Instalacja certyfikatów SSL i wdrożenie HTTPS

Dla większości stron firmowych i sklepów w zupełności wystarcza bezpłatny certyfikat z automatycznym odnawianiem – szyfruje połączenie tak samo skutecznie jak certyfikaty płatne. Płatne certyfikaty mają sens, gdy potrzebna jest weryfikacja organizacji, obsługa wielu domen w nietypowej konfiguracji, określone warunki gwarancyjne albo gdy wymaga tego polityka firmy lub partnera.

Pomagamy wybrać rozwiązanie i instalujemy je na serwerze, także wtedy, gdy hosting nie oferuje prostego przycisku w panelu. Przy certyfikatach płatnych przygotowujemy wniosek, przechodzimy weryfikację domeny lub firmy i pilnujemy terminu odnowienia, bo w ich przypadku często wymaga ono dodatkowych kroków.

Wiele stron ma certyfikat, a mimo to przeglądarka pokazuje ostrzeżenia lub strona działa w kilku wersjach jednocześnie. To zwykle efekt niedokończonego wdrożenia, które warto uporządkować – zarówno ze względu na użytkowników, jak i na indeksowanie w Google. Poniżej problemy, które spotykamy najczęściej przy przejmowaniu stron od innych wykonawców.

Google traktuje wersję HTTP i HTTPS jako dwa różne adresy. Poprawne przejście wymaga więc przekierowań 301 z każdej starej podstrony na jej odpowiednik, aktualizacji linków wewnętrznych, adresów kanonicznych i mapy witryny oraz dodania nowej wersji do Search Console. Przy takim wdrożeniu strona zachowuje swoją historię i widoczność, a użytkownicy ze starych linków trafiają we właściwe miejsce.

Po poprawnym wdrożeniu HTTPS warto pójść o krok dalej. Nagłówek HSTS informuje przeglądarkę, że strona ma być zawsze otwierana przez bezpieczne połączenie, nawet jeśli ktoś wpisze adres bez protokołu. Włączamy go stopniowo, zaczynając od krótkiego czasu obowiązywania, bo błąd w konfiguracji HSTS trudno szybko cofnąć.

Sprawdzamy też ustawienia samego szyfrowania: wersje protokołu TLS, obsługiwane szyfry i poprawność łańcucha certyfikatów. Wyłączenie przestarzałych protokołów poprawia bezpieczeństwo, a dobrze skonfigurowany serwer nawiązuje bezpieczne połączenie szybciej.

Firmowa domena często obsługuje więcej niż stronę: sklep na subdomenie, panel klienta, system rezerwacji, pocztę przez przeglądarkę czy środowisko testowe. Każda z tych usług potrzebuje ważnego certyfikatu, a ich daty wygaśnięcia warto mieć w jednym miejscu.

Dobieramy rozwiązanie do sytuacji: osobne certyfikaty dla poszczególnych subdomen, certyfikat obejmujący wiele nazw albo certyfikat typu wildcard. Wszystkie dodajemy do monitoringu, żeby żadna usługa nie została zaskoczona ostrzeżeniem w przeglądarce.