på værten. Denne sidste indsendelsesformular kræver vores RSA-hemmelige nøgle samt nogle yderligere SSL-bundoplysninger. Dette leveres alle fra Namecheap, efter vi har bestået i CSR.

Det er værd at bemærke, at på nogle webhoste kan du muligvis ikke bruge SSL i et delt miljø. HostGator tillader virksomheder at opgradere deres konti til en primær IP-adresse, så der ikke vil være nogen modstridende fejl med certifikatet. SSL-installationsformularen fra HostGator er ligetil og validerer også meget hurtigt.

Når din vært har bekræftet, at alt er i orden, så skal vi alle gå i gang. Forstå, at dette kan tage mellem et par timer og en dag eller mere. Vær tålmodig og hold øje med din e-mail. Når du er blevet bekræftet, skal du prøve at få adgang til dit websted via HTTPS, og alle certifikatoplysninger skal være i adresselinjen. Det er altid en kamp, ​​når du lige er begyndt, men vær ikke bange for at bede om hjælp fra din SSL-udbyder eller webhost, hvis det er nødvendigt.

Administrere en sikker forbindelse

Jeg har fundet denne Hostgator support artikel til at være utrolig nyttig til forståelse af installationsprocessen. Selvom du ikke er kunde hos HostGator, vil du højst sandsynligt bruge cPanel til at styre enhver fjernwebserver. Dette gælder for 1 & 1 Hosting, Bluehost, osv.

Men det bedste ved at bruge en SSL-opsætning på en tredjeparts webhost er, at du ikke behøver at foretage ændringer (eller i det mindste minutændringer) til din kode! Når du går igennem at købe et certifikat, vil de fleste webhoste være høflige nok til at installere dem for dig. Når alt er kørt glat, skal alle forbindelser via HTTP og HTTPS fungere identisk.

Du kan teste om certifikatet er autentificeret ved at tjekke URL-adresselinjen i din webbrowser. Du bør lægge mærke til et lille hængelåsikon, der angiver en verificeret SSL-forbindelse mellem din computer og den eksterne webserver. Nogle browsere vil endda vise flere certifikatoplysninger, hvis du klikker på låsikonet.

Apache .htaccess Omdirigeringer

Hvis du har problemer med at holde besøgende på HTTPS-protokollen, kan du overveje at bruge et omdirigerings script. Dette er normalt oprettet på Apache servere ved hjælp af en fil .htaccess, som mange web værter lader dig konfigurere lige inden for cPanel.

Jeg har tilføjet nogle prøvekoder nedenfor, som du kan bruge til at oprette din egen .htaccess-fil. Dette vil omdirigere al indkommende trafik til https: // med et www underdomæne. Du kan fjerne www, så al trafik vil i stedet blive rettet til https://yourdomain.com/ og omskrivningsreglerne vil stadig køre perfekt.

RewriteEngine On RewriteCond% HTTPS = Fra RewriteRule ^ (. *) $ Https://www.yourdomain.com/$1 [R = 301, L] RewriteCond% http_host ^ ditdomæne.com [NC] RewriteRule ^ (. *) $ https://www.yourdomain.com/$1 [R = 301, L] 

Henvisning af filer

Det mest irriterende problem, du vil løbe ind, refererer til absolutte webadresser i stedet for relative filstier. Dette vil ikke Vis en helt sikret forbindelse, der henviser i stedet til advarslen om, at der er “usikrede varer” vises på siden. Hvis du ringer til enhver form for eksternt medie: video, billede, stilark, skal det gøres lokalt. Jeg har vist et eksempel nedenfor:

Med den første kodekode lægger du et potentielt usikkert dokument på en sikker side. Dette er den måde, hvorpå intelligente hackere kan omgå din kryptering. De fleste tilfælde jeg har kørt ind i parse gennem JavaScript eller VBScript. Men for at være sikker skal du blot sørge for, at ingen af ​​dine aktiver trækker direkte via HTTP.

Hvis du af en eller anden grund skal trække en fil via den absolutte webadresse, skal du bruge HTTPS i stedet. Hvis du har filer hostet på en ekstern hjemmeside eller server, kan det medføre problemer, da du ikke kan bekræfte en anden HTTPS-forbindelse. Arbejde for at holde alle websidemedier konsolideret under en IP, så du ikke overhovedet løber ind i disse problemer!

relaterede links

• Forklar som jeg er 5: Hvad er online sikkerhedscertifikater, SSL, HTTPS og hvordan fungerer de?
• Udviklingen af ​​SSL Authenticity [Infographic]
• Generering og installation af SSL-certifikater trin for trin

Konklusion

Jeg håber, at denne indledende vejledning har givet dig lidt indblik i SSL-verdenen. Websikkerhed er en blomstrende industri, som sikrer mange private brugerdata. Alle de berømte online butikker, herunder Amazon og eBay, har brugt SSL i årevis.

Jeg indrømmer at SSL / HTTPS ikke er et emne, du bare kan studere for at forstå. I lighed med programmering skal du virkelig dykke ind og få dine hænder snavset oprette dit eget certifikat. Det er en skræmmende opgave at sætte ud efter, men det giver en vidunderlig følelse af succes i det lange løb. Hvis du kender til andre nyttige hjælpelinjer eller beslægtet materiale, er du velkommen til at dele i det efterfølgende diskussionsområde.