Bezpłatne SSL od Let’s Encrypt: plusy i minusy

Bezpłatne certyfikaty SSL Let’s Encrypt są teraz dostępne w panelu zarządzania dla wszystkich klientów naszej usługi Hosting współdzielony. Czym są, dlaczego są bezpłatne, dla jakich stron się nadają i jak je zainstalować — dowiesz się z tego artykułu.

Wyszukiwarki i twórcy przeglądarek na wszelkie sposoby zachęcają webmasterów do instalowania certyfikatów SSL na stronach. I słusznie, bo przesyłanie danych między serwerami protokołem HTTP jest niepewne, a napastnicy mogą przechwycić przesyłane hasła, adresy e-mail, numery telefonów i inne dane.

Żeby przyspieszyć wdrażanie SSL, w zeszłym roku roboty Google zaczęły obniżać pozycje stron bez SSL w wynikach wyszukiwania, a przeglądarki Mozilla Firefox i Google Chrome oznaczają je jako niezaufane. Dlatego właściciele stron muszą instalować na nich certyfikaty SSL.

Czym jest certyfikat SSL i po co jest potrzebny

SSL to protokół, czyli zestaw reguł, według których informacje są szyfrowane i przesyłane między serwerami bezpiecznym połączeniem.

Do nawiązania takiego połączenia potrzeba kilku specjalnych plików i to one nazywane są certyfikatem SSL.

Certyfikaty bywają różnych rodzajów:

• z weryfikacją nazwy domeny — nadają się do stron osobistych i niewielkich blogów;
• z weryfikacją organizacji — stosowane przy sklepach internetowych i sieciach społecznościowych;
• z rozszerzoną weryfikacją dokumentów — dla dużych firm, banków, funduszy inwestycyjnych i tak dalej.

W zależności od złożoności weryfikacji, wsparcia przeglądarek, poziomu zaufania i innych czynników koszt certyfikatów bywa różny. Właściciele niewielkich projektów internetowych nie zawsze są jednak gotowi wydawać pieniądze na certyfikat bezpieczeństwa. I właśnie na takie przypadki są certyfikaty od Let’s Encrypt.

Trochę historii

Let’s Encrypt to niekomercyjne zaufane centrum certyfikacji, które oferuje certyfikaty SSL bezpłatnie. Certyfikaty wydawane są automatycznie.

Centrum powstało w 2014 roku po to, żeby większość stron w internecie mogła przejść na bezpieczny protokół HTTPS.

Projekt sponsorują takie firmy jak Mozilla, Google Chrome, Cisco i Facebook. Mimo że projekt jest niekomercyjny, korzysta z najnowocześniejszych metod szyfrowania danych, dlatego certyfikaty od Let’s Encrypt cieszą się zaufaniem.

Do tego roku Let’s Encrypt nie wydawał certyfikatów wildcard, a od 13 marca takie certyfikaty wreszcie stały się dostępne dla użytkowników.

Oznacza to, że teraz można wydać jeden certyfikat dla swojej domeny i zabezpieczyć wszystkie subdomeny trzeciego i dalszych poziomów.

Komu przydadzą się certyfikaty SSL Let’s Encrypt

Let’s Encrypt wydaje certyfikaty podstawowego poziomu z weryfikacją domeny. Nadadzą się do osobistych blogów, forów, portfolio i stron docelowych.

Taki certyfikat potwierdza przynależność domeny do właściciela strony, ale weryfikacji rejestracji firmy się nie przeprowadza. Komunikatów o podejrzanej stronie odwiedzający nie zobaczy, a napastnicy nie przechwycą danych wpisywanych na stronie.

Nie zaleca się jednak stosowania takich certyfikatów na stronach małych i średnich firm: do podniesienia zaufania użytkowników służą certyfikaty z weryfikacją organizacji.

A przedsiębiorstwu państwowemu, bankowi czy dużemu sklepowi internetowemu potrzebny jest certyfikat SSL z rozszerzoną weryfikacją dokumentów.

Dalej omówimy plusy i minusy certyfikatów Let’s Encrypt.

Plusy i minusy certyfikatów Let’s Encrypt

Plusy

Są bezpłatne

To istotna zaleta dla tych właścicieli stron, których nie stać na płatny certyfikat, a chcą zapewnić swoim odwiedzającym bezpieczne połączenie.

Let’s Encrypt nie zażąda pieniędzy ani za instalację, ani za odnowienie certyfikatu. Jeśli sam zechcesz — możesz przekazać darowiznę na stronie projektu.

Automatyczne wydawanie certyfikatów

Możesz pozwolić klientowi Let’s Encrypt samodzielnie pobierać, instalować i odnawiać certyfikaty. Ale jeśli martwisz się o konfigurację swojego serwera, możesz robić to ręcznie.

Niezawodność i bezpieczeństwo

To, że certyfikaty SSL Let’s Encrypt są bezpłatne, nie oznacza, że poziom szyfrowania jest w nich niższy niż w certyfikatach płatnych. Let’s Encrypt trzyma się najwyższych standardów szyfrowania i oferuje certyfikaty o wysokim poziomie niezawodności.

Jeśli chodzi o minusy tych certyfikatów, również trzeba je brać pod uwagę.

Minusy

Brak rozszerzonych weryfikacji

Przy wydawaniu certyfikatu sprawdzana jest wyłącznie przynależność domeny do klienta. W ten sposób ktokolwiek w internecie może stworzyć sobie certyfikat z nazwą dowolnej organizacji i udawać, że strona ma z nią coś wspólnego.

Certyfikaty wydawane są tylko na 90 dni

To raczej niewygoda dla użytkowników niż istotna wada certyfikatu. Rzecz w tym, że wydając certyfikat tylko na 90 dni, a nie na rok, Let’s Encrypt stara się ograniczyć szkody wynikające z kluczy i certyfikatów wydanych przez pomyłkę. Przy krótszym okresie ważności takie certyfikaty wyrządzą mniejszą szkodę niż przez rok.

Problemy ze zgodnością

Certyfikaty Let’s Encrypt nie są zgodne z wczesnymi wersjami Windows XP. Poza tym mogą pojawić się problemy zgodności ze starymi wersjami oprogramowania mobilnego. Żeby upewnić się, że z Twoim systemem operacyjnym czy oprogramowaniem telefonu nie będzie problemów, sprawdź, czy są na liście zgodnych urządzeń i programów na stronie Let’s Encrypt.

Brak wsparcia klienta

Na stronie Let’s Encrypt nie znajdziesz ani czatu, ani wsparcia telefonicznego, tylko dokumentację techniczną w języku angielskim. Niektóre kwestie dotyczące tych certyfikatów omawiane są na forach tematycznych i tam można znaleźć odpowiedzi na nurtujące Cię pytania.

Brak gwarancji i rekompensaty finansowej

W odróżnieniu od komercyjnych centrów certyfikacji Let’s Encrypt nie udziela żadnych gwarancji. Jeśli certyfikat zostanie złamany albo ktoś straci pieniądze przez certyfikat wydany oszukańczej stronie, straty nie zostaną zwrócone.

Jak zainstalować

Zamówienie i instalacja certyfikatu Let’s Encrypt są bardzo proste. Wystarczy wykonać kilka prostych czynności w panelu ISPmanager:

W dziale panelu Certyfikaty SSL klikamy przycisk Let’s Encrypt:

Sprawdzamy parametry certyfikatu i klikamy OK.

Gotowe — certyfikat jest zainstalowany i działa.

Wyciągamy wnioski

Przed instalacją bezpłatnego certyfikatu SSL od Let’s Encrypt trzeba zważyć wszystkie plusy i minusy.

Jeśli ten rodzaj certyfikatu Ci odpowiada, minusy Cię nie dotyczą, a pytanie brzmi tylko, czy instalować certyfikat bezpłatny, czy nie instalować żadnego, to najlepszym rozwiązaniem będzie jednak go zainstalować.

Z drugiej strony koszt certyfikatów komercyjnych jest dziś niewysoki i można zamówić sobie certyfikat na rok, z gwarancją i dobrą zgodnością z przeglądarkami, w cenie porównywalnej z ceną domeny.

Jeśli nie zainstalowałeś jeszcze certyfikatu SSL na swojej stronie, a certyfikaty od Let’s Encrypt Ci nie odpowiadają, możesz poczytać o certyfikatach SSL na naszej stronie usługi i wybrać ten, który najbardziej pasuje do Twojego projektu.

Przy przygotowaniu materiału wykorzystano zdjęcia ze strony Freepik.com