Guia do iniciante para Certs SSL do site

Ao criar um aplicativo da web que lida com dados pessoais, a segurança é a primeira prioridade. Isso é verdade não apenas com lojas on-line e carrinhos de compras, mas também com redes sociais populares como o Twitter e o Foursquare. O SSL é um protocolo seguro muito parecido com o HTTP, no qual ele pode receber e transferir dados pela Internet..

Todo o conceito é reconhecidamente um pouco confuso, mas não tão difícil de entender. Se você é um webmaster ou alguém apenas interessado em aprender sobre certificados SSL, este guia deve ser perfeito para você. Eu juntei este conjunto dos termos mais confusos para colocar para iniciantes. Passe algum tempo navegando aqui e leia outros artigos externos sobre o assunto. A segurança é vital para o sucesso de qualquer site e SSL é apenas um trampolim na foto maior.

O que é o SSL?

Protocolo SSL significa Secure Socket Layers e foi originalmente desenvolvido pela Netscape. É um processo em que os dados transmitidos entre o usuário e o servidor são criptografados / descriptografados para que nenhum terceiro externo possa seqüestrar a conexão.

O SSL se comporta como um passaporte digital que verifica as credenciais de você mesmo e do servidor da web final. Quando ambas as identidades são verificadas, o SSL concede uma conexão segura por meio de HTTPS. Este processo é realizado usando certificados. Eu dividi os principais aspectos de um certificado SSL, que inclui:

Nome do proprietário
Número de série do certificado usado para identificação
A data de expiração do certificado
A chave pública do certificado usada para criptografar informações
A chave privada do Certificado usada para descriptografar informações (geralmente provenientes de um servidor da Web)

Você não precisa entender completamente o uso de todas essas informações. Em alguns casos, você receberá um certificado com ainda mais informações. No entanto, nada disso afetará diretamente o usuário; isso afeta apenas a conexão entre o servidor e o computador remoto.

Configurando um Cert

É bem provável que você descubra a essência de como o SSL funciona. É uma forma mais complexa de passar dados - como transferir uma mensagem dentro de um cofre bloqueado. Não é necessário memorizar os principais elementos de um certificado SSL ou saber como ele se conecta a um servidor da Web, mas é bom, pelo menos, entender os fundamentos do processo antes de configurar seu próprio certificado..

Certificados SSL são realmente comprados de vários fornecedores confiáveis na Web. Cada certificado tem uma data de expiração, o que significa que você terá que renová-lo para manter seu site seguro (geralmente isso é todo ano). Parece uma dor real para lidar, mas felizmente muitos anfitriões web populares, como FatCow irá ajudá-lo no processo de instalação.

Primeiro, você precisa gerar um CSR ou Solicitação de Assinatura de Certificado em seu próprio servidor da web. O CSR é necessário antes que você possa obter um certificado SSL. É possível criar você mesmo se você tiver privilégios administrativos totais no servidor web. No entanto, é altamente recomendável que você entre em contato com seu host da Web primeiro, pois eles provavelmente não permitirão que você faça isso sozinho. Não há mal nisso, na verdade, isso torna o seu trabalho muito mais fácil!

Depois de ter esse CSR criptografado, você poderá entrar em contato com um provedor de certificados. Há apenas um punhado de fornecedores confiáveis, como Verisign ou Thawte. Depois de adquirir o certificado, basta entrar em contato com o suporte do host da Web e eles serão felizes para instalá-lo para você.

Tipos diferentes de SSL

A maneira mais comum de configurar um certificado SSL é em seu próprio endereço IP principal. Isso é conhecido como Certificado SSL dedicado. Isso só se aplica ao seu domínio e servidor da web. Nem todo mundo tem dinheiro suficiente para comprar um plano de hospedagem dedicado, mas para todos nós temos sorte, existem outras soluções disponíveis.

Geralmente, existem três tipos diferentes de certificados SSL que você pode usar. Alguns provedores de serviços podem oferecer um certificado gratuito como uma oferta de teste por tempo limitado, mas esses certs não são de forma alguma mais seguros do que uma conexão HTTP padrão e eles expiram rapidamente.

SSL dedicado - Esta é a solução mais segura e evidentemente mais cara. Uma conexão HTTPS é verificada apenas para o domínio raiz segmentado por meio de um endereço IP designado.
SSL compartilhado - Os hosts da Web que oferecem hospedagem compartilhada às vezes têm vários nomes de domínio apontando para o mesmo endereço IP. Neste caso, é muito mais fácil para o host gerenciar um único SSL em cada servidor, abrangendo uma variedade de sites diferentes..
SSL curinga - Eles podem ser semelhantes a um certificado SSL dedicado ou compartilhado com base na configuração do servidor. Os certificados SSL do Wildcard segmentarão vários subdomínios para o seu site. Esta é uma solução viável se você dividir diferentes funções do seu website. shop.domain.com, checkout.domain.com, etc.

Se você está apenas começando, recomendo usar uma configuração SSL compartilhada. É improvável que você consiga pagar um endereço IP / host da Web dedicado imediatamente. E mesmo se você puder, os custos de um certificado SSL dedicado são atrozes. Mas é absolutamente algo que você deve investigar se possível.

No entanto, como este guia é direcionado para iniciantes, acho que um certificado compartilhado é mais que suficiente para começar.

Passo-a-passo passo a passo

A melhor maneira de se sentir confortável com os certificados SSL é através do exemplo de trabalho. Vamos montar um pequeno certificado Comodo da Namecheap. Eles têm preços muito razoáveis, o que é perfeito para começar os iniciantes. E já que só precisamos passar pelo processo e delinear isso será material perfeito para este tutorial.

Gere um CSR

Agora, para começar, precisamos criar a solicitação de assinatura no back-end do nosso servidor. Eu estou usando uma conta de hospedagem de negócios através do HostGator para testar um dos meus domínios. Cada host da Web é um pouco diferente, portanto, você deverá verificar com a equipe de suporte se tiver problemas. Este URL é usado para uma geração de CSR em contas do HostGator.

Observe que muitas dessas informações precisam ser correspondidas com os dados da Web Whois do meu domínio. Eu uso o aplicativo Whois Domain Tools, que fornece todas as informações que este formulário requer. Se você tiver privacidade de domínio instalada, precisará usar esses dados em vez de seus próprios para que o CSR corresponda.

Esse processo pode levar até 24 horas para concluir o registro. Eu recebi minha resposta em 15 minutos. Vamos seguir em frente e comprar nosso certificado agora, para que possamos instalá-lo com a solicitação de assinatura.

Vamos comprar!

Os planos da Comodo variam de US $ 9 / ano a quase US $ 100. Eu estou olhando para o pacote EssentialSSL, que custa apenas US $ 25 por ano. Este não é um mau negócio, considerando algumas das alternativas.

Este plano vem com uma política de devolução de 15 dias se não estivermos satisfeitos com o certificado. Além disso, nosso nome de domínio será protegido para o subdomínio www e não para www. Depois de adicionar este pacote ao meu carrinho de compras, podemos fazer o check out. O Namecheap exigirá que eu faça login em uma conta existente ou assine uma nova conta.

Depois de inserir todos os dados da minha conta, a tela de pagamento final será exibida. Temos a opção de pagar com fundos armazenados em minha conta, cartão de crédito ou PayPal. Se tudo acontecer corretamente, seremos redirecionados para um formulário de confirmação do pedido (você também receberá um e-mail com essas informações). Tudo parece bem até agora!

Instalação Final

O CSR deve aparecer em um e-mail do seu host. A chave é mais como um bloco de caracteres e chaves confusas. É isso que precisamos fornecer para a verificação de SSL. Voltando para Namecheap, vamos encontrar a página do certificado SSL e clique em “Ativar”.

Nesta nova página, precisamos selecionar um tipo de servidor e inserir a chave CSR. Eu escolhi o Apache + OpenSSL como a seleção padrão. Esta é uma configuração comum para o Apache, mas se você não tiver certeza, basta verificar com o seu host de antemão. Observe que seu host deve ter retornado por mais tempo Chave RSA que é usado para autenticação privada no final do servidor. Tudo o que precisamos fazer é copiar e colar a chave CSR mais curta na caixa e enviar.

Em seguida, geramos um e-mail enviado para o “aprovador” do nome de domínio. Isto irá conter algumas informações sobre o seu certificado SSL e como ativá-lo no host. Este último formulário de envio exigirá a nossa chave secreta RSA, bem como algumas informações adicionais do pacote SSL. Isso tudo é fornecido pela Namecheap depois que passamos no CSR.

Vale a pena notar que em alguns hosts da Web você pode não conseguir usar o SSL em um ambiente compartilhado. O HostGator permite que as empresas atualizem suas contas para um endereço IP principal, para que não haja erros conflitantes com o certificado. O formulário de instalação SSL do HostGator é simples e também valida muito rapidamente.

Depois que seu host confirmar que tudo está bem, devemos estar prontos para ir. Entenda que isso pode levar entre algumas horas e um dia ou mais. Seja paciente e continue verificando seu e-mail. Depois de verificado, tente acessar seu website via HTTPS e todos os detalhes do certificado devem estar na barra de endereço. É sempre uma luta quando você está apenas começando, mas não tenha medo de pedir ajuda ao seu provedor de SSL ou host, se necessário.

Gerenciando uma conexão segura

Eu encontrei este artigo de suporte Hostgator para ser imensamente útil na compreensão do processo de instalação. Mesmo se você não for um cliente da HostGator, provavelmente usará o cPanel para gerenciar qualquer servidor web remoto. Isto é verdade para 1 & 1 Hosting, Bluehost, etc.

Mas a melhor parte sobre o uso de uma configuração SSL em um host de terceiros é que você não precisa fazer alterações (ou alterações mínimas) no seu código! Depois de comprar um certificado, a maioria dos hosts da web será cortês o suficiente para instalá-los para você. Depois que tudo estiver funcionando, todas as conexões via HTTP e HTTPS devem funcionar de forma idêntica.

Você pode testar se o certificado é autenticado, verificando a barra de endereço da URL no seu navegador da web. Você deve observar um pequeno ícone de cadeado que denota uma conexão SSL verificada entre o seu computador e o servidor remoto da web. Alguns navegadores até exibirão mais informações de certificado se você clicar no ícone de cadeado.

Redirecionamentos do Apache .htaccess

Se você está tendo problemas para manter visitantes no protocolo HTTPS, convém considerar o uso de um script de redirecionamento. Isso é comumente configurado em servidores Apache usando um arquivo .htaccess, que muitos anfitriões web permitem configurar no cPanel.

Eu adicionei alguns códigos de amostra abaixo que você pode usar para configurar seu próprio arquivo .htaccess. Isso redirecionará todo o tráfego de entrada para https: // com um subdomínio www. Você pode remover o www para que todo o tráfego seja direcionado para https://seudominio.com/ e as regras de reescrita ainda funcionariam perfeitamente.

RewriteEngine Em RewriteCond% HTTPS = off RewriteRule ^ (. *) $ Https://www.yourdomain.com/$1 [R = 301, L]% RewriteCond http_host yourdomain.com [NC] RewriteRule ^ (. *) $ https://www.yourdomain.com/$1 [R = 301, L]

Referenciando arquivos

O problema mais chato que você encontrará é referenciar URLs absolutos em vez de caminhos de arquivos relativos. Isso vai não exibir uma conexão completamente segura, referenciando-se ao aviso de que há “itens não seguros” sendo exibido na página. Se você chamar qualquer tipo de mídia externa: vídeo, imagem, folha de estilo, isso deve ser feito localmente. Eu demonstrei um exemplo abaixo:

Com o primeiro bit de código, você está carregando um documento potencialmente inseguro em uma página segura. Este é o método pelo qual hackers inteligentes podem ignorar sua criptografia. A maioria dos casos eu tenho executado em análise através de JavaScript ou VBScript. Mas, para ser seguro, certifique-se de que nenhum dos seus recursos esteja sendo enviado diretamente via HTTP.

Se, por qualquer motivo, você precisar extrair um arquivo por meio do URL absoluto, use HTTPS. Se você tiver arquivos hospedados em um site ou servidor externo, isso pode gerar problemas, pois não é possível verificar outra conexão HTTPS. Trabalhe para manter toda a mídia da página consolidada em um único IP, para que você não se deparasse com esses problemas!

Links Relacionados

Explique como eu sou 5: O que são certificados de segurança online, SSL, HTTPS e como eles funcionam?
A evolução da autenticidade SSL [Infográfico]
Gerando e Instalando Certificados SSL Passo a Passo

Conclusão

Espero que este guia introdutório tenha lhe dado uma ideia do mundo do SSL. A segurança na Web é uma indústria em expansão que protege muitos dados de usuários privados. Todas as famosas lojas on-line, incluindo Amazon e eBay, usam o SSL há anos.

Admito que o SSL / HTTPS não é um tópico que você possa estudar para entender. Semelhante à programação, você realmente precisa mergulhar e sujar as mãos configurando seu próprio certificado. É uma tarefa difícil de definir depois, mas oferece uma maravilhosa sensação de realização a longo prazo. Se você souber de algum outro guia útil ou material relacionado, sinta-se à vontade para compartilhar na área de discussão posterior.