Teeme selgeks: mis asi on HTTPS ja miks peaks selle enda kodulehele lisama?

Tõenäoliselt on sullegi mõnda veebilehte külastades brauseriribalt silma jäänud, et sellesama saidi aadressi alguses on kunagise standardi “HTTP” asemel “HTTPS”. Tavalisele internetikasutajale ei pruugi see suurt midagi öelda, ent tegelikkuses on tegu ühe olulisima turvalisust puudutava elemendiga veebis.

Mida kujutab endast HTTPS, miks see oluline on ja kuidas seda oma kodulehele lisada?

Turvalisem ja lihtsasti leitavam veeb

Mõistagi liigub erinevatest kodulehtedest ja e-poodidest läbi väga palju tundlikku informatsiooni ja on enesestmõistetav, et päris igaüks ei tohiks seal olevatele andmetele ligi pääseda.

Siin tulebki mängu HTTPS, mis tagab turvalise andmete edastamise. Sisuliselt krüpteerib see saadetava info ära taolisel viisil, et ainult selle vastuvõtja saab seda näha. Kui veebilehel puudub HTTPS tugi, siis tähendab see seda, et kogu internetis liikuv info on avalik ja sellele pääsevad ka kõrvalised osapooled lihtsa vaevaga ligi.

Osad brauserid isegi näiteks hoiatavad külastajat veebilehtede eest, mis ei kasuta krüpteeritud ühendust.

Inimesed on internetiturvalisuse osas üha teadlikumaks saanud, mistõttu on HTTPSi lisamine iga äriga seotud veebi jaoks ülimalt tähtis, sest nii tagad enda klientidele kindlustunde, et nende isiklikud andmed kellegi teise kätte ei satuks.

Samuti mõjutab HTTPS-i olemasolu ka suuresti SEO-d. Nimelt tõstavad paljud otsingumootorid tahapoole need veebisaidid, mis ei kasuta turvalist ühendust. Mõnel juhul võidakse see üldsegi blokeerida otsingutulemustest.

Kuidas HTTPS oma kodulehele lisada?

HTTPS-i lisamine kodulehele ei nõua õnneks spetsiaalseid IT-alaseid teadmisi ning sellega saab hakkama peaaegu igaüks. Kui sinu veebilehte majutab Zone, siis ei pea isegi muretsema selle pärast, sest seal on kõikidel uutel veebidel aktiveeritud Let’s Encyrpti automatiseeritud sertifikaaditeenus, mida kasutatakse HTTPS-i pakkumiseks. Küll aga võib veebirakenduse seadistamine vajada pisut seadistuste muutmist ja teatavatel juhtudel pisiparandusi koodis. Kui peaksid hätta jääma, siis küsi julgesti abi meie klienditoelt.

Kui su veebilehel ei peaks mingil põhjusel veel HTTPS tuge olema, siis selle aktiveerimine on ülimalt lihtne. Let’s Encrypt sertifikaadi tellimine virtuaalserverisse on võimalik läbi serveri halduse menüüst Veebiserver -> Let’s Encrypt. Lahtrist vali hosti nimi” võta oma domeeninimi ja klõpsa “Genereeri Let’s encrypt sertifikaat”. Ja 15 minuti möödudes võimaldabki sinu veebiserver edaspidi HTTPS ühendusi.

Käesolev blogipostitus on sündinud koostöös DigiGeeniusega.

Mis &*%*#! sertifikaati see pank minult pangalingi jaoks tahab?

Meie maandumis-lehtede analüütikas tuleb domeenide ja virtuaalserverite kõrval välja üks blogipostitus – Pangalink 30 minutiga. Selle esimeses kommentaaris leiab Gunnar, et koos kõige juurdekuuluvaga läheb pangalink kliendile maksma ikkagi rohkem kui 30 minutit (nõus) ning ülejäänud diskussioon demonstreerib, et see aeg võib vabalt kuluda ka arusaamisele sellest, kuidas tekitada vajalik privaatne võti ja avaliku võtme sertifikaat.

Kümne aastaga on muutunud täpselt niipalju, et e-poe-tarkvara on ühe klikiga paigaldatav, samuti pangalingi pluginad/laiendused mida leiab nii raha eest (enamusele levinud platvormidest ja makseviisidest pakub e-abi.ee) kui tasuta (vt Konekti WooCommerce, Multoni Magento ning EveryPay WooCommerce ja Magento moodulid).

Uuematel tegijatel ehk Maksekeskusel ja EveryPay’l on kaupmehe-keskkonnast võimalik kopeerida vastavad kasutajatunnused ja saladused, aga pangalingi lepingu sõlmimise järel tuleb umbes selline kiri:

Hea klient,

Selle kirja manuses on digiallkirjastatud leping ning meie panga avalik võti. Palun saatke meile enda sertifikaat, et saaksime selle süsteemi lisada ja pangalingi aktiveerida.

lugupidamisega,
kliendihaldur

Ahsoo. Mul on nüüd olemas panga avalik võti mille sees on kirjas BEGIN CERTIFICATE ja ma pean saatma vastu … ilmselt mingi teistsuguse asja? Ja kust ma selle sertifikaadi saan? Googeldamine annab ID-kaardi sertifikaadid ja siis midagi sellist:telli-sertifikaat

Zone Helpdesk ütleb, et serveri sertifikaati pangalingi jaoks ostma ei pea, võib mingi OpenSSL nimelise asja abil ise genereerida. Noh, käsurealt. Tahate, loen telefonis käsu ette? Aga kuidas ma aru saan, et on õige? Kuhu ma pidin selle kopeerima? Ja nii edasi, ja tagasi…

Teeks asja lihtsamaks – kuna kaupmehe privaatvõtit ja sertifikaati kasutatakse vaid tema e-poe suhtluses pangaga kinnitamaks, et pood tõesti kliendilt raha tahab saada, võime need üsna rahuliku südamega ka veebis genereerida (turva-auk on pigem uuendamata e-pood ja lihtne adminni-parool kui see võtmepaar).

Näiteks nii – see väike veebitööriist loob igal külastusel unikaalse privaatvõtme ja sellega allkirjastatud sertifikaadi, kõrval lühike videoõpetus nende kasutamisest:

Kaupmehe salajase võtme ja sertifikaadi generaator pangalinkide jaoks

Kommentaarid / täiendusettepanekud teretulnud.

Testitud hetkeseisuga LHV ja SEB peal, aga ka teised pangad on teretulnud viitama, näiteks nii:

Hea klient,

Selle kirja manuses on digiallkirjastatud leping ning meie panga avaliku võtme sertifikaat. Pangalingi aktiveerimiseks on meil vaja teie sertifikaati, selle saate koos oma privaatvõtmega luua https://blog.zone.ee/pangalingid, samast leiab ka kasutamisõpetuse.

lugupidamisega,
kliendihaldur