MENU
SVG Modal background Created with Snap
Close
Napište nám

Nasazení HTTPS protokolu na všechny weby

Trendem nového roku je bezpečnost návštěvníků webu a vylepšení pozice ve vyhledávačích – to vše pomocí HTTPS.

Na tento trend už reagují i nejrozšířenější webové prohlížeče (Chrome a Firefox), které začínají návštěvníky webu upozorňovat, zda od nich vyžadují citlivé údaje a jsou-li zabezpečeny nebo ne.

SSL certifikát v prohlížeči Mozilla

Stačí si jen nainstalovat certikát ke své doméně? Bohužel ne! Musí se provést celá řada úprav nejen na samotném webu (popsáno níže ve článku), ale i na straně samotného serveru, kde hostuje doména. Jak tomu rozumět? Stačí si zobrazit report naší domény webmotion.cz, kde vidíte rating A- a pak s tímto reportem domény arachidesdepot.ca kde je rating F; přitom obě dvě domény mají certifikát SSL. Ovšem každá doména má jak jiné nastavení samotného serveru, tak i "složitosti" certifikátu a to vše daný rating rozeznává!

Ve spolupráci s naším dlouholetým partnerem v oblasti serverhostingu (Stable.cz) se nic neponechalo náhodě a přecházíme na HTTPS (Hypertext Transfer Protocol Secure) se všemi weby, které hostují na našem serveru.

Od začátku roku nabízíme všem zákazníkům jednoduchou aktivaci certifikátu Let´s Encrypt v rámci webové administrace hostingu. Proč zrovna certifikát od této neziskové organizace? V současné době je tento certifikát podporován ve většině dostupných prohlížečů. Je vystavován na tři měsíce a o jeho prodloužení probíhá automaticky.

U všech webových řešení, které mají specifické požadavky dodáváme i jiný certifikát od firem: GlobalSign, Thawte, SymantecGeoTrust nebo RapidSSL.

Co je vlastně Let's Encrypt?

Jedná se o certifikační autoritu, která má za cíl všem zdarma umožnit využití zabezpečeného spojení pro svou doménu – tzv. HTTPS. SSL certifikát je nasazen automatizovaně a zcela zdarma. Let’s Encrypt je možné nastavit na hlavní doméně a až na 98 vašich subdomén. Díky podpoře SNI na serveru není nutné na každé doméně s certifikátem mít vyhrazenou IP adresu. Nevýhodou je nekompatibilita se staršími systémy a prohlížeči – například na Windows XP může prohlížeč zobrazovat návštěvníkům chybovou hlášku, že certifikát není důvěryhodný.

Nastavení přesměrování pro vyhledávače

Po instalaci certifikátu je nutné to říci i vyhledávačům (Google, Seznam, Bing apod.), že máte https a VEŠKERÝ OBSAH se přesměrovává na totožné URL adresy s https (obrázky, stránky atd.). To znamená, že kdokoliv zadá adresu s http, bude přesměrován na https. Některé redakční systémy na to mají moduly, v některých případech je lepší to udělat pomocí souboru .htaccess:

 RewriteEngine on

RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} !^www.
RewriteRule ^ https://www.nazev-domeny.cz%{REQUEST_URI} [NE,L,R=301]

Na co si dát pozor při přechodu na HTTPS

  • Důležité je si pohlídat přesměrování všech stránek s kódem 301 z HTTP na HTTPS adresy 1:1
  • Všechny zdrojové odkazy u obrázků, CSS, JavaScriptu a externí zdroje musí mít protokol v odkazu HTTPS (pokud využíváte absolutní url)
  • Upravit robots.txt tak, aby odkaz na sitemapu používal HTTPS
  • Upravit sitemapu aby každý odkaz v ní uvedený měl HTTPS místo HTTP
  • Správná konfigurace HTTP headers na serveru

Nezapomeňte:

  • V Google Webmaster Tools odstranit starou službu a přidat novou s https://
  • V Google Analytics ve správci účtu pro daný web změnit "http://" na "https://"
  • Propojit v konzoli Webmaster Tools nový web s Google Analytics, kde už uvidíte adres s https://

Chcete si otestovat nastavení svého webu/serveru? Doporučujeme následující nástroje:

Co je dalšího u nás v plánu?

Aktuálně pracujeme na implementaci HTTP/2, které má zrychlit HTTPS a upravujeme konfiguraci serveru abychom udrželi naši známku na A a ne nižší. Aktuálně máme A- a chybí nám kousek na A+!

Nakonec, ven s pravdou! Šifrování HTTPS prolomeno

Proč tak děsivý závěr? Narazil jsem na několik lidí, kteří si myslí, že nasazením důvěryhodného SSL certifikátu a správnou konfiguraci webového serveru dosáhnou maximální bezpečnosti z pohledu důvěryhodného a nečitelného přenosu dat mezi serverem a klientem. Pravda to opravdu není! Doopravdy zatím neexistuje 100% ochrana proti zneužití. HTTPS protokol je nutný nejen z hlediska důvěryhodnosti internetu, ale není dostačující.

Máte ještě volnou chvilku? Doporučuji si pustit video Aténské univerzity :-)