Što korisnik dobiva preko HTTPS-a
Zaštićena veza pomaže očuvati povjerljivost i integritet podataka u prijenosu te provjeriti identitet odredišta kroz certifikat. Ne provjerava jesu li tvrdnje trgovca istinite ili je li aplikacija bez propusta.
Obrazac može koristiti HTTPS, a svejedno pogrešno obrađivati podatke nakon primitka. Zbog toga se zaštita prijenosa i sigurnost obrade razmatraju odvojeno.
Izdavanje i obnavljanje
Mnogi hosting pružatelji imaju postupak za izdavanje i obnovu certifikata. Potrebno je provjeriti koje domene pokriva, radi li provjera kontrole domene i tko prati pogreške obnove.
Let's Encrypt objašnjava početne korake ovisno o hostingu i ACME klijentu. Dostupnost besplatnog certifikata ne znači da je svaka konfiguracija automatski pravilno postavljena.
Tri česte vrste problema
- Pogrešno ime: certifikat ne odgovara adresi koju korisnik otvara.
- Istek ili nepotpun lanac: preglednik ne može potvrditi valjanost veze.
- Miješani sadržaj: sigurna stranica pokušava dohvatiti resurse nesigurnim putem.
Rješenje nije uputa korisniku da zanemari upozorenje. Treba provjeriti odredište, konfiguraciju i konkretan resurs koji izaziva grešku.
Preusmjerenja i HSTS
Nakon pripreme HTTPS-a provjerite kako se ponaša HTTP adresa te odgovaraju li unutarnje poveznice i kanonski URL sigurnoj verziji. Posebna pravila mogu ovisiti o posredničkom serveru ili CDN-u.
HSTS uvodite tek kada razumijete njegov opseg i posljedice za poddomene. Za tehničke detalje koristite MDN dokumentaciju zaglavlja Strict-Transport-Security.
Kontrolna provjera vlasnika weba
Otvorite glavnu domenu i važne podstranice, provjerite resurse te dogovorite osobu odgovornu za obnovu. Za širi pregled nastavite na provjere sigurnosti weba, jer certifikat pokriva samo dio sustava.