Co tak naprawdę daje kłódka przy adresie

Kłódka przy adresie to dziś standard — przeglądarki wprost straszą użytkownika, gdy jej nie ma. Warto wiedzieć, co dokładnie oznacza, bo krąży na jej temat sporo nieporozumień.

Trzy rzeczy, które daje

• Poufność. To, co wysyłasz i odbierasz, jest zaszyfrowane. Ani dostawca internetu, ani właściciel sieci Wi-Fi w kawiarni nie zobaczą treści formularza czy hasła.
• Nienaruszalność. Nikt po drodze nie podmieni zawartości strony. Bez szyfrowania da się doklejać do cudzych stron obce reklamy albo złośliwe skrypty — i zdarzało się to na masową skalę.
• Potwierdzenie adresu. Certyfikat poświadcza, że rozmawiasz z serwerem tej właśnie domeny, a nie z podstawionym pośrednikiem.

Czego nie daje

I tu jest najczęstsze nieporozumienie. Kłódka nie mówi nic o uczciwości właściciela strony. Sklep, który nie wyśle zamówienia, i strona wyłudzająca dane też mogą mieć poprawny certyfikat — jest darmowy i wydawany automatycznie.

Kłódka poświadcza kanał, nie intencje. Wiarygodność sprzedawcy nadal sprawdzasz po staremu: dane firmy, numer NIP, regulamin, opinie w niezależnych serwisach.

Szyfrowane połączenie z oszustem jest nadal połączeniem z oszustem.

Dlaczego dziś to obowiązek

Nawet przy stronie wizytówce bez formularzy brak certyfikatu kosztuje:

• przeglądarki oznaczają taką stronę jako niezabezpieczoną, co odstrasza część odwiedzających,
• Google od lat traktuje szyfrowanie jako jeden z sygnałów przy ustalaniu pozycji,
• szereg nowszych funkcji przeglądarek — geolokalizacja, powiadomienia, dostęp do kamery — działa wyłącznie po HTTPS.

Trzy typowe potknięcia przy wdrożeniu

Mieszana zawartość. Strona wczytana po HTTPS, ale zdjęcia albo skrypty pobierane po HTTP. Przeglądarka albo pokaże ostrzeżenie, albo w ogóle zablokuje te pliki. Wszystkie adresy muszą być szyfrowane.

Brak przekierowania. Certyfikat jest, ale stara wersja adresu nadal działa. Wtedy ta sama strona jest dostępna pod dwoma adresami — Google widzi duplikat, a użytkownik może trafić na wersję bez szyfrowania. Jedna reguła przekierowania w konfiguracji serwera załatwia sprawę.

Wygasły certyfikat. Darmowe certyfikaty są ważne krótko i odnawiają się automatycznie — ale tylko wtedy, gdy automat faktycznie działa. Warto ustawić sobie powiadomienie, bo wygasły certyfikat to pełnoekranowe ostrzeżenie zamiast strony.

Certyfikat nic dziś nie kosztuje i jest w każdym sensownym hostingu. Nie ma powodu, żeby go nie mieć.

Robimy strony, które są szybkie nie tylko na papierze.