為什麼網站需要 SSL 憑證?HTTP 邁向 HTTPS 需要注意些什麼?

為什麼網站需要 SSL 憑證?HTTP 邁向 HTTPS 需要注意些什麼?

現在所有的網站幾乎都要有 SSL 憑證,簡單來說就是以往 http:// 的網站需要有 https:// 多了網站加密連線的機制在,為什麼那麼多網站積極的加上 SSL 憑證,就是因為 Google 搜尋非常在意這個部分,若是缺乏了 SSL 會嚴重影響到網站的 SEO,而且現在網路購物相當發達,要有安全的連線機制才能確保線上購物的安全,簡單來說你與網站的所有網路封包都是加密的,沒有任何人可以從中竊取任何隱私資訊。

簡單說明 SSL 加密機制

簡單說明 SSL 加密機制

以前我曾經當過 MIS,那時候很多工具可以分析所有 Client 的網路行為,譬如說去了哪些網站?送出了什麼資訊?對話聊天內容?信件傳送內容等等,在網路連線沒有加密的時代,只要有一個專門監看網路封包的工具,等於所有的資料是透明的,當然網路攻擊也會比較簡單。而 SSL 憑證網頁加密之後,等於當瀏覽器與網站連線時,就已經建立起一個已經加密的橋樑,你也可以想像成一條不透明的水管,中間流過的資料沒有人會知道,這就是 HTTPS 非常重要的安全機制。

啟用 HTTP/2 取代 HTTP/1.1

啟用 HTTP/2 取代 HTTP/1.1

對網站主來說,設定了 HTTPS 還可以啟用 HTTP/2 的超文字傳輸協定第 2 版,這跟 HTTP/1.1 在連線模式上有相當大的不同,連線一個網站頁面除了會向對方主機要求頁面檔案、CSS 檔案、JS 檔案與圖片檔案等等,一個頁面可能就要向主機要求數十個檔案,對網頁伺服器來說就是有數十個 Request;HTTP/2 的通訊協定可以大幅加速連線速度,因為只要建立一個連線後,所有的檔案傳輸都透過那一個連線,數十個 Request 變成只有一個 Request,減少了網頁伺服器的負擔,處理速度當然也會相對變快的,對站長們來說建立了 SSL 憑證之後,也可以再設定好 HTTP/2 的通訊協定,才能有效優化網站速度。(圖片來源與延伸閱讀:這裡

HTTPS 影響 SEO 關鍵字搜尋排名

HTTPS 影響 SEO 關鍵字搜尋排名

再來說到經營網站都很需要的 SEO 網路搜尋優化,Google 非常積極的推動 HTTPS,現在若是沒有 HTTPS 的話 Chrome、Firefox 瀏覽器都會標示成不安全的網站。在 2014 年的時候 Google 官方就已經正式宣布 HTTPS 已經列為搜尋引擎演算法之一,不過當時 SSL 憑證大多都付費居多,而且價額很昂貴,真正啟用網站加密的大多是比較權威性的大網站。但是到 2017 年之後若是網站沒有 HTTPS 會嚴重影響到 SEO 的排名,當然也是有人並不這樣認為,不過站長們就盡力把網站做到最好就是了,至少不要有不安全的標記出現。

為什麼 HTTPS 沒有綠色鎖頭

為什麼 https 沒有綠色鎖頭

理論上!網站只要加入了 HTTPS 的機制,在網站上面就會有綠色鎖頭的出現,不過並不是那麼簡單的,這真的要實作過才會知道,譬如以一般內容文章來說,原本嵌入的圖片是 http:// 的網址,當網站升級 https:// 之後,若嵌入的圖片網址沒有更改成 https:// 的話就會變成 mixed content 混和內容的狀態,有安全也有不安全的內容,這樣加總起來雖然網址是 https:// 開頭,不過實際上並不會給你綠色鎖頭唷!所以這也是站長們要留意的部分。(依照我自己的經驗來看,似乎免費憑證才會有這樣的狀態,付費憑證加入了 http:// 的內容也是綠色鎖頭)

檢查 SSL 的安全性

檢查 SSL 的安全性

目前線上最具指標性的 SSL 檢查網站就是 SSL Labs,他的評分主要分為憑證、協定支援、金鑰交換與加密強度,其實只要網址列的綠色鎖頭有出現,就代表網站經過加密連線,這是很基本的。不過若是能通過 SSL Labs 的 A+驗證也代表安全度是更高的,工程師們可以挑戰看看到底該如何設定,基本上網路上都有 A+ 評分的設定檔可以參考,也是努力做到最好吧!

SSL 付費憑證很貴嗎?SSL 免費憑證可靠嗎?

SSL 付費憑證很貴嗎?SSL 免費憑證可靠嗎?
圖片來源

SSL 付費憑證很貴嗎?其實 SSL 憑證也有很多不同的等級,以目前我所使用的遠振資訊 Certum 方案來說,還有分成 Commercial 方案、Trusted 方案與 Premium 方案,單一網域一年的價格分別是 1050 元、7000 元與 28000 元,甚至還有 VeriSign(Norton™ Secured Seal) 方案一年的價格就要 15000 元,此外還有不同頒發憑證的組織,像是 RapidSSL / GeoTrust / Comodo 方案。

自架網站的人得越來越多,有些人只是想要有一個簡單的網站,不靠網站來創造營收,網站空間可以選擇便宜的虛擬主機,若是額外負擔 SSL 憑證可能就覺得有點多了,所以免費憑證還是很有必要的,目前最夯的應該就是 Let's Encrypt 憑證,在使用上是真的不用付費,麻煩的事情就是三個月就要更新一次憑證,不過現在更新機制也很方便,坦白說也是可以設定自動更新的^^。

付費憑證與免費憑證在安全性上沒有差異,只是憑證發行組織的權威性不同,譬如說遠振資訊也有推台灣 TWCA SSL 伺服器數位憑證,這是由臺灣網路認證公司資本額達兩億兩千萬,結合證交所、集保公司、財金公司、網際威信等股東,組成令客戶信任的專業團隊。若是透過這樣的單位來認證,相對的信賴度也比較高,舉個簡單的例子來說,你打籃球打得非常好,麥可喬丹認證你是個籃球好手,跟你的體育老師認證你是籃球好手還是不同的,這個差異很明顯吧!因此若你的網站有購物消費等金流行為,建議採用付費憑證來提升別人對你的信賴程度。

免費 SSL 憑證 付費 SSL 憑證
基本的網域驗證  DV SSL 網域驗證  DV SSL
組織驗證 OV SSL
延伸驗證 EV SSL
30-90 天的有效期間 1-2 年的有效期間
沒有信任的驗證標章 有驗證標章
若有任何錯誤不會賠償 憑證加密失敗會賠償
 適合測試網站、部落格與論壇 涉及到金流交易的線上商業網站

本站 SSL 憑證用哪一家?

目前活動搭配虛擬主機方案加購 Certum Commercial SSL(單一網域 1 年),可享 SSL 999 元!

目前本站是使用遠振資訊 Certum Commercial 方案,其實自己安裝憑證比免費憑證還有稍有難度,坦白說在安裝過程中的確有很多不了解的地方,最後都是他們工程師直接在線上幫我完成的,若你也擔心自己不太會用的話,當然也可以和我有相同選擇,至少不怕自己裝不好。目前活動搭配虛擬主機方案加購 Certum Commercial SSL(單一網域 1 年),可享 SSL 999 元!方案參考:https://yji.tw/39d1ajA

本篇文章主要是以我自己的角度來看 SSL 憑證,若是想要了解更多更仔細的資訊,可以參考以下我整理好的資訊唷!

參考資料:

網站 SSL 憑證 HTTPS 推薦,哪裡購買有保障?

網站 SSL 憑證 HTTPS 推薦,哪裡購買有保障? 相關文章


參考內容推薦

[FAQ]如何申請、設定SSL憑證 (HTTPS),簡單SOP步驟 | ASP.NET專題實務 WebForm + MVC教學影片 -- MIS2000Lab.

摘要:[FAQ]如何申請SSL憑證 (HTTPS),簡單SOP步驟 ASP.NET專題實務 WebForm + MVC教學影片 -- MIS2000Lab. MIS2000 Lab.已推出20餘本電腦書,曾任資策會專任講師與

HTTPSSSL安全協議及些常見問題 @ 教學不落 :

HTTPS/SSL: 安全協議,有時也稱作密碼協議,是以 密碼學 為基礎的消息交換協議,其目的是在網路環境中提供各種安全服務。 密碼學是 網路安全 的基礎,但網路安全不能單純依靠安全的密碼演算法。 安全協議是網路安全的一個重要組成部分,我們需要通過安全協議進行 ...

免費SSL 憑證與付費的差異,該如何選擇?

只要是使用合法的SSL 憑證,安裝後都可以為網站啟用HTTPS 加密連線,以確保 ... 在連線發送的過程中讀取資料,藉此保障像是信用卡卡號、個人資料等傳輸的安全性。 ... 推薦對象, 個人用戶、非營利社群組織, 公司行號、政府機關 ... 簽發,但仍有失敗的風險需要承擔;付費憑證的用戶可以根據效期方案選擇購買1 年 ...

[教學] 快快樂樂申請 ssl 憑證 certificate signed by a CA for your domain

如果是透過線上申請 RapidSSL , 將 csr 的資料填入,填寫完畢後,會將 crt 所需要的檔案透過 email 送到信箱中。 需要將 xxx.xxx.csr 檔案內容複製,貼上到申請表格中,讓服務商可以產生出來憑證。 將 Intermediate 和 SSL 合成 當取得 crt 檔案之後,會發現有兩 ...

Generate and configure SSL Certificate

Learn how can generate and configure SSL Certificate in Trend Micro Mobile Security 注意:TMMS 需要私有 SSL 憑證或是由公開發行機構所簽發的 SSL 憑證,確保行動裝置與 TMMS 通訊伺服器 (Communication Server) 之間透過 HTTPS 的通訊安全。 ...

SSL憑證 <又稱 SSL安全性憑證 or TLS certificate> (ssl是什麼;憑證錯誤;安全性憑證)

SSL憑證像身分證一般可以在網際網路上證明自己的身份。在資料的加密傳輸開始之前,伺服器透過「有效」的SSL憑證告訴用戶端自己是值得信賴的伺服器,錯誤的憑證會導致憑證錯誤或憑證錯誤 瀏覽已封鎖或此網站的安全性憑證有問題或憑證過期這樣的問題。 ...

說明 Microsoft Internet Information Services (IIS) 5.0 和 6.0 的狀態碼

每當有網站訪客試圖透過 HTTP 或檔案傳輸通訊協定 (FTP) 存取伺服器上的內容時,只要該伺服器執行 Microsoft Internet Information Services (IIS) 5.0 及 6.0,IIS 就會傳回一個數字代碼,表示存取成功。 這個狀態碼會記錄在 IIS 記錄檔中,而且也可能會顯示在網 ...

讓你的網站免費支持 HTTPS 及 Nginx 平滑升級

今天給網站做了個升級,全站訪問都升級成了https訪問,瞬間感覺高大尚了不少,但願搜尋引擎也會因此給我高一點的權重。下面介紹一下為什麼做這件事和我都做了些什麼。為什麼要升級到https這個問題其實很簡單:因為更安全,更安全,更安全! ...

為什麼我的網站需要HTTPS加密? @ ludeya的部落格 :

為什麼我的網站需要HTTPS加密? 1. 企業形象:網址有HTTPS,顯示綠色鎖頭的網站,被清楚標示為安全網站,不僅讓訪客安心,提升訪客對網站信任度,有效提升企業形象。 若顯示為不安全網站,可能會讓想進一步洽詢的訪客卻步,喪失得到合作客戶的機會。 2 ...

驗證您的憑證要求 | SSL 憑證

您提出 SSL 憑證要求 (標準保障 | 豪華保障及延伸驗證 | 代碼和磁碟機簽署) 後,將需要驗證您在提出要求時所提供的所有資訊。我們需驗證的資訊要視您購買的憑證類型而定: 標準保障 (最常用) 豪華保障 延伸驗證 代碼和磁碟機簽署 更多資訊 HTTPS 是新的必備安全性 ...