תעודת SSL ומנעול בדפדפן: מה זה HTTPS ולמה כל אתר צריך את זה
הסבר פשוט על הצפנת התקשורת באתרים, סוגי תעודות האבטחה, תקלות נפוצות במעבר ל-HTTPS ואיך מוודאים שהכל מוגדר נכון.
המנעול הקטן שמופיע ליד כתובת האתר בדפדפן הפך למראה כל כך שגרתי, שרובנו כבר לא שמים לב אליו. אבל כשהוא חסר, הדפדפנים המודרניים דואגים להזכיר לנו, עם אזהרה שהאתר אינו מאובטח. עבור בעל אתר, אזהרה כזו עלולה להבריח מבקרים, לפגוע באמון ולהשפיע על הנראות במנועי החיפוש. מאחורי המנעול עומדת טכנולוגיה של הצפנה ואימות, וכדאי להבין אותה ברמה בסיסית כדי לוודא שהאתר שלכם מוגדר כראוי.
מה ההבדל בין HTTP ל-HTTPS
כשגולש נכנס לאתר, הדפדפן שלו מחליף מידע עם השרת: בקשות לעמודים, טפסים שנשלחים, פרטי התחברות ועוד. בפרוטוקול הישן, המידע הזה עובר ברשת כטקסט גלוי. כל מי שנמצא בדרך, למשל ברשת אלחוטית ציבורית בבית קפה, יכול תיאורטית לקרוא אותו ואף לשנות אותו. האות הנוספת בגרסה המאובטחת מסמנת שהתקשורת מוצפנת, כך שגם מי שמיירט אותה לא יכול להבין אותה.
מעבר להצפנה, החיבור המאובטח מספק גם אימות. התעודה שמותקנת בשרת מוכיחה לדפדפן שהוא באמת מדבר עם האתר שהוא ביקש, ולא עם מתחזה. האימות הזה נעשה באמצעות גופים מוסמכים שמנפיקים תעודות, והדפדפנים סומכים עליהם. כשמשהו בשרשרת הזו אינו תקין, הדפדפן מציג אזהרה.
למה זה חשוב גם לאתר בלי תשלומים
פעם נהוג היה לחשוב שהצפנה נחוצה רק באתרים שגובים תשלום או מבקשים סיסמאות. היום התפיסה שונה לגמרי. כל אתר שיש בו טופס יצירת קשר אוסף מידע אישי כמו שמות וטלפונים, וראוי להגן עליו. מעבר לכך, הדפדפנים מסמנים אתרים ללא הצפנה כלא מאובטחים, וגולשים רבים פשוט ייצאו מאתר כזה.
גם מנועי החיפוש מעדיפים אתרים מוצפנים, ותכונות מודרניות רבות של דפדפנים זמינות רק בחיבור מאובטח. בקיצור, אין כיום סיבה טובה להפעיל אתר בלי הצפנה, במיוחד כשהתעודות הבסיסיות זמינות בחינם.
סוגי תעודות אבטחה
יש כמה רמות של תעודות, שנבדלות זו מזו בעיקר במידת הבדיקה שהגוף המנפיק מבצע לפני ההנפקה. התעודה הבסיסית, שמאמתת רק שמי שמבקש אותה שולט בדומיין, מספיקה לרוב המוחלט של האתרים. היא מספקת את אותה רמת הצפנה כמו התעודות היקרות, ונמצאת בשימוש נרחב גם באתרים גדולים. ספקי אחסון רבים מתקינים ומחדשים אותה אוטומטית בחינם.
תעודות ברמות גבוהות יותר כוללות אימות של זהות הארגון שעומד מאחורי האתר. בעבר הן הוצגו בדפדפנים בצורה בולטת, אבל כיום ההבדל החזותי כמעט נעלם. ארגונים מסוימים עדיין בוחרים בהן מסיבות של מדיניות או רגולציה. יש גם תעודות שמכסות את כל תתי הדומיינים, שימושיות למי שמפעיל כמה תתי אתרים תחת אותו דומיין.
המעבר ל-HTTPS באתר וורדפרס
באתר וורדפרס חדש, ההגדרה בדרך כלל פשוטה: מפעילים את התעודה בממשק האחסון ומגדירים את כתובת האתר עם הקידומת המאובטחת. באתרים קיימים, שעוברים מהגרסה הלא מוצפנת, יש כמה צעדים נוספים. צריך לוודא שכל הגרסאות הישנות של הכתובות מפנות לגרסה המאובטחת, ושכל הקישורים הפנימיים, התמונות והקבצים נטענים גם הם בחיבור מאובטח.
- הפעילו את התעודה בממשק האחסון וודאו שהיא תקפה
- עדכנו את כתובת האתר בהגדרות וורדפרס
- הגדירו הפניה קבועה מהגרסה הישנה לחדשה
- עדכנו קישורים פנימיים ישנים במסד הנתונים
- עדכנו את הכתובת בכלי המדידה ובממשקי מנועי החיפוש
לפני המעבר, גבו את האתר. עדכון כתובות במסד הנתונים הוא פעולה רגישה, ושגיאה בה עלולה לשבש את האתר. יש תוספים שמבצעים חלק מהעבודה אוטומטית, אבל כדאי להבין מה הם עושים.
תקלות נפוצות ואיך מזהים אותן
התקלה הנפוצה ביותר אחרי מעבר היא תוכן מעורב: העמוד עצמו נטען בחיבור מאובטח, אבל תמונה, קובץ עיצוב או סקריפט מסוים עדיין נטען בכתובת לא מוצפנת. במקרה כזה הדפדפן עשוי להציג אזהרה או לחסום את הרכיב. כלי המפתחים בדפדפן מציגים את הרכיבים הבעייתיים, ואפשר לתקן אותם בעדכון הכתובות.
תקלה נוספת היא תעודה שפג תוקפה. תעודות חינמיות תקפות לתקופה קצרה יחסית ומתחדשות אוטומטית, אבל לפעמים החידוש נכשל, למשל אחרי שינוי בהגדרות הדומיין או מעבר בין ספקים. כדאי להגדיר התראה או להשתמש בשירות ניטור שמודיע לפני שהתעודה פגה. תקלה שלישית היא לולאת הפניות, שבה האתר מפנה שוב ושוב בין גרסאות, ובדרך כלל נובעת מהגדרות סותרות בין השרת, וורדפרס ושירות ביניים.
מעבר להצפנה הבסיסית
אחרי שההצפנה הבסיסית פועלת כמו שצריך, אפשר לשקול כמה שיפורים נוספים. הגדרה שמורה לדפדפנים להתחבר לאתר תמיד בחיבור מאובטח מונעת מצבים שבהם גולש מגיע בטעות לגרסה הלא מוצפנת. בנוסף, כדאי לוודא שהשרת משתמש בגרסאות עדכניות של פרוטוקולי ההצפנה ולא בגרסאות ישנות שנמצאו בהן חולשות.
יש כלים חינמיים ברשת שבודקים את הגדרות ההצפנה של אתר ומציגים ציון והמלצות. בדיקה כזו פעם בכמה חודשים יכולה לחשוף בעיות שלא נראות לעין. עם זאת, חשוב לזכור שההצפנה מגינה על התקשורת בלבד. היא לא מגינה על האתר מפני פריצה דרך תוסף פגיע או סיסמה חלשה, ולכן היא רק חלק אחד בתמונת האבטחה הכוללת.
כדאי גם לזכור את תתי הדומיינים ואת הגרסה עם הקידומת המוכרת לפני שם האתר. לא פעם מתברר שהתעודה מכסה רק גרסה אחת של הכתובת, וגולש שמקליד את הגרסה השנייה מקבל אזהרה. בדיקה של כל הווריאציות, כולל עמודים פנימיים, תמונות ומערכת הדיוור, תחסוך הפתעות לא נעימות אחרי ההשקה.
לסיכום
חיבור מאובטח הוא כיום תנאי בסיסי לכל אתר, לא מותרות. הוא מגן על המידע של הגולשים, מונע אזהרות מפחידות בדפדפן ותורם לאמון ולנראות. ברוב המקרים אפשר להפעיל אותו בחינם ובקלות, והעבודה העיקרית היא לוודא שהמעבר בוצע בצורה מלאה, שהתעודה מתחדשת כראוי ושאין רכיבים שנטענים בחיבור לא מוצפן.
