suport@creditpe.net

Mutarea site-ului în HTTPS / SSL: sfaturi și trucuri

Această postare descrie câteva sfaturi utile, care pot fi folositoare dacă vă gândiți să faceți mutarea site-ului în HTTPS.

Addendum martie 2021

Mutarea site-ului în HTTPS pentru a accepta conexiunile cu certificate SSL a devenit mult mai ușoară începând cu WordPress 5.7. În acea versiune, echipa WordPress a adăugat o nouă funcție la Site Health care verifică dacă un site rulează pe un pachet de găzduire care acceptă HTTPS. Dacă da, funcția oferă o opțiune cu un singur clic pentru a face mutarea site-ului în HTTPS . Actualizează chiar și linkurile din baza de date pentru dvs. și împiedică apariția avertismentelor de conținut mixt. Deci, activați acel certificat SSL pentru site-ul dvs. și ajungeți la el!

O mică istorie

În 2014, HTTPS a devenit un subiect fierbinte după ce bug-ul Heartbleed a devenit public. Această eroare le-a permis persoanelor cu intenții proaste să asculte traficul transferat prin SSL / TLS. De asemenea, le-a dat posibilitatea de a deturna și / sau citi datele. Din fericire, această eroare a fost reparată rapid după descoperirea sa. Acest incident a fost un apel de trezire care criptează corect informațiile utilizatorilor pe internet este o necesitate și nu ar trebui să fie un lucru opțional.

Pentru a sublinia importanța criptării datelor sensibile, Google Chrome (din ianuarie 2017) afișează un avertisment clar lângă bara de adrese ori de câte ori vizitați un site web care nu criptează date sensibile – potențiale, cum ar fi formularele.

Cum schimb?

Deoarece este important ca datele dvs. să fie sigure, am luat măsuri în 2014 pentru a ne asigura că avem certificate SSL pe propriile noastre site-uri web. Dacă decideți să schimbați (cu adevărat ar trebui!), Există câteva lucruri pe care trebuie să le luați în considerare pentru a vă asigura că site-ul dvs. web funcționează pe deplin conform intențiilor după ce ați terminat.

  • Trebuie să vă schimbați toate linkurile interne. Aceasta înseamnă, de asemenea, actualizarea linkurilor către active (acolo unde este necesar). Asigurați-vă că parcurgeți tema și modificați referințele la fișiere CSS, imagini și JavaScript. În plus, vă puteți schimba toate linkurile pentru a începe, în //locul https://cărora vor rezulta adrese URL relative la protocol.
  • Asigurați-vă că CDN-ul dvs. acceptă și SSL. Folosim MaxCDN, care vă permite să configurați cu ușurință SSL pe subdomeniul CDN.
  • Există diferite niveluri de SSL din care puteți alege, fiecare cu avantajele și dezavantajele sale. Veți găsi mai multe informații despre asta mai târziu.
  • Asigurați-vă că aveți un link canonic prezent în <head>secțiunea site-ului dvs. web pentru a redirecționa în mod corespunzător tot traficul care vine de http://la https://.

Google a publicat, de asemenea, un ghid la îndemână despre cum să treceți la HTTPS fără a vă afecta masiv clasamentul, care poate fi găsit aici .

Cum îmi influențează acest clasament?

Așa cum s-a menționat în secțiunea anterioară, trecerea de la HTTP la HTTPS vă poate influența ușor clasamentul dacă nu intenționați în consecință. Cu toate acestea, după ce treceți la HTTPS, clasamentul dvs. se va îmbunătăți de-a lungul timpului. Google a anunțat în 2014 că deținerea unui certificat SSL va fi considerat un factor pozitiv de clasare, deci merită investiția.

Pentru a vă asigura că Googlebot vă poate indexa din nou site-ul web mai rapid după mutarea site-ului în HTTPS , asigurați-vă că migrați în https://timpul orelor de trafic redus. În acest fel, Googlebot poate utiliza mai multe resurse ale serverului dvs. Țineți cont doar de faptul că un site de dimensiuni medii ar putea dura ceva timp pentru a recâștiga clasamentul. Aveți un sitemap? Apoi, Googlebot poate fi capabil să recalculeze și să reindexeze site-ul dvs. web chiar mai repede.

Configurarea HTTPS și SSL pe serverul dvs.

În general vorbind, furnizorii de găzduire au un serviciu care vă permite să activați HTTPS / să comandați un certificat. Există câteva tipuri de certificate din care puteți alege, care diferă în câteva moduri. Fiecare variantă are, de asemenea, propria etichetă de preț, așa că înainte de a cumpăra una, asigurați-vă că aveți un certificat care să se potrivească nevoilor și bugetului dvs.!

Dacă sunteți puțin încurcați în bani și cu experiență în tehnologie, aruncați o privire la Let’s Encrypt pentru a obține un certificat gratuit (!).

Dacă rulați și gestionați propriul dvs. server web, există câteva lucruri pe care va trebui să le activați în configurația serverului înainte de a putea utiliza certificatele SSL. Acest tutorial explică ce pași trebuie luați pentru a rula un certificat pe serverul dvs.

Capsare OCSP

Trebuie să verificați validitatea unui certificat SSL poate duce la o mică atingere a vitezei de încărcare. Pentru a depăși acest lucru, puteți utiliza capsarea OCSP . Capsarea OCSP este o caracteristică care permite serverului să descarce o copie a răspunsului furnizorului de certificate atunci când verifică certificatul SSL. Aceasta înseamnă că, odată ce un browser se conectează la server, acesta verifică validitatea certificatului pe baza copiei de pe server, în loc să fie nevoit să interogheze chiar furnizorul de certificate, rezultând o îmbunătățire semnificativă a performanței.

Apache

Înainte de a activa capsarea OCSP pe serverul dvs. Apache, vă rugăm să verificați dacă rulați versiunea 2.3.3+ a Apache executând comanda apache2 -v(sau httpd -v) pe serverul dvs. Versiunile inferioare ale Apache nu acceptă această caracteristică .

Dacă ați parcurs procesul de configurare HTTPS pe serverul dvs. așa cum este descris în secțiunea „Configurarea HTTPS și SSL pe serverul dvs.”, atunci ar fi trebuit să intrați în contact cu o configurație VirtualHost realizată special pentru utilizarea cu HTTPS / SSL.

În acel fișier, urmați pașii următori:

  1. În interiorul <VirtualHost></VirtualHost>secțiunii, ar trebui să adăugați SSLUseStapling on.
  2. Chiar deasupra <VirtualHost></VirtualHost>secțiunii, adăugațiSSLStaplingCache shmcb:/tmp/stapling_cache(128000)
  3. Verificați dacă configurația este încă valabilă rulând apachectl -t. Dacă da, reîncărcați Apache rulând service apache2 reload.

Nginx

Nginx acceptă și capsarea OCSP. Înainte de a edita configurația serverului, vă rugăm să verificați dacă rulați versiunea 1.3.7+ a Nginx executând comanda nginx -vpe serverul dvs. Versiunile inferioare ale Nginx nu acceptă această caracteristică .

Dacă ați parcurs procesul de configurare HTTPS pe serverul dvs. așa cum este descris în secțiunea „Configurarea HTTPS și SSL pe serverul dvs.”, atunci ar fi trebuit să intrați în contact cu o configurație Nginx realizată special pentru utilizarea cu HTTPS / SSL.

În acel fișier, adăugați următoarele linii în server {}secțiune:

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/ssl/private/ca-certs.pem;

Ultima linie face referire la un fișier care conține o listă de certificate CA de încredere. Acest fișier este utilizat pentru a verifica certificatele clientului atunci când se utilizează OCSP.

După adăugarea acestor linii în fișier, verificați dacă configurația este încă valabilă rulând service nginx configtest. Dacă da, reîncărcați Nginx rulând service nginx reload.

Antet Strict Security Security

Antetul de securitate pentru transportul strict (HSTS) este o altă caracteristică utilă care impune practic browserelor să utilizeze cererea HTTPS în loc de echivalentul HTTP. Activarea acestei funcții este relativ nedureroasă.

Apache

Dacă rulați Apache, activați mai întâi modulul Apache Headers executând a2enmod headers. După aceasta, este doar o chestiune de a adăuga următoarea linie la configurația dvs. VirtualHost (în <VirtualHost></VirtualHost>secțiune) pe care ați configurat-o mai devreme pentru HTTPS:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

Reîncărcați serviciul Apache și sunteți bine să plecați!

Nginx

Nginx vă cere să adăugați următoarea linie în server{}secțiunea fișierului de configurare a serverului:

add_header Strict-Transport-Security max-age=31536000;

Testarea

Pentru a vedea dacă certificatul dvs. SSL funcționează corect, mergeți la SSL Labs , completați numele domeniului dvs. și vedeți ce tip de scor obțineți.

Redirecționarea adreselor URL

Pentru a vă asigura că solicitările sunt redirecționate corect la adresa URL HTTPS, trebuie să adăugați o linie suplimentară la configurația dvs. În acest fel, traficul care încearcă să vă viziteze site-ul web prin HTTP, va fi redirecționat automat către HTTPS.

Apache

În configurația dvs. implicită VirtualHost (deci cea utilizată pentru solicitările HTTP), adăugați următoarele pentru a vă asigura că adresele URL sunt redirecționate corect:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Ca și în cazul celorlalte modificări pe care le-am făcut înainte, nu uitați să reîncărcați Apache!

Nginx

În Nginx, modificați fișierul de configurare implicit care a fost utilizat pentru solicitările HTTP și modificați-l ca atare:

server {
    listen 80;
    server_name your-site.com www.your-site.com;
    return 301 https://your-site.com$request_uri;
}

Nu uitați să reîncărcați Nginx înainte de a testa aceste modificări.

Concluzie

„Ar trebui să trec la HTTPS?” Răspuns scurt: Da. Utilizarea HTTPS asigură transmiterea informațiilor private (de utilizator) pe web într-un mod mai sigur. Mai ales dacă aveți de-a face cu tranzacții monetare, HTTPS este o necesitate.

Cu ce tip de certificat ajungeți să depindeți, depinde de cazul de utilizare specific și de buget. Asigurați-vă că cercetați corect opțiunile dvs. în prealabil.

Citiți mai multe: securitatea WordPress în câțiva pași simpli »

Lasă un răspuns

Adresa ta de email nu va fi publicată. Câmpurile obligatorii sunt marcate cu *