Центр сертификации SSL: кто это и как он ручается за сайт, термины и чек-лист

Подробности, цифры, термины и чек-лист по теме «Центр сертификации SSL: кто это и как он ручается за сайт». Страница справочника целиком: Центр сертификации.

Коротко о теме

Центр сертификации подписывает SSL-сертификаты после проверки заявителя. Чем отличаются DV, OV и EV, кто их выдаёт и что при потере доверия.

Подробности по разделам

Что такое центр сертификации и зачем он нужен

Браузер проверяет подпись открытым ключом центра, который уже хранится у него в списке доверенных, и принимает сайт. Так доверие передаётся по цепочке от центра к сайту: цепочка сертификатов. Где хранится список центров, которым верит устройство: корневой сертификат.

Что проверяет центр: DV, OV и EV

Выберите тип сертификата и узнайте, за что именно ручается подпись

Какие центры сертификации выдают SSL

Где оформить: где купить SSL, о бесплатном центре: Let's Encrypt. Все публичные центры работают по общим правилам CA/Browser Forum, объединения центров и производителей браузеров.

Что будет, если центр ошибся и как владельцу домена себя защитить

Владелец домена тоже может ограничить выдачу: запись CAA в DNS перечисляет центры, которым разрешено выпускать сертификаты на домен. Пример для Let's Encrypt: Если появилась ошибка о недоверии к издателю, причина обычно в цепочке, а не в самом центре: сертификат не доверен.

Ключевые цифры

Термины на странице

DV, OV, EV
DV подтверждает только владение доменом, OV и EV ещё и проверяют компанию. Шифрование у них одинаковое.
Регистратор
Регистратор это компания, через которую регистрируют и продлевают домены.
Цепочка сертификатов
Цепочка сертификатов связывает сертификат сайта с корневым через промежуточные. Без промежуточного часть браузеров покажет ошибку.
CSR
CSR это запрос на выпуск сертификата: в нём открытый ключ и данные о домене.
DNS
DNS это система, которая переводит имя домена в адрес сервера.
Центр сертификации
Центр сертификации выпускает сертификаты и отвечает за проверку владельца.

Что проверить

  1. Выпустите сертификат после того, как домен указывает на сервер.
  2. Проверьте, что установлена вся цепочка сертификатов.
  3. Включите перенаправление с HTTP на HTTPS.
  4. Сравнивайте цену за одинаковую конфигурацию: ядра, память, диск, IPv4.
  5. Смотрите цену продления и оплаты помесячно, а не только акционную.
  6. Сверяйте цены на сайте провайдера в день оплаты: они меняются.

Связанные страницы