Grafika AISSL to jedna z tych rzeczy, o których słyszy się dopiero wtedy, gdy przestają działać. Wyjaśniam, czym jest naprawdę, co się dzieje bez niego i dlaczego samo włączenie certyfikatu to dopiero połowa roboty.
Co to właściwie jest
Certyfikat szyfruje połączenie między przeglądarką odwiedzającego a serwerem. Bez niego wszystko, co ktoś wpisuje na stronie - adres e-mail w formularzu, hasło, numer telefonu - wędruje przez sieć otwartym tekstem, czytelnym dla każdego, kto jest po drodze: operatora, administratora publicznego wi-fi, właściciela sieci w hotelu.
Certyfikat robi jeszcze jedną rzecz, o której mówi się rzadziej: potwierdza, że serwer po drugiej stronie faktycznie należy do tej domeny. To zabezpieczenie przed podstawieniem fałszywej strony pod prawdziwy adres.
Co widzi klient bez SSL
Nie brak kłódki. Widzi ostrzeżenie „Niezabezpieczona” przy adresie, a przy wchodzeniu w pole formularza - komunikat, że wpisywane dane mogą zostać przechwycone. W niektórych przeglądarkach jest to pełnoekranowa strona z czerwonym ostrzeżeniem, którą trzeba świadomie ominąć.
Nikt tego nie omija dla sklepu, o którym pierwszy raz słyszy. To nie jest utrata konwersji - to utrata odwiedzin, zanim jeszcze zaczną się liczyć.
Co z Google
Szyfrowane połączenie jest czynnikiem rankingowym od ponad dekady. Sam w sobie nie wyniesie strony na pierwsze miejsce, ale jego brak działa jak stały minus - i, co ważniejsze, uniemożliwia korzystanie z części nowszych rozwiązań, które wymagają bezpiecznego połączenia.
Czego nie załatwia samo włączenie
To jest fragment, który pomija większość poradników. Sam certyfikat to początek, nie koniec.
- Przekierowanie - stary adres bez szyfrowania musi trwale przekierowywać na nowy. Inaczej w Google istnieją dwie wersje tej samej strony i konkurują ze sobą.
- Mieszana treść - jeśli strona jest szyfrowana, ale wczytuje zdjęcie albo skrypt starym sposobem, przeglądarka i tak pokaże ostrzeżenie. To najczęstsza przyczyna zniknięcia kłódki po pozornie udanym wdrożeniu.
- Odnowienie - certyfikaty wygasają, część co trzy miesiące. Musi odnawiać się automatycznie, bo wygasły certyfikat daje gorsze ostrzeżenie niż jego brak.
- Odnośniki wewnętrzne - w treści stron zostają stare adresy. Każdy z nich to niepotrzebne przekierowanie i wolniejsze wczytywanie.
Ile to kosztuje
Podstawowy certyfikat jest darmowy i w większości hostingów włącza się go jednym przełącznikiem. Płatne mają sens w dwóch sytuacjach: gdy potrzebujesz certyfikatu obejmującego wiele subdomen albo gdy chcesz potwierdzenia tożsamości firmy, nie tylko domeny.
Dla zwykłej strony firmowej i typowego sklepu darmowy w zupełności wystarczy. Nie daj sobie wmówić inaczej - różnica w szyfrowaniu jest żadna, różnica dotyczy wyłącznie tego, co zostało zweryfikowane.
Jak sprawdzić u siebie
Otwórz stronę i kliknij w kłódkę. Jeśli jest, sprawdź jeszcze dwie rzeczy: czy wpisanie adresu bez „https” przenosi na wersję szyfrowaną, i czy kłódka jest na każdej podstronie, nie tylko na głównej. Najczęściej wypada koszyk albo strona kontaktu - czyli akurat te, na których ktoś wpisuje swoje dane.
Przy budowie stron wszystkie cztery punkty z listy wyżej są częścią wdrożenia, nie osobną pozycją w wycenie. Jeśli zastanawiasz się nad zmianą serwera, napisałem osobno, jaki hosting wybrać - certyfikat jest jednym z kryteriów. A jeśli szukasz powodów, dla których strona nie zamienia odwiedzin w zapytania, SSL jest jednym z kilku - resztę zebrałem w tym tekście.
