Egy lejárt vagy hibásan beállított SSL tanúsítvány ma már nem apró technikai kellemetlenség, hanem közvetlen üzleti kockázat. A böngészők látványos figyelmeztetést jelenítenek meg, a látogatók bizalma meginog, az ügyfélkapuk, rendelési folyamatok, űrlapok vagy belső webes rendszerek használhatatlanná válhatnak. A jó hír: a legtöbb SSL-probléma megelőzhető rendszeres ellenőrzéssel, időben elvégzett megújítással és szakszerű HTTPS beállítással.
Miért kritikus az SSL tanúsítvány a weboldal működésében?
Az SSL tanúsítvány – pontosabban a mai technológiában jellemzően TLS védelem – azt biztosítja, hogy a látogató böngészője és a szerver közötti adatforgalom titkosított csatornán haladjon. Ez különösen fontos bejelentkezési adatok, ajánlatkérő űrlapok, megrendelések, ügyféladatok vagy adminisztrációs felületek esetén.
Ha a tanúsítvány nincs rendben, a böngésző nem egyszerűen „szól”, hanem sok esetben meg is akadályozza a felhasználót a továbblépésben. Egy vállalkozás számára ez elveszett érdeklődőket, félbeszakadt vásárlásokat, ügyfélszolgálati terhelést és reputációs kárt jelenthet.
Fontos azt is látni, hogy a weboldal biztonság nem merül ki az SSL meglétében. A tanúsítvány csak az egyik alapréteg: mellette szükség van naprakész webmotorra, biztonságos tárhelyre vagy VPS-re, megfelelő jogosultságokra, mentésekre és folyamatos felügyeletre is. Ettől függetlenül az SSL az a minimum, amelynek hiánya azonnal láthatóvá válik az ügyfelek számára.
Mi történik SSL tanúsítvány lejárat esetén?
Az SSL tanúsítvány lejárat tipikus esete, amikor a weboldal egyik nap még rendben működik, másnap pedig a látogatók biztonsági figyelmeztetéssel találkoznak. Ez nem feltétlenül jelent feltörést, de a felhasználó szemszögéből ijesztő és bizalomromboló.
A lejárat különösen akkor okoz gondot, ha nincs egyértelmű felelős a domain, a tárhely, a VPS vagy a tanúsítvány kezelésére. Gyakori helyzet, hogy a weboldalt fejlesztő cég már nem aktív, a domain más szolgáltatónál van, a szerverhez pedig csak egy régi rendszergazda fiókja fér hozzá. Ilyenkor egy egyszerű tanúsítvány megújítás is sürgős hibakereséssé válhat.
Érdemes ezért nyilvántartani, hogy:
- mely domaineken és aldomaineken fut HTTPS;
- milyen típusú SSL tanúsítvány védi az oldalt;
- ki kezeli a megújítást és a szerveroldali beállítást;
- van-e automatikus értesítés a lejárat előtt;
- működik-e az automatikus megújítás, ha ilyen megoldást használ a rendszer.
A HTTPS beállítás nem csak egy kapcsoló
Sok vállalkozás úgy gondolja, hogy a HTTPS beállítás annyiból áll, hogy „felrakjuk az SSL-t”. A gyakorlatban ennél több lépésre van szükség. A tanúsítványt megfelelően kell telepíteni, ellenőrizni kell a tanúsítványláncot, be kell állítani a HTTP-ről HTTPS-re történő átirányítást, és figyelni kell arra is, hogy az oldal minden eleme biztonságos kapcsolaton keresztül töltődjön be.
Gyakori hiba a vegyes tartalom, vagyis amikor maga az oldal HTTPS alatt működik, de egyes képek, szkriptek, betűtípusok vagy külső elemek továbbra is HTTP-n keresztül töltődnek be. Ez böngészős figyelmeztetésekhez, hibás működéshez vagy bizonyos funkciók letiltásához vezethet.
VPS vagy dedikált szerver esetén további szempont a webszerver konfigurációja. Apache, Nginx vagy más kiszolgáló használatakor eltérő beállításokra lehet szükség. Nem mindegy az sem, hogy több domain, több weboldal vagy ügyfélrendszer fut-e ugyanazon a szerveren. Egy rosszul konfigurált virtuális host vagy tanúsítványtérkép miatt előfordulhat, hogy a látogató nem a megfelelő tanúsítványt kapja meg.
Mikor szükséges a tanúsítvány megújítás, és hogyan előzhető meg a leállás?
A tanúsítvány megújítás akkor biztonságos, ha nem a lejárat napján kezdődik. Célszerű előre beállított emlékeztetőkkel, felügyeleti rendszerrel vagy üzemeltetői folyamattal kezelni. Az automatikus megújítás kényelmes megoldás lehet, de nem szabad vakon megbízni benne: ha megváltozik a DNS-beállítás, a szerver jogosultsága, a tűzfalszabály vagy a hitelesítési módszer, az automata folyamat elakadhat.
A megelőzés része a rendszeres ellenőrzés is. Nem elég megnézni, hogy a fő domain működik-e. Vizsgálni kell a www és nem www változatot, az aldomaines felületeket, az adminisztrációs oldalakat, API-végpontokat és minden olyan címet, amelyet ügyfél, partner vagy belső munkatárs használ.
Egy üzleti weboldal esetén érdemes az SSL-kezelést összekapcsolni a teljes weboldal-üzemeltetéssel. Ha ugyanaz a szolgáltató figyeli a domaint, a VPS-t vagy tárhelyet, a mentéseket, a frissítéseket és a tanúsítványokat, kisebb az esélye annak, hogy egy fontos határidő vagy technikai részlet gazdátlan marad.
Mit érdemes ellenőriztetni egy szakemberrel?
Ha nem biztos benne, hogy weboldala SSL-beállítása rendben van, néhány célzott ellenőrzéssel sok későbbi kellemetlenség megelőzhető. Ilyen például a tanúsítvány érvényességének vizsgálata, a tanúsítványlánc ellenőrzése, a HTTPS átirányítás tesztelése, a vegyes tartalmak felderítése, valamint annak átnézése, hogy a TLS védelem megfelel-e a mai böngészők elvárásainak.
Különösen fontos az audit új weboldal indításakor, tárhely- vagy VPS-költöztetés után, domainátvételnél, webáruház bevezetésekor, illetve akkor, ha korábban már előfordult tanúsítványhiba. Ilyenkor nemcsak az a kérdés, hogy „zöld-e a lakat”, hanem az is, hogy stabilan, minden érintett címen és minden releváns böngészőben működik-e a biztonságos kapcsolat.
Az SSL tanúsítvány megfelelő kezelése nem látványos feladat, amíg minden rendben van. Akkor válik igazán fontossá, amikor hiba történik. A tudatos üzemeltetés célja éppen az, hogy ez a pillanat ne következzen be: a látogatók biztonságosan érjék el az oldalt, a vállalkozás pedig ne veszítsen ügyfelet egy megelőzhető technikai probléma miatt.
