תעודת SSL לאתר: מה היא, איך מחדשים ומה בודקים

תעודת SSL לאתר היא קובץ אימות שמותקן בשרת ומאפשר לדפדפן להתחבר לאתר בחיבור מוצפן, כלומר בכתובת שמתחילה ב-https. בלי תעודה תקפה הדפדפן מציג לגולש אזהרה, ולפעמים חוסם את הכניסה לגמרי. לכל אתר עסקי, גם אתר תדמית קטן בלי חנות, כדאי שתהיה תעודה תקפה.

המדריך עובר על מה התעודה עושה, אילו סוגים יש ואיזה מתאים לעסק, איך עוברים ל-HTTPS בלי לאבד תנועה מגוגל, מה זה תוכן מעורב, ואיך מוודאים שהתעודה לא פגה בלי שאף אחד שם לב.

מה זה תעודת SSL לאתר?

תעודת SSL לאתר היא אישור דיגיטלי שקושר את שם הדומיין לזוג מפתחות הצפנה, ומאפשר לדפדפן לוודא שהוא מדבר עם האתר הנכון ולהצפין את המידע שעובר ביניהם. השם המקובל הוא SSL, אבל הפרוטוקול שבשימוש היום נקרא TLS. בפועל, כשמדברים על תעודת SSL מתכוונים לתעודה שמאפשרת HTTPS.

איך יודעים שיש לאתר תעודה?

הכתובת מתחילה ב-https, ולחיצה על הסמל שליד הכתובת בדפדפן מציגה את פרטי התעודה: למי היא הונפקה, מי הנפיק אותה ועד מתי היא בתוקף.

מי מנפיק תעודות?

רשויות אישור, גופים שהדפדפנים סומכים עליהם. התעודה מותקנת בשרת, ולכן בדרך כלל מי שמטפל בה הוא חברת האחסון או מי שמתחזק את האתר.

למה כל אתר עסקי צריך HTTPS?

כי HTTPS מגן גם על האתר וגם על הגולשים. לפי ההסבר של web.dev למה HTTPS חשוב, HTTPS עוזר למנוע מגורמים זרים להתערב בתקשורת בין האתר לדפדפן, ומונע מהם להאזין לה. אותו מקור מציין שטעות נפוצה היא לחשוב שרק אתרים עם מידע רגיש צריכים HTTPS, כי כל בקשה לא מוגנת עלולה לחשוף מידע על הגולשים.

גם אתר תדמית בלי טפסים?

כן. גם בלי טופס, מי שגולש בחיבור לא מוצפן חשוף לשינוי של התוכן בדרך, למשל הזרקת פרסומות. ורוב האתרים העסקיים כן כוללים טופס, שעליו פירטנו במדריך לטופס יצירת קשר.

מה הגולש רואה בלי תעודה?

דפדפנים מסמנים עמודים לא מוצפנים כלא מאובטחים. לגולש שמתלבט אם לפנות לעסק, הסימון הזה ליד הכתובת הוא סיבה טובה לחזור לתוצאות החיפוש.

אילו סוגים של תעודות SSL יש?

יש שלוש רמות אימות: תעודת אימות דומיין (DV) שמוודאת רק שמי שביקש אותה שולט בדומיין, תעודת אימות ארגון (OV) שבודקת גם את פרטי הארגון, ותעודת אימות מורחב (EV) עם בדיקה מקיפה יותר. לכל שלושתן אותה רמת הצפנה. ההבדל הוא בבדיקה שנעשתה לפני ההנפקה, לא בחוזק של החיבור, ולכן הבחירה בתעודת SSL לאתר עסקי היא שאלה של אימות ולא של הגנה.

איזו תעודה מתאימה לעסק קטן?

לרוב אתרי העסקים הקטנים, תעודת אימות דומיין מספיקה. היא מאפשרת HTTPS מלא, והגולש רואה את אותו סימון בדפדפן.

ומה עם תעודה לכמה כתובות?

יש תעודות שמכסות כמה שמות, למשל את הדומיין עם www ובלי www, ותעודות שמכסות את כל תתי הדומיין. כדאי לוודא שהתעודה מכסה כל כתובת שבה האתר עונה.

האם תעודת SSL חינמית מספיקה לאתר עסקי?

ברוב המקרים כן. לפי השאלות הנפוצות של Let's Encrypt, הארגון מנפיק תעודות אימות דומיין בחינם, והן מתאימות לכל שרת שמשתמש בשם דומיין. הם מציינים שאינם מנפיקים תעודות OV או EV, בעיקר כי אי אפשר להנפיק אותן באופן אוטומטי. כלומר, תעודה חינמית מספקת את אותה הצפנה, עם בדיקה של בעלות על הדומיין בלבד.

מה החיסרון של תעודה חינמית?

תוקף קצר יותר. לפי אותו מקור, תעודות ברירת המחדל שלהם תקפות ל-90 יום, והם ממליצים לחדש אותן כל 60 יום. לכן החידוש חייב להיות אוטומטי.

איך מקבלים תעודה כזו?

רבות מחברות האחסון מתקינות ומחדשות תעודה חינמית בלחיצה בלוח הבקרה. על מה עוד לבדוק אצל חברת אחסון פירטנו במדריך לבחירת אחסון.

מה זה תוכן מעורב ולמה הוא שובר את ה-HTTPS?

תוכן מעורב הוא עמוד שנטען ב-HTTPS אבל מושך תמונות, סקריפטים או קבצי עיצוב בכתובות HTTP לא מאובטחות. לפי ההסבר של web.dev על תוכן מעורב, בקשות כאלה מחלישות את האבטחה של העמוד כולו, ורוב הדפדפנים חוסמים היום תוכן מעורב. גם כשיש לאתר תעודת SSL תקפה, תוכן מעורב יכול לגרום לדפדפן לסמן את העמוד כלא מאובטח.

מה ההבדל בין פעיל לסביל?

תוכן סביל הוא תמונות, וידאו ושמע, ותוכן פעיל הוא סקריפטים, קבצי עיצוב ומסגרות. לפי אותו מקור, תוכן פעיל מסוכן יותר, כי תוקף שמשנה אותו יכול להשתלט על העמוד כולו.

מה קורה לתמונה בכתובת HTTP?

לפי web.dev, במקרים מסוימים Chrome משדרג אותה לבד ל-HTTPS. אם אין לה גרסה מאובטחת, היא פשוט לא נטענת, והגולש רואה חור בעמוד.

איך מעבירים אתר מ-HTTP ל-HTTPS בלי לאבד תנועה?

מתקינים תעודת SSL לאתר, מפנים כל כתובת HTTP לכתובת ה-HTTPS המקבילה בהפניה קבועה, מעדכנים קישורים פנימיים ותגיות canonical לכתובות המאובטחות, ומחליפים כתובות HTTP של תמונות וסקריפטים. לפי ההנחיות של גוגל להעברת אתר עם שינוי כתובות, מעבר מ-HTTP ל-HTTPS הוא סוג של העברת אתר עם שינוי כתובות, ולכן ההפניות הן החלק החשוב ביותר: כל עמוד ישן צריך להוביל לעמוד המקביל, לא לעמוד הבית.

איזו הפניה משתמשים?

הפניה קבועה מסוג 301, מכל כתובת ישנה לכתובת המדויקת החדשה. איך עושים את זה נכון ומה בודקים אחרי פירטנו במדריך להפניות 301.

מה עוד מעדכנים?

את מפת האתר, את תגיות ה-canonical ואת הנכס ב-Search Console. על canonical ועל כפילויות בין גרסאות של אותו עמוד פירטנו במדריך לתוכן כפול ותגית canonical.

מה קורה כשתעודת SSL פגה?

הדפדפן מציג לגולש עמוד אזהרה במקום האתר, ורוב הגולשים לא ימשיכו משם. מבחינת הגולש האתר נראה כמו אתר מסוכן, גם אם שום דבר אחר בו לא השתנה. טפסים מפסיקים להביא פניות, וקמפיינים ממשיכים לשלוח תנועה לעמוד אזהרה. לכן תעודת SSL לאתר שפגה היא תקלה שצריך לתקן באותו יום.

למה תעודות פגות בלי שמישהו שם לב?

כי החידוש האוטומטי נשבר בשקט: שינוי בהגדרות הדומיין, העברת אחסון, או כרטיס אשראי שפג אצל ספק תעודה בתשלום. ההודעה על הפקיעה נשלחת לפעמים לכתובת מייל שאף אחד לא קורא.

איך מונעים את זה?

מוודאים שהחידוש אוטומטי, יודעים מי אחראי עליו, ומגדירים התראה חיצונית שבודקת את תאריך התפוגה. זה סעיף קבוע במדריך לתחזוקת אתר עסקי.

מה בודקים אחרי שמתקינים תעודה?

בודקים שהאתר נפתח ב-https בכל הגרסאות שלו, עם www ובלי, שכל כתובת http מפנה לגרסה המאובטחת, שאין אזהרות של תוכן מעורב בכלי המפתחים של הדפדפן, ושהתעודה מכסה את כל השמות שבהם האתר עונה. אחר כך עוברים על העמודים החשובים: עמוד הבית, עמודי השירות והטפסים.

איך מוצאים תוכן מעורב?

פותחים את כלי המפתחים בדפדפן, בלשונית הבעיות או במסוף, וטוענים את העמוד. דפדפנים מדווחים שם על משאבים שנטענו בכתובת לא מאובטחת.

ומה עם הטופס?

שולחים פנייה לבדיקה ובודקים שהיא הגיעה. טופס ששולח את המידע לכתובת http ישנה עלול להיכשל אחרי המעבר.

מי אחראי על תעודת ה-SSL של האתר?

מי שמנהל את השרת, בדרך כלל חברת האחסון או מי שמתחזק את האתר, אבל בעל העסק צריך לדעת מי זה. כשתעודת SSL לאתר פגה, השאלה הראשונה היא תמיד מי מחדש אותה, ובלי תשובה ברורה התקלה נמשכת. כדאי שהפרטים האלה יהיו כתובים אצלכם, יחד עם הגישה לחשבון האחסון ולדומיין.

מה כדאי לבקש מהספק?

שהתעודה מתחדשת אוטומטית, שיש התראה לפני תפוגה, ושהתעודה מכסה את כל הכתובות של האתר. על מה עוד לבקש מספק אבטחה ותחזוקה פירטנו במדריך לאבטחת אתר לעסק קטן.

ומה קורה במעבר אחסון?

התעודה לא עוברת לבד. צריך להנפיק או להתקין אותה מחדש בשרת החדש לפני שמעבירים את הדומיין. פירטנו את הסדר הנכון במדריך להעברת אתר לאחסון חדש.

האם HTTPS מספיק כדי שהאתר יהיה מאובטח?

לא. HTTPS מגן על המידע בדרך בין הגולש לשרת, אבל לא על השרת עצמו. אתר עם תעודה תקפה עדיין יכול להיפרץ דרך סיסמה חלשה, תוסף לא מעודכן או טופס בלי הגנה. התעודה היא שכבה אחת מתוך כמה, והיא הבסיס שבלעדיו שאר השכבות לא שוות הרבה.

מה עוד צריך?

עדכונים קבועים, סיסמאות חזקות, הגנה על טפסים וגיבויים שנבדקו. על הגיבויים, שהם הקו האחרון כשמשהו משתבש, פירטנו במדריך לגיבוי אתר לעסק.

איך מתחילים?

מבדיקה של מה שקיים: מי מחזיק את הגישות, מתי התעודה פגה, ומתי היה הגיבוי האחרון. שלוש שאלות שרוב בעלי העסקים לא יודעים לענות עליהן.

מה עושים כשהאתר מסומן כלא מאובטח?

בודקים קודם אם יש תעודה בכלל ואם היא בתוקף, ואחר כך אם יש תוכן מעורב. לפי web.dev, כשיש תוכן מעורב סביל, רוב הדפדפנים מציינים בשורת הכתובת שהעמוד לא מאובטח גם כשהעמוד עצמו נטען ב-HTTPS. אם התעודה תקינה ועדיין מופיעה אזהרה, הסיבה בדרך כלל היא משאב שנטען בכתובת http.

איך מוצאים את המשאב הבעייתי?

בכלי המפתחים של הדפדפן, שמציג את הכתובת המדויקת שנחסמה או שהוזהר עליה. בדרך כלל זו תמונה ישנה בתוכן או סקריפט של צד שלישי.

מתי לבקש עזרה?

כשהבעיה חוזרת בכמה עמודים או מגיעה מהתבנית עצמה. בדיקה כזו כדאי לעשות בכל פרויקט של בניית אתרים לעסקים, לפני העלייה לאוויר ואחריה.

תעודת SSL לאתר היא הבסיס של כל אתר עסקי: היא מצפינה את החיבור, מונעת מהדפדפן להזהיר את הגולשים, ומאפשרת לטפסים לעבוד בביטחון. לרוב העסקים תעודה חינמית עם חידוש אוטומטי מספיקה. מה שחשוב הוא לדעת מי אחראי על החידוש, לבדוק שאין תוכן מעורב, ולוודא שכל כתובת ישנה מפנה לגרסה המאובטחת.

אם האתר שלכם מסומן כלא מאובטח או שאתם לא יודעים מתי התעודה פגה, פנו אלינו ונבדוק יחד.

שאלות נפוצות על תעודת SSL לאתר