Widzisz kłódkę w pasku przeglądarki i oddychasz z ulgą. Ale ta kłódka mówi tylko, że połączenie jest szyfrowane, nie że jest dobrze zrobione. Gdy jakieś narzędzie wystawia twojemu certyfikatowi ocenę, streszcza kilka rzeczy naraz. Przetłumaczmy je.
HTTPS to nie kratka, to spektrum
HTTPS oznacza, że ruch między użytkownikiem a twoim serwerem podróżuje zaszyfrowany TLS-em, tak że nikt po drodze nie może go odczytać ani zmienić. Na razie dobrze. Ale są dobre i złe sposoby, żeby to zrobić, i tu wchodzi jakość.
Wersja TLS ma znaczenie
TLS ewoluował. Stare wersje (TLS 1.0 i 1.1) mają znane słabości i są oficjalnie wycofane. Zdrowo jest dziś serwować TLS 1.2 i TLS 1.3 i wyłączyć stare. Jeśli twój serwer wciąż akceptuje stare protokoły dla kompatybilności, obniżasz poprzeczkę dla wszystkich.
Wygaśnięcie: najgłupsza i najczęstsza awaria
Certyfikaty wygasają, często co 90 dni. Gdy jeden wygaśnie, przeglądarka pokazuje czerwony ekran ostrzeżenia i twoi użytkownicy uciekają. Większość platform odnawia automatycznie, ale jeśli używasz własnej domeny albo nietypowego proxy, pilnuj daty. To rodzaj awarii, która milczy aż do dnia, w którym pęka.
Na co jeszcze patrzy dobra ocena
- Że łańcuch certyfikatów jest kompletny i przeglądarka ufa wystawcy.
- Że certyfikat obejmuje właściwą domenę (włącznie z
www, jeśli go używasz). - Że oferowane szyfry są nowoczesne i nie zawierają złamanych algorytmów.
- Że naprawdę przekierowujesz z
httpnahttps, nie zostawiając otwartych drzwi.
Dlaczego to ważne, nawet gdy aplikacja jest mała
Słabe TLS to nie tylko ryzyko bezpieczeństwa: przeglądarki karzą za nie, niektóre usługi odrzucają połączenie i robi złe wrażenie. A jeśli obsługujesz logowania albo płatności, jest wręcz nie do negocjacji.
Sprawdź swój TLS ze Scanaris
Scanaris robi przegląd tylko do odczytu jakości twojego HTTPS: akceptowane wersje TLS, ważność i wygaśnięcie certyfikatu oraz czy twoje przekierowanie na HTTPS jest dobrze ustawione. Wszystko z publicznych informacji, bez dotykania twojego serwera. Jeśli coś kuleje, tłumaczy to i daje ci fix prompt. Przeskanuj swoją stronę i zrozum wreszcie, co kryje się za twoją kłódką.