Lets Encrypt - czy darmowy certyfikat SSL wystarczy?

Sprzedawcy płatnych certyfikatów straszą, że darmowy SSL jest „gorszy". Sprawdzamy fakty: czym Lets Encrypt różni się od certyfikatów komercyjnych i w których (rzadkich) sytuacjach warto dopłacić.

Krótka odpowiedź

Dla zdecydowanej większości stron firmowych i sklepów: tak, Lets Encrypt w zupełności wystarczy. Szyfrowanie jest DOKŁADNIE tym samym szyfrowaniem co w certyfikatach za setki złotych - przeglądarka pokazuje tę samą kłódkę, Google traktuje tak samo. Płatne certyfikaty różnią się nie kryptografią, lecz zakresem walidacji i dodatkami, które mają znaczenie w konkretnych niszach.

Czym jest Lets Encrypt

To niekomercyjny urząd certyfikacji (non-profit wspierany przez gigantów branży), który wystawia certyfikaty DV (Domain Validation) za darmo, automatycznie, na 90 dni z automatycznym odnowieniem. Krótki okres ważności to zaleta bezpieczeństwa: certyfikaty odnawiają się same, zanim wygasną - o ile hosting robi to poprawnie (nasz robi; co gdy automat zawiedzie, opisuje tekst o wygasłym certyfikacie).

DV, OV, EV - co naprawdę kupujesz w płatnym certyfikacie

  • DV (walidacja domeny) - potwierdza kontrolę nad domeną; to robi Lets Encrypt i większość płatnych,
  • OV (walidacja organizacji) - wystawca sprawdza istnienie firmy; dane firmy siedzą w szczegółach certyfikatu (użytkownik musi ich AKTYWNIE poszukać - przeglądarki nie pokazują tego przy kłódce),
  • EV (walidacja rozszerzona) - najgłębsza weryfikacja; dawny „zielony pasek z nazwą firmy" w przeglądarkach ZNIKNĄŁ lata temu, więc efekt wizualny jest dziś taki sam jak DV,
  • wildcard (*.twojadomena.pl) - jeden certyfikat na wszystkie subdomeny; uwaga: Lets Encrypt też wystawia wildcardy (przez DNS-01),
  • gwarancje finansowe w płatnych - ubezpieczenie na wypadek błędnej emisji; przypadki wypłat są egzotyczne.

Kiedy płatny certyfikat MA sens

  1. wymogi korporacyjne/przetargowe - kontrahent lub regulacja wprost żąda OV/EV,
  2. branże wysokiego zaufania (finanse, ubezpieczenia), gdzie OV bywa elementem polityki bezpieczeństwa,
  3. nietypowe systemy - stare urządzenia/integracje wymagające konkretnego łańcucha CA,
  4. preferencja długiej ważności i wsparcia wystawcy - certyfikat na rok z opieką zamiast automatu.

Jeśli jesteś w tych sytuacjach - mamy certyfikaty komercyjne z pomocą we wdrożeniu. Jeśli nie - nie dopłacaj: to najczęstszy zbędny koszt w rachunku za utrzymanie strony.

Dobre praktyki niezależnie od wyboru

  • certyfikat ma obejmować domenę z www i bez (i używane subdomeny - kiedy subdomena),
  • wymuś HTTPS przekierowaniem 301 i popraw mieszane treści (obrazki po http) - inaczej kłódka „z wykrzyknikiem",
  • po każdej zmianie DNS/hostingu sprawdź certyfikat testem SSL,
  • podstawy działania HTTPS - w przewodniku o certyfikatach SSL.

Na naszym hostingu Lets Encrypt instaluje się i odnawia automatycznie dla każdej domeny i subdomeny - zero kliknięć, zero opłat.

Powiązane poradniki

Powiązane usługi McProdukt

Zobacz również