2016 őszén jelentette be a Google, hogy 2017 elejétől kezdve már nemcsak a keresési eredményekben sorolja hátrébb a nem biztonságos - SSL-protokollt nélkülöző - weboldalakat, de a Chrome böngésző mindezt szöveges üzenet formájában is jelezni fogja a látogatókkal.

Maga az SSL-tanúsítvány a weboldal tulajdonosát és a látogatóit egyaránt védi. A látogatókat egyfelől biztosítja, hogy a megjelenő információk valóban az adott weboldalhoz tartoznak, valamint a webszerver és az ügyfél között zajló kommunikáció titkosításával pedig garantálja, hogy az ügyfél által megadott adatokat kizárólag a weboldal üzemeltetője ismerheti meg.

Az SSL-tanúsítványoknak különböző típusai (minőségei) léteznek, amelyeket különböző összegekért vásárolhatunk meg:

  1. Domain validation (DV): itt annyit igazol az SSL, hogy a böngésző címsorában megjelenő domén mögött valóban a hozzá tartozó weboldal található. Itt fontos megjegyezni, hogy már ez a tanúsítvány is biztosítja a titkosított kommunikációt.
  2. Organization validation (OV): az adott doménen található szolgáltatást az SSL-tanúsítvány egy bejegyzett szervezethez köti. A tanúsítványt kiállító bizalmi szolgáltató ebben az esetben ellenőrzi a cég, egyesület, vagy más jogi személy létezését, valamint a domén feletti használati jogosultságot. Itt a tanúsítvány tartalmazni fogja a szervezet nevét.
  3. Extended validation (EV): magasabb szintű ellenőrzések tartoznak az SSL-tanúsítványok kiállításához. Az ilyen tanúsítvánnyal rendelkező oldalak címsorát a böngészők zöld színben tüntetik fel.
  4. A hamarosan megjelenő egységes európai szabályozás által bevezetett, jogilag is elismert minősített weboldal-hitelesítő tanúsítvány képviseli a legmagasabb szintet. Ezt azoknak az európai cégnek lesz érdemes választani, amelyek komoly internetes jelenléttel bírnak.

A HSTS támogatása

A Google további javaslata, hogy HSTS eljárást támogató HTTPS-oldalakat használjunk. A HSTS használata azt eredményezi, hogy a böngésző automatikusan HTTPS segítségével kéri le az oldalakat, még ha a felhasználó http előtagot is írt be a böngésző címsávjába. Ezenfelül megmondja a Google-nak, hogy biztonságos URL-eket adjon a keresési találatokban. Mindez csökkenti a nem biztonságos tartalom felhasználóknak történő kiadásával járó kockázatot. Bővebben: A webhely védelme HTTPS protokollal.

Alapvető (DV) SSL-tanúsítvány beállítása Joomla! alatt

Első lépésként vásárolnunk kell egy nekünk megfelelő tanúsítványt. Én elsősorban a legköltséghatékonyabb megoldást kerestem, így esett a választásom a Comodo PositiveSSL-re, amelynek az éves költsége mindössze 5 dollár, ha azt az SSLs.com oldalról vásároljuk 3 éves periódusra PayPal, vagy online bankkártyás fizetésen keresztül. Megjegyzés: ha a meglévő aldoménjainkra is szeretnénk SSL-t, akkor célszerű olyat választani, amely lehetővé teszi más domének bebiztosítását egy SSL-tanusítványon belül (SAN/UC SSL), vagy olyat, amely lehetővé teszi az összes aldomain egy fődomainen belüli bebiztosítását (Wildcard SSL).

Következő lépésként aktiválnunk kell az előbb megvásárolt tanúsítványt, ehhez szükségünk lesz egy online CSR generátorra, amely segítségével megadjuk a tanúsítványon szereplő adatainkat. Az itt létrehozott SSL requestet és a Private key-t mentsük le egy biztonságos helyre.

Lépjünk vissza az SSLs oldalán található profilunkba, majd a tanúsítvány aktiválásához, másoljuk be az előbb kigenerált SSL requestet, majd vigyük végig a folyamatot. Az aktiválás alatt meg kell erősítenünk, hogy valóban rendelkezünk-e az adott weboldallal, amelyet könnyedén bizonyíthatunk egy szöveges text fájl oldalunkra történő másolásával.

Töltsük le a profilunkból az adott doménhez tartozó tanúsítványcsomagot. Lépjünk be az SSLs oldalán a Purchased certs menüpontba, amelyet felhasználói nevünk melleti nyíllal tudunk elérni. Itt kattintsunk a tanúsítvány cert-számára, majd töltsük le a Download gomb megnyomásával. A csomag a következő fájlokat fogja tartalmazni: domain.hu.ca-bundle, domain.hu.crt, domain.hu.p7b.

Megjegyzés: a domain.hu.ca-bundle fájl a következő tanusítványokat tartalmazza, amelyeket az SSLs ímélben is el fog küldeni, csak ott már külön-külön fognak szerepelni:

  • COMODORSADomainValidationSecureServerCA.crt
  • AddTrustExternalCARoot.crt
  • COMODORSAAddTrustCA.crt

SSL-tanúsítvány telepítése cPanel admin felületre

  1. Lépjünk be a cPanel adminfelületre, és kattintsunk az SSL/TLS menüre (Security box).
  2. Válasszuk ki az SSL telepítése és kezelése az Ön webhelye számára (HTTPS) menüpontot, majd kattintsunk az SSL webhelyek kezelése hivatkozásra. Görgessünk az SSL-webhely telepítése részhez, majd itt válasszuk ki a megfelelő tartományt (domaint), amelyre az SSL-t szeretnénk telepíteni.
  3. A Tanúsítvány mezőbe illesszük be a domain.hu.crt fáj tartalmát. A Titkos kulcs mezőbe illesszük be a CSR generátor által kigenerált Private key-t. A Hitelesítés szolgáltatói csomag mezőbe illesszük be a domain.hu.ca-bundle fájl tartalmát (vagy a fentebb megadott három tanusítvány tartalmát külön-külön egymás alá).
  4. Végül kattintsunk A tanúsítvány telepítése gombra. Ez után az oldalunk már https-sel tölt be böngészőben.

SSL-tanúsítvány telepítése i-MSCP admin felületre

  1. Lépjünk be az i-MSCP adminfelületére, majd navigáljunk el Domainek menüpontra, ahol kattintsunk az Áttekintés részben található Manage SSL certificate beállításra.
  2. Állítsuk Igenre az Allow HTTP Strict Transport Security beállítást, a HSTS: Set the max-age értékét pedig hagyjuk 31536000 másodpercen. (Javasolt)
  3. A Privát kulcs mezőbe illesszük be a CSR generátor által kigenerált Private key-t. A Tanúsítvány mezőbe illesszük be a domain.hu.crt fáj tartalmát. A Középszintű tanúsítvány(ok) mezőbe illesszük be a domain.hu.ca-bundle fájl tartalmát (vagy a fentebb megadott három tanusítvány tartalmát külön-külön egymás alá).
  4. Végül kattintsunk Létrehozás gombra. Ez után az oldalunk már https-sel tölt be böngészőben.

Meglévő HTTP elérésű oldalaink átirányítása HTTPS-re

Meglévő oldalaink átirányítását HTTPS-re többféle módon is végrehajthatjuk.

Beállítás a Joomla! alaprendszerben

Lépjünk be a Joomla! adminisztrációs oldalán a Globális konfigurációba, majd a Kiszolgáló fülön a Kiszolgáló beállításai szekcióban állítsuk a HTTPS kényszerítését a Teljes webhely értékre.

Beállítás a Yiero SSL Redirection beépülőben

Az ingyenes Yiero SSL Redirection beépülővel részletesebb beállítási lehetőségek állnak a rendelkezésünkre. Itt az SSL-t korlátozhatjuk menüpontokra, komponensre, cikkekre, valamint további finombeállítások is a rendelkezésünkre állnak.

Beállítás a htaccess fájlban

A következő kódot kell bemásolnunk a meglévő htaccess fájlunkban, amely a meglévő http hivatkozásinkat irányítja át https-re, valamint a www eléréseinket www nélkülire:

RewriteCond %{HTTP_HOST} ^www\.(.*)$ [NC]
RewriteRule ^(.*)$ https://%1/$1 [R=301,L]

RewriteCond %{HTTPS} !on
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

HSTS fejléc beállítása kódszinten

A következő kódot kell bemásolnunk a meglévő htaccess fájlunkban, hogy a böngésző automatikusan HTTPS segítségével kérje le az oldalainkat:

Header set Strict-Transport-Security "max-age=31536000" env=HTTPS

Ezek után el is készültünk az oldalunk HTTPS beállításaival.