2016 őszén jelentette be a Google, hogy 2017 elejétől kezdve már nemcsak a keresési eredményekben sorolja hátrébb a nem biztonságos - SSL-protokollt nélkülöző - weboldalakat, de a Chrome böngésző mindezt szöveges üzenet formájában is jelezni fogja a látogatókkal.

Maga az SSL-tanúsítvány a weboldal tulajdonosát és a látogatóit egyaránt védi. A látogatókat egyfelől biztosítja, hogy a megjelenő információk valóban az adott weboldalhoz tartoznak, valamint a webszerver és az ügyfél között zajló kommunikáció titkosításával pedig garantálja, hogy az ügyfél által megadott adatokat kizárólag a weboldal üzemeltetője ismerheti meg.

Az SSL-tanúsítványoknak különböző típusai (minőségei) léteznek, amelyeket különböző összegekért vásárolhatunk meg:

  1. Domain validation (DV): itt annyit igazol az SSL, hogy a böngésző címsorában megjelenő domén mögött valóban a hozzá tartozó weboldal található. Itt fontos megjegyezni, hogy már ez a tanúsítvány is biztosítja a titkosított kommunikációt.
  2. Organization validation (OV): az adott doménen található szolgáltatást az SSL-tanúsítvány egy bejegyzett szervezethez köti. A tanúsítványt kiállító bizalmi szolgáltató ebben az esetben ellenőrzi a cég, egyesület, vagy más jogi személy létezését, valamint a domén feletti használati jogosultságot. Itt a tanúsítvány tartalmazni fogja a szervezet nevét.
  3. Extended validation (EV): magasabb szintű ellenőrzések tartoznak az SSL-tanúsítványok kiállításához. Az ilyen tanúsítvánnyal rendelkező oldalak címsorát a böngészők zöld színben tüntetik fel.
  4. A hamarosan megjelenő egységes európai szabályozás által bevezetett, jogilag is elismert minősített weboldal-hitelesítő tanúsítvány képviseli a legmagasabb szintet. Ezt azoknak az európai cégnek lesz érdemes választani, amelyek komoly internetes jelenléttel bírnak.

A HSTS támogatása

A Google további javaslata, hogy HSTS eljárást támogató HTTPS-oldalakat használjunk. A HSTS használata azt eredményezi, hogy a böngésző automatikusan HTTPS segítségével kéri le az oldalakat, még ha a felhasználó http előtagot is írt be a böngésző címsávjába. Ezenfelül megmondja a Google-nak, hogy biztonságos URL-eket adjon a keresési találatokban. Mindez csökkenti a nem biztonságos tartalom felhasználóknak történő kiadásával járó kockázatot. Bővebben: A webhely védelme HTTPS protokollal.

Alapvető (DV) SSL-tanúsítvány beállítása Joomla! alatt

Első lépésként vásárolnunk kell egy nekünk megfelelő tanúsítványt. Én elsősorban a legköltséghatékonyabb megoldást kerestem, így esett a választásom a Comodo PositiveSSL-re, amelynek az éves költsége mindössze 5 dollár, ha azt az SSLs.com oldalról vásároljuk 3 éves periódusra PayPal, vagy online bankkártyás fizetésen keresztül. Megjegyzés: ha a meglévő aldoménjainkra is szeretnénk SSL-t, akkor célszerű olyat választani, amely lehetővé teszi más domének bebiztosítását egy SSL-tanusítványon belül (SAN/UC SSL), vagy olyat, amely lehetővé teszi az összes aldomain egy fődomainen belüli bebiztosítását (Wildcard SSL).

Következő lépésként aktiválnunk kell az előbb megvásárolt tanúsítványt, ehhez szükségünk lesz egy online CSR generátorra, amely segítségével megadjuk a tanúsítványon szereplő adatainkat. Az itt létrehozott SSL requestet és a Private key-t mentsük le egy biztonságos helyre.

Lépjünk vissza az SSLs oldalán található profilunkba, majd a tanúsítvány aktiválásához, másoljuk be az előbb kigenerált SSL requestet, majd vigyük végig a folyamatot. Az aktiválás alatt meg kell erősítenünk, hogy valóban rendelkezünk-e az adott weboldallal, amelyet könnyedén bizonyíthatunk egy szöveges text fájl oldalunkra történő másolásával.

Töltsük le a profilunkból az adott doménhez tartozó tanúsítványcsomagot. Lépjünk be az SSLs oldalán a Purchased certs menüpontba, amelyet felhasználói nevünk melleti nyíllal tudunk elérni. Itt kattintsunk a tanúsítvány cert-számára, majd töltsük le a Download gomb megnyomásával. A csomag a következő fájlokat fogja tartalmazni: domain.hu.ca-bundle, domain.hu.crt, domain.hu.p7b.

Megjegyzés: domain.hu.ca-bundle fájl a következő tanusítványokat tartalmazza, amelyeket az SSLs ímélben is el fog küldeni, csak ott már külön-külön fognak szerepelni:

  • COMODORSADomainValidationSecureServerCA.crt
  • AddTrustExternalCARoot.crt
  • COMODORSAAddTrustCA.crt

SSL-tanúsítvány telepítése cPanel admin felületre

  1. Lépjünk be a cPanel adminfelületre, és kattintsunk az SSL/TLS menüre (Security box).
  2. Válasszuk ki az SSL telepítése és kezelése az Ön webhelye számára (HTTPS) menüpontot, majd kattintsunk az SSL webhelyek kezelése hivatkozásra. Görgessünk az SSL-webhely telepítése részhez, majd itt válasszuk ki a megfelelő tartományt (domaint), amelyre az SSL-t szeretnénk telepíteni.
  3. A Tanúsítvány mezőbe illesszük be a domain.hu.crt fáj tartalmát. A Titkos kulcs mezőbe illesszük be a CSR generátor által kigenerált Private key-t. A Hitelesítés szolgáltatói csomag mezőbe illesszük be a domain.hu.ca-bundle fájl tartalmát (vagy a fentebb megadott három tanusítvány tartalmát külön-külön egymás alá).
  4. Végül kattintsunk A tanúsítvány telepítése gombra. Ez után az oldalunk már https-sel tölt be böngészőben.

SSL-tanúsítvány telepítése i-MSCP admin felületre

  1. Lépjünk be az i-MSCP adminfelületére, majd navigáljunk el Domainek menüpontra, ahol kattintsunk az Áttekintés részben található Manage SSL certificate beállításra.
  2. Állítsuk Igenre az Allow HTTP Strict Transport Security beállítást, a HSTS: Set the max-age értékét pedig hagyjuk 31536000 másodpercen. (Javasolt)
  3. A Privát kulcs mezőbe illesszük be a CSR generátor által kigenerált Private key-t. A Tanúsítvány mezőbe illesszük be a domain.hu.crt fáj tartalmát. A Középszintű tanúsítvány(ok) mezőbe illesszük be a domain.hu.ca-bundle fájl tartalmát (vagy a fentebb megadott három tanusítvány tartalmát külön-külön egymás alá).
  4. Végül kattintsunk Létrehozás gombra. Ez után az oldalunk már https-sel tölt be böngészőben.

Meglévő HTTP elérésű oldalaink átirányítása HTTPS-re

Meglévő oldalaink átirányítását HTTPS-re többféle módon is végrehajthatjuk.

Beállítás a Joomla! alaprendszerben

Lépjünk be a Joomla! adminisztrációs oldalán a Globális konfigurációba, majd a Kiszolgáló fülön a Kiszolgáló beállításai szekcióban állítsuk a HTTPS kényszerítését a Teljes webhely értékre.

Beállítás a Yiero SSL Redirection beépülőben

Az ingyenes Yiero SSL Redirection beépülővel részletesebb beállítási lehetőségek állnak a rendelkezésünkre. Itt az SSL-t korlátozhatjuk menüpontokra, komponensre, cikkekre, valamint további finombeállítások is a rendelkezésünkre állnak.

Beállítás a htaccess fájlban

A következő kódot kell bemásolnunk a meglévő htaccess fájlunkban, amely a meglévő http hivatkozásinkat irányítja át https-re, valamint a www eléréseinket www nélkülire:

RewriteCond %{HTTP_HOST} ^www\.(.*)$ [NC]
RewriteRule ^(.*)$ https://%1/$1 [R=301,L]

RewriteCond %{HTTPS} !on
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

HSTS fejléc beállítása kódszinten

A következő kódot kell bemásolnunk a meglévő htaccess fájlunkban, hogy a böngésző automatikusan HTTPS segítségével kérje le az oldalainkat:

Header set Strict-Transport-Security "max-age=31536000" env=HTTPS

Ezek után el is készültünk az oldalunk HTTPS beállításaival.

0
0
0
s2sdefault
Log in to comment

Zotius profilkép
Zotius válaszolt a témára: #2 2017 febr. 01 11:54
Az imént ellátogatam a Google Earth oldalára.
Több, mint nevetséges, hogy annak a cégnek - a Google-nak - a weboldala használ "nem biztonságos" hitelesítést, amelyik bőszen hirdeti a világban, hogy már csak a https biztonságos kapcsolat a menő, meg hogy hátrébb helyezés a listákban, ha nem az, meg hűűű, meg húúúú...
Erre tessék:


:D :D :D
BlackHeart profilkép
BlackHeart válaszolt a témára: #3 2017 febr. 08 12:52
A htaccess beállításaival kapcsolatosan kérhetnék egy kis segítséget.
Eddig az oldalam esetén a www.<doman név> alakot használtam. A szolgáltatómnál van lehetőség SSL használatra. A cikkben lévő engedi www-vel és www nélkül is.
Azt, hogy tudom beállítani a htaccess-ben, hogy a forgalom továbbra is a www-s előtagon menjen?
kovacshazi profilkép
kovacshazi válaszolt a témára: #4 2017 febr. 08 12:59
RewriteCond %{HTTPS} on
RewriteCond %{HTTP_HOST} ^domainneved.hu [NC]
RewriteRule ^(.*)$ https://www.domainneved.hu/$1 [L,R=301] 
BlackHeart profilkép
BlackHeart válaszolt a témára: #5 2017 febr. 08 13:17
Köszi! Erre módosítottam én is. De biztos ami biztos megkérdeztem.

Az hogy átirányításra kerül https címre nem befolyásolja a googlben tárolt dolgokat?
kovacshazi profilkép
kovacshazi válaszolt a témára: #6 2017 febr. 08 13:20
Több oldalon is megcsináltuk, és eltárolt Google linkeket teszteltünk és simán vette az akadályt.
Ettől még a Googleban be kell állítani, hogy az oldal https lett.
BlackHeart profilkép
BlackHeart válaszolt a témára: #7 2017 febr. 08 13:33
"Ettől még a Googleban be kell állítani, hogy az oldal https lett."

Ez alatt mire gondolsz? Hol, hogyan tudom beállítani?
kovacshazi profilkép
kovacshazi válaszolt a témára: #8 2017 febr. 08 17:54
Ezt nálunk az optimalizáló szokta csinálni, de vagy az Analytics vagy a Seach Consolban be kell állítani, mert egyébként nem ad adatokat.
Bocsi, nem tudom pontosan melyik,de azt hiszem inkább az Analytics.
Balázs profilkép
Balázs válaszolt a témára: #9 2017 febr. 08 22:42

BlackHeart írta: "Ettől még a Googleban be kell állítani, hogy az oldal https lett."


Én, ha jól emlékszem az Analytics automatikusan átáll, a Google Search Console-ban én pedig töröltem a régi http-s címet, és hozzáadtam a https-t.
BlackHeart profilkép
BlackHeart válaszolt a témára: #10 2017 febr. 09 13:51
Ez hasznos volt, mert én meg kerestem, hogy hol lehet ez beállítani. De akkor ezek szerin csak töröl és hozzáad újra.
BlackHeart profilkép
BlackHeart válaszolt a témára: #11 2017 márc. 08 18:41
A htaccess-be beállítotam a kódot. De valamiért a böngésző megnyitja a sima http:// címet, is az nem irányítódik át a https:// címre. Miért lehet? Valamit nem jól állítottam be?
Balázs profilkép
Balázs válaszolt a témára: #12 2017 márc. 09 08:50
Esetleg próbáld meg azt, hogy a Joomla! adminban is átállítod a https kényszerítést.
BlackHeart profilkép
BlackHeart válaszolt a témára: #13 2017 márc. 09 12:48
Így már jobbnak tűnik a dolog. Még tesztelgetem. Köszi!
Inda30 profilkép
Inda30 válaszolt a témára: #14 2017 márc. 10 12:14
Üdvözlöm! Nagyon jó cikk, köszönjük.
Kérdésem lenne azzal kapcsolatban, hogy mi a teendő, ha CSR generátor kötelező jelleggel Cég nevet kér, de nincs cég!
Most akkor oda mit kellene írnom?
Köszönöm a választ előre is.
Balázs profilkép
Balázs válaszolt a témára: #15 2017 márc. 10 12:51
Domain validation (DV) szintű tanúsítvány esetén ez a mező tetszőleges adattal kitölthető, oldalnév stb. Ennél egyel magasabb szinten már bejegyzett szervezet kell, hogy legyen mögötte, amelyet ellenőriznek is.
Inda30 profilkép
Inda30 válaszolt a témára: #16 2017 márc. 10 13:49
Sikerült idő közben, de köszönöm a választ.
Másik gond, hogy a Mozilla ebbe a típusú tanúsítványba bele köt sajnos. Most keresgélem az okát.
A joomlacms.hu oldalt is lefogja, hogy a kapcsolat nem biztonságos. Tudom, hogy elvileg az, utána néztem, de ez marhára nem tesz jót egy weboldal forgalmának. Alapszintű felhasználók, simán vissza fognak fordulni és nem erőltetik az oldalra való tovább lépést meg kivétel hozzáadását. Szóval ezzel valamit kezdeni kellene.
Balázs profilkép
Balázs válaszolt a témára: #17 2017 márc. 10 13:58
Nálam nem jelez (53.0a2 (2017-03-06)).
Inda30 profilkép
Inda30 válaszolt a témára: #18 2017 márc. 10 14:04
Admin bejelentkezést nézed úgy látom.

Nézd a főoldalt, csatolok képet én is.
Inda30 profilkép
Inda30 válaszolt a témára: #19 2017 márc. 10 14:16
Frissíteni kellett a firefox-ot, mert nem szoktam azt használni. Az új verzióban már nincs gond vele. ;)
jemie profilkép
jemie válaszolt a témára: #20 2017 márc. 10 14:42
Nekem is gyakran dobja,hogy nem biztonságos a joomlacms. Ilyenkor átváltok chrome-ra.
Mondjuk tegnap egész nap 500-as hibát dobált ha hozzá akartam szólni egy kérdéshez.
Inda30 profilkép
Inda30 válaszolt a témára: #21 2017 márc. 10 14:48
Ha firefox, akkor töröld le a francba teljesen, és töltsd le a hivatalos oldalról a legfrissebbet. Onnantól nincs gond.
Balázs profilkép
Balázs válaszolt a témára: #22 2017 márc. 10 16:00
Én nem tapasztaltam ezeket a megjelenítési problémákat, de aki igen, az nyugodtan írhat verziószámokat.
Amivel én néztem:
Chrome 59.0.3037.0 canary (64 bit)
Opera 43.0.2442.1144 (PGO)
Firefox 54.0a2 (2017-03-10) (32 bites)
Microsoft Edge 38.14393.0.0
Balázs profilkép
Balázs válaszolt a témára: #23 2017 márc. 11 08:50
Firefox 52, és nem igazán látok problémát.
Trex profilkép
Trex válaszolt a témára: #24 2017 máj. 15 11:22
Sziasztok!

Beállítottam egy oldalon az SSL- protokollt. Ideáig minden ok.
Volt egy Joomla Fűző modulom, amelyik a Folkrádió lejátszóját adta az oldalhoz.
Ez https alatt nem jelenik meg.
Valahogy ez beállítható, vagy le kell mondanom róla?

Előre is köszönöm a válaszokat!
McGregor profilkép
McGregor válaszolt a témára: #25 tegnap 00:19
Sziasztok, próbálgatom én is az ssl beállítását az oldalamon. Google font-okat használ a sablon, de ssl esetén nem jeleníti meg őket. Valakinek ötlete van erre?