Ce este un certificat de încredere și de ce este important pentru un site?

Atunci când accesezi un site web, browserul trebuie să poată verifica dacă acel site este într-adevăr cine pretinde că este și dacă informațiile transmise între dispozitivul tău și server sunt protejate.

Aici intervine certificatul digital de încredere.

Un certificat digital este un document electronic care leagă o identitate, cum ar fi un domeniu web, de o cheie criptografică. Certificatul este emis și semnat de o Autoritate de Certificare (CA – Certificate Authority) recunoscută de sistemele de operare și browsere.

În cazul unui site web, certificatul este utilizat de obicei prin protocolul HTTPS, bazat pe TLS (Transport Layer Security).

Pe scurt, certificatul îi permite browserului să verifice identitatea site-ului și să stabilească o conexiune securizată.

Cum funcționează un certificat SSL/TLS?

Atunci când introduci o adresă care începe cu https://, browserul inițiază o conexiune securizată cu serverul.

Într-o formă simplificată, procesul este următorul:

1. Browserul se conectează la serverul site-ului.
2. Serverul transmite certificatul său digital.
3. Browserul verifică dacă certificatul este valid.
4. Este verificată autoritatea care a emis certificatul.
5. Este verificat domeniul pentru care a fost emis certificatul.
6. Dacă verificările sunt corecte, browserul și serverul stabilesc o conexiune criptată.
7. Datele transmise ulterior sunt protejate împotriva interceptării.

Este important de înțeles că certificatul nu „criptează singur” toate datele. El face parte din mecanismul TLS prin care browserul și serverul stabilesc o conexiune criptată.

Ce verifică browserul?

Browserul nu acceptă automat orice certificat prezentat de un server.

Printre lucrurile verificate se numără:

Domeniul

Certificatul trebuie să fie valabil pentru domeniul accesat.

De exemplu, un certificat emis pentru exemplu.ro nu poate fi folosit în mod normal pentru a dovedi identitatea unui domeniu complet diferit.

Perioada de valabilitate

Certificatele au o perioadă de valabilitate. Dacă certificatul a expirat, browserul poate afișa un avertisment de securitate.

Autoritatea de certificare

Certificatul trebuie să provină dintr-un lanț de încredere recunoscut de browser sau sistemul de operare.

Integritatea certificatului

Browserul verifică semnătura digitală pentru a determina dacă certificatul a fost emis și semnat în mod corespunzător.

Ce înseamnă „încredere” în cazul unui certificat?

Termenul „încredere” poate părea puțin abstract.

Browserele și sistemele de operare au o listă de Autorități de Certificare de încredere. Acestea sunt organizații care au rolul de a valida și emite certificate digitale conform unor reguli și cerințe de securitate.

Atunci când browserul întâlnește un certificat emis de o autoritate pe care o recunoaște, poate construi un lanț de încredere până la o autoritate rădăcină (Root CA) prezentă în sistem.

De aceea, nu este suficient ca un administrator să creeze pur și simplu un certificat și să spună că este „de încredere”.

Browserul trebuie să poată verifica această încredere.

Certificat SSL sau certificat TLS?

Termenul SSL este încă foarte folosit, inclusiv în industria de hosting.

Din punct de vedere tehnic însă, protocoalele SSL (Secure Sockets Layer) sunt vechi și nu mai sunt utilizate pentru conexiunile web moderne.

Astăzi se folosește TLS – Transport Layer Security.

Cu toate acestea, expresii precum:

• certificat SSL;
• SSL gratuit;
• instalare SSL;
• SSL pentru WordPress;

sunt încă foarte răspândite.

În practică, atunci când cineva spune „certificat SSL”, se referă de cele mai multe ori la un certificat utilizat pentru securizarea unei conexiuni HTTPS prin TLS.

Ce protejează un certificat?

Un certificat utilizat pentru HTTPS contribuie la trei lucruri importante.

Criptarea conexiunii

Datele transmise între browser și server sunt criptate.

De exemplu, atunci când un utilizator completează un formular, informațiile nu sunt transmise în mod normal ca text simplu prin rețea.

Autentificarea serverului

Certificatul permite browserului să verifice identitatea serverului în cadrul mecanismului TLS.

Acest lucru ajută la prevenirea unor atacuri în care un atacator încearcă să intercepteze și să imite serverul legitim.

Integritatea datelor

TLS oferă și mecanisme prin care modificarea neautorizată a datelor în timpul transmisiei poate fi detectată.

Astfel, conexiunea nu oferă doar confidențialitate, ci și protecție împotriva modificării datelor transmise.

Ce se întâmplă dacă un site nu are un certificat valid?

Dacă un site nu utilizează HTTPS sau certificatul său prezintă probleme, browserul poate afișa avertismente.

În funcție de situație, utilizatorul poate vedea mesaje precum:

• „Not Secure”;
• „Connection is not private”;
• „Your connection is not private”;
• „Certificate expired”.

Aceste avertismente pot afecta serios încrederea vizitatorilor.

Mai ales în cazul magazinelor online, formularelor de autentificare sau site-urilor care colectează date, un avertisment de securitate poate determina utilizatorul să părăsească pagina.

Certificatul gratuit este mai puțin sigur?

Nu neapărat.

Un certificat gratuit poate oferi același tip de criptare TLS ca un certificat comercial, atunci când este emis și configurat corect.

Diferențele dintre certificatele gratuite și cele comerciale țin mai degrabă de:

• nivelul de validare;
• serviciile suplimentare oferite;
• garanțiile furnizorului;
• suportul tehnic;
• anumite caracteristici administrative.

Pentru foarte multe site-uri obișnuite, un certificat DV (Domain Validation) gratuit este suficient pentru activarea HTTPS.

Ce tipuri de certificate există?

Certificatele SSL/TLS pot fi clasificate și după nivelul de validare.

DV – Domain Validation

Autoritatea de certificare verifică faptul că solicitantul controlează domeniul.

Este varianta utilizată frecvent pentru:

• bloguri;
• site-uri de prezentare;
• proiecte personale;
• aplicații web;
• magazine online.

OV – Organization Validation

Pe lângă controlul domeniului, autoritatea de certificare verifică și anumite informații despre organizație.

EV – Extended Validation

Presupune un proces de validare mai complex al organizației.

În trecut, certificatele EV aveau o vizibilitate mult mai mare în interfața browserelor. În prezent, browserele moderne nu mai afișează în mod obișnuit diferențele EV într-un mod la fel de evident ca în trecut.

Certificatul nu înseamnă că site-ul este automat sigur

Aici apare o confuzie foarte importantă.

HTTPS nu înseamnă că site-ul este neapărat legitim sau lipsit de malware.

Un site fraudulos poate avea și el un certificat HTTPS valid.

Certificatul confirmă, în principal, identitatea domeniului în limitele nivelului de validare și permite securizarea conexiunii.

Nu garantează că:

• magazinul este de încredere;
• produsele există;
• informațiile de pe site sunt adevărate;
• site-ul nu conține malware;
• proprietarul site-ului nu încearcă să fraudeze utilizatorii.

De aceea, trebuie să privești certificatul ca pe o componentă a securității, nu ca pe o garanție absolută că un site este sigur.

Cum verifici certificatul unui site?

În browserele moderne poți vedea informații despre conexiunea HTTPS accesând pictograma de securitate din bara de adrese.

În funcție de browser, poți găsi informații precum:

• dacă conexiunea este securizată;
• domeniul certificatului;
• autoritatea care a emis certificatul;
• perioada de valabilitate;
• informații despre conexiunea TLS.

Pentru administratorii de site-uri există și servicii specializate care permit analizarea configurației TLS și a certificatului.

De ce este important pentru un site web?

În prezent, HTTPS este practic standardul pentru site-urile moderne.

Un certificat TLS valid este important deoarece:

• protejează comunicația dintre utilizator și server;
• protejează datele transmise prin formulare;
• permite utilizarea HTTPS;
• crește încrederea utilizatorilor;
• este necesar pentru multe funcții moderne ale browserelor;
• contribuie la securitatea aplicațiilor web;
• evită avertismentele de securitate afișate de browsere.

În plus, HTTPS este important și pentru site-urile care nu colectează date sensibile. Chiar și un simplu site de prezentare beneficiază de o conexiune securizată.