Как сделать сайт безопасным для браузеров

Как сделать сайт надёжным в Google Chrome

Рассказываем, что делать, если на сайте появилась пометка «Ненадёжный»

С 2017 года Google Chrome стал различать, есть ли на сайте SSL-сертификат. Если есть, в адресной строке появится пометка «Надёжный». Если нет или сертификат установлен неправильно — «Ненадёжный». В Google считают, что это побудит пользователей оставлять личные данные только на защищённых сайтах.

Разберёмся, какой сайт Google Chrome посчитает ненадёжным, и как это исправить.

Браузер подскажет, если на сайте небезопасно вводить пароль или номер карты

Как до 2017 года отличали надёжные сайты от ненадёжных

Отличительные знаки при переходе на разные сайты в браузере были и раньше. Просто не все обращали на них внимание.

На сайте с SSL-сертификатом в адресной строке браузера был только значок замка. Вот как это выглядело в популярных браузерах:

На сайте без SSL-сертификата не появлялось предупреждений, хотя на них небезопасно вводить личную информацию. Выглядят эти сайты вот так:

На сайте с неправильно установленным SSL-сертификатом в Firefox появлялось предупреждение: замочек с желтым треугольником. В других браузерах сайт выглядит безопасно. Но если вы оставите на нём личные данные, их всё равно смогут перехватить.

Первым браузером, который изменил подход к предупреждениям, стал Google Chrome

Иногда пометки помогали определить, есть на сайте сертификат или нет. Но они не давали понять, что на сайтах без SSL-сертификатов опасно оставлять личную информацию: номера банковских карт, пароли, адреса электронной почты и т.д. Первым браузером, который изменил подход к предупреждениям, стал Google Chrome.

Хотите сделать свой сайт защищенным?

Как изменились отметки безопасности в 2017 году

В 2016 году сотрудники Google провели социологическое исследование: узнали у 1329 человек, как часто они обращают внимание на значки в адресной строке браузера. Больше половины участников признались, что замечают значки, но не всегда понимают их значение.

В 2017 году дополнительные знаки безопасности появились в Google Chrome и Firefox. В других браузерах ничего не изменилось. Рассмотрим изменения подробнее.

SSL в Google Chrome

В январе 2017 года разработчики Google выпустили обновление, в котором появились дополнительные отметки безопасности.

Когда пользователь переходит на сайт в Google Chrome, браузер проверяет, установлен ли на сервере SSL-сертификат и подсказывает надёжен сайт или нет. Разберём, как выглядят уведомления.

На сайте с SSL-сертификатом в адресной строке Google Chrome появляется зелёный замок и надпись «Надёжный».

На сайте с неправильно установленным SSL-сертификатом возле адреса страницы появляется красный треугольник и надпись «Ненадёжный».

Есть четыре причины, по которым браузер может показать такое сообщение:

1. Сайт использует протокол HTTPS, но на сервере нет SSL-сертификата.

2. Сертификат установили неправильно. При этом на странице отобразится название ошибки. В базе знаний Google есть страница с описанием ошибок.

3. Установлен самоподписанный сертификат. Браузеры распознают не все сертификаты. Если вы установили бесплатный SSL-сертификат от неизвестного производителя, в Google Chrome отобразится ошибка.

4. Сертификат устарел. У сертификатов бывают разные алгоритмы шифрования. Стандартным считается алгоритм SHA-2. Если сертификат использует предыдущий алгоритм — SHA-1, в браузере появится предупреждение.

На сайте без SSL-сертификата появляется серый кружок и надпись «Ненадёжный».

О каждом нововведении Google заранее рассказывает в блоге. Следите за обновлениями, чтобы быть в курсе.

SSL в Firefox

В январе 2017 разработчики Mozilla выпустили обновление, в котором появился новый значок для сайтов без SSL-сертификата.

При переходе на сайт, где используется протокол HTTP и есть контактные формы, возле адреса страницы появится перечёркнутый значок.

Кроме того, когда пользователь вводит пароль, рядом с контактной формой появляется предупреждение, что данные могу перехватить. Вот как это выглядит в браузере:

В будущем разработчики Firefox планируют отображать предупреждения на всех сайтах, которые не используют протокол HTTPS. Об этих и других изменениях можно почитать в блоге компании Mozilla.

Что делать, если сайт помечен как ненадёжный

Установите SSL-сертификат

Каждый раз, когда пользователь вводит личную информацию на сайте без сертификата, есть риск, что её перехватят злоумышленники. Мы хотим, чтобы пользовательские данные оставались в безопасности. В отдельной статье мы разбираем сертификаты по категориям, чтобы вам было проще выбрать подходящий.

Настройте SSL-сертификат

Если у вас уже есть SSL-сертификат, но браузер не распознаёт его, обратитесь за помощью к вашему SSL-провайдеру. Для тех, кто покупал сертификат у нас, работает служба поддержки. Ребята помогут разобраться в чём проблема и посоветуют решение. Отвечаем на ваши вопросы в чате, по электронной почте и по телефону. Работаем круглосуточно и без выходных.

Как сделать свой сайт надежным: переход на https и виды ssl-сертификатов

Обложка для статьи: Как сделать свой сайт надежным: переход на https и виды ssl-сертификатов

С ростом кибер-преступлений владельцам веб-сайтов крайне важно знать, как предоставить своим клиентам безопасное соединение. Кроме того, Google обещает к июлю 2018 года помечать все сайты, которые работают по протоколу HTTP, как “Незащищенные”. Чтобы пополнить ряды “Надежных” веб-сайтов, необходимо установить SSL-сертификат на свой сайт или интернет-магазин. Но прежде нужно разобраться в том, что такое SSL-сертификат, какие бывают виды сертификатов безопасности, в чем их отличие и как перевести свой сайт на HTTPS.
В этой статье мы расскажем о том, что такое SSL-сертификат, какие бывают сертификаты безопасности, и какие у них отличия и особенности. Что такое SSL-сертификат? Мы уже рассказывали о SSL-сертификатах и том, что переход на https сегодня скорее необходимость. SSL-сертификаты позволяют предоставить безопасное соединение между сайтом и пользователем. Соединение по протоколу https защищает конфиденциальные данные, такие как данные о транзакциях, номера пластиковых карт или данные для авторизации, которыми пользователи обмениваются в ходе каждой сессии. Таким образом, SSL-сертификат позволяет использовать протокол https, который гарантирует, что информация останется конфиденциальной, а онлайн-транзакции — под защитой. Как работает SSL-сертификат?
SSL-сертификат использует криптографию с открытым и закрытым ключом. Ключи представляют из себя длинные последовательностями случайных чисел. Открытый ключ известен вашему серверу и используется для шифрования любого сообщения. Закрытый же ключ используется для дешифровки сообщения. Сказано — показано. Если Маша отправит сообщение Тане, она зашифрует его открытым ключом Тани, а единственным способом прочитать сообщение является дешифровка сообщения с помощью закрытого ключа Тани. Таким образом, Таня — единственная, у кого есть закрытый ключ, поэтому она сможет расшифровать сообщение Маши. Вывод: Если третье лицо перехватывает сообщение до того, как Таня его расшифрует, все, что получит злоумышленник, — абракадабру, которую нельзя будет взломать даже с помощью специальных программ. Если перевести пример на веб-сайт, то передача сообщений от Маши к Тане — взаимодействие веб-сайта и веб-сервера. Зачем нужен SSL-сертификат? SSL-сертификат защищает вашу конфиденциальную информацию, такую как данные кредитной карты, имена пользователей и пароли. А также:

Изменяется статус ресурса в строке браузера, что повышает доверие пользователей
Увеличивается вероятность конверсии, так как пользователи уверены, что данные их карт не будут переданы третьим лицам
Google увеличивает позиции сайта или интернет-магазина в поисковой выдаче

Сертификат безопасности позволит вашему сайту или интернет-магазину предоставить вашим посетителям защищенное соединение, а также уверенность в том, что данные их кредитных карт и другие персональные данные не будут скомпрометированы. Кроме того, в блоге Google Chrome появилась новость о том, что к июлю 2018 года, с выходом Google Chrome версии 68, все сайты, которые работают по протоколу HTTP будут отмечаться как ненадежные (“Не защищено” в российском варианте)

Существует множество различных типов SSL-сертификатов, основанных на количестве принадлежащих им доменов и поддоменов, таких как:

Стандартный SSL-сертификат (Single Domain) — сертификат, который создается для защиты одного уникального домена или поддомена. При условии, что на сайте есть поддомены, которые тоже необходимо защитить шифрованием — такой SSL-сертификат не подойдет. Во всех остальных случаях, для защиты одного уникального доменного имени прекрасно справляется обычный SSL-сертификат.

Пример корректной работы Стандартного SSL-сертификата:

Пример, при котором возникает ошибка и Стандартный SSL-сертификат не работает:

Вайлкард SSL-сертификат (Wildcard SSL)

WildCard SSL — сертификат безопасности, который сохранит вам деньги и время, так как он предоставляет защищенное соединение для основного домена и неограниченного количества поддоменов сайта. И нужно учитывать, что это все — один сертификат. Wildcard SSL работает по такому же принципу, что и обычный SSL-сертификат, позволяя вам предоставлять пользователям защищенное соединение между вашим сайтом и браузером вашего клиента. Отличие лишь в том, что один вайлдкард SSL покрывает все поддомены основного домена сайта. Для примера рассмотрим внедрение wildcard SSL на поддомены сайта *.example.ru:

Если на вашем сайте большое количество поддоменов, то вы можете сэкономить значительную сумму денег, установив wildcard SSL-сертификат.

Сертификат на несколько доменов (Multi-Domain SSL) — такой сертификат защищает несколько доменных имен. Один мультидоменный SSL-сертификат может предоставить защищенное соединение для 100 уникальных доменных имен, в том числе поддомены.

Google стимулирует сайты и интернет-магазины делать интернет безопаснее для рядовых пользователей. Чтобы пополнить ряды “Надежных” сайтов, перейти на HTTPS, повысить позиции вашего ресурса в поисковых системах, необходимо купить SSL-сертификат с установкой на вашем сайте.

Рассказать друзьям

Режим «Только HTTPS» в Firefox

Этот режим повышает безопасность, заставляя использовать безопасное зашифрованное соединение под названием HTTPS при соединении со всеми веб-сайтами. Большинство веб-сайтов уже поддерживает HTTPS, а некоторые поддерживают как HTTP, так и HTTPS. Включение этого режима гарантирует, что при соединении со всеми веб-сайтами будет использоваться HTTPS, а значит, все они будут безопасны. Узнайте больше о преимуществах HTTPS и о том, как включить режим «Только HTTPS».

1 Чем отличаются HTTP и HTTPS?
2 Включение режима «Только HTTPS»
- 2.1 Включение/Отключение режима «Только HTTPS»
Чем отличаются HTTP и HTTPS?

HTTP расшифровывается как «протокол передачи гипертекста» (англ. «HyperText Transfer Protocol») и является основополагающим протоколом для Интернета, шифрующим базовые взаимодействия между браузерами и веб-серверами. Дело в том, что данные, передаваемые с сервера в браузер с помощью обычного протокола HTTP, не зашифрованы, а значит, их можно просмотреть, украсть или изменить. Протоколы HTTPS решают эту проблему, используя сертификаты SSL («уровня защищённых сокетов» — англ. «Secure Sockets Layer»), которые создают безопасное зашифрованное соединение между сервером и браузером, защищающее личную информацию.

Включение режима «Только HTTPS»

При использовании режима «Только HTTPS» все ваши соединения зашифрованы и безопасны. Таким образом, вы можете не волноваться, что кто-то будет отслеживать содержимое посещаемых вами страниц или взломает ваше соединение с веб-сайтом, чтобы украсть пароли, данные банковских карт или другую личную информацию. Это особенно полезно, когда вы используете общественную сеть Wi-Fi и не можете быть уверенными в целостности Интернет-соединения.

Например, если в режиме «Только HTTPS» вы наберёте адрес сайта как http://example.com , Firefox автоматически заменит его на https://example.com :

Включение/Отключение режима «Только HTTPS»
1. На Панели меню в верхней части экрана нажмите Firefox и выберите Настройки . Нажмите кнопку меню и выберите Настройки .
2. Выберите Приватность и защита слева.
3. Прокрутите страницу до заголовка «Режим «Только HTTPS».
4. Выберите необходимый пункт из списка: включить или не включать режим «Только HTTPS» или же включить его только в приватных окнах.
Безопасная версия сайта недоступна

Некоторые веб-сайты поддерживают только HTTP — в таких случаях установить соединение с помощью HTTPS невозможно. Если режим «Только HTTPS» включён, но HTTPS-версия сайта недоступна, откроется страница «Безопасная версия сайта недоступна»:

Нажмите кнопку Перейти на HTTP-версию , чтобы принять риск и перейти на HTTP-версию сайта. Режим «Только HTTPS» для этого сайта будет временно отключён.

Нажмите кнопку Назад , если не хотите использовать любые незашифрованные соединения.

Отключение режима «Только HTTPS» для определённых сайтов

Если режим «Только HTTPS» включён, но вы часто посещаете веб-сайт, не поддерживающий HTTPS, или вам кажется, что веб-сайт неправильно отображает определённые элементы страницы, вы можете отключить режим «Только HTTPS» для этого сайта.
1. Нажмите на значок замка в адресной строке.
2. В выпадающем меню под заголовком «Режим «Только HTTPS» выберите Отключён .
Добавление исключений для HTTP-версий веб-сайтов в режиме «Только HTTPS»

Если веб-сайт, которому вы доверяете, не отображается правильно, вы можете отключить для него режим «Только HTTPS». Исключения позволяют вам открывать HTTP-версию веб-сайта в режиме «Только HTTPS». Исключения могут быть применены временно, до конца сессии, или навсегда. Чтобы добавить исключение для веб-сайта:
1. На Панели меню в верхней части экрана нажмите Firefox и выберите Настройки . Нажмите кнопку меню и выберите Настройки .
2. Выберите Приватность и защита слева.
3. Прокрутите страницу до заголовка «Режим «Только HTTPS».
4. Выберите «Включить режим «Только HTTPS» во всех окнах».
5. Нажмите Управление исключениями… , чтобы открыть диалоговое окно «Исключения».
6. Введите точный адрес HTTP-версии веб-сайта, для которого хотите отключить режим «Только HTTPS».
7. Нажмите Отключить , чтобы навсегда отключить режим «Только HTTPS» для этого веб-сайта, или Временно отключить , чтобы отключить его до конца текущей сессии.
8. Нажмите Сохранить изменения .
Примечание: Исключения нельзя добавлять для приватных окон. Если вы хотите узнать больше о HTTPS-соединениях в приватных окнах, прочтите статью «HTTPS по умолчанию в приватном просмотре».

Эти прекрасные люди помогли написать эту статью:

Обходим проверку сертификата SSL

В этом кратком обзоре я хотел бы поделиться своим опытом, как отключить проверку SSL для тестовых сайтов, иначе говоря, как сделать HTTPS сайты доступными для тестирования на локальных машинах.

В современное время https протокол становится все популярней, у него масса плюсов и достоинств, что хорошо. Правда для разработчиков он может вызывать легкий дискомфорт в процессе тестирования.

Всем известно, что при посещении сайта у которого “временно” что-то случилось c сертификатом вы обнаружите предупреждение, которое показывается, если сертификат безопасности не является доверенным net::ERR_CERT_AUTHORITY_INVALID?

Привет онлайн-кинотеатрам

Все современные браузеры показывают сообщение об ошибке HSTS

Что такое HSTS

HSTS (HTTP Strict Transport Security) — это механизм защиты от даунгрейд-атак на TLS, указывающий браузеру всегда использовать TLS для сайтов с соответствующими политиками.

Самый простой способ обхода данного запрета — это, разумеется, нажатие на вкладку “Дополнительные” и согласиться с Небезопасным режимом.

Но не во всех браузерах как оказывается, есть данная возможность. Так я столкнулся с данной проблемой в Chrome на Mac OS

Разработчики данной операционной системы настолько обеспокоены безопасностью пользователей, что даже убрали доступ в «Небезопасном режиме» к сайту, несмотря на то, что это сайт владельца устройства.

Ну что ж, поскольку, вести разработку в других, более сговорчивых браузерах было не комфортно, вот способы как обойти эту проблему:

— Все хромоподобные браузеры (Chrome, Opera, Edge …) могут открыть небезопасную веб страницу, если на английской раскладке клавиатуры набрать фразу:

thisisunsafe

прямо на данной веб странице. Это даст возможность работать с сайтом без оповещение об ошибке на момент текущей сессии браузера, пока вы не закроете вкладку Chrome.

— Если же вам предстоит более длительная работа с сайтом, то рекомендую для этих нужд создать отдельного тестового пользователя на рабочем столе и указать ему необходимы флаги.

Для Windows

C:\Program Files (x86)\Google\Chrome\Application\chrome.exe» —ignore-certificate-errors

/Applications/Google\ Chrome.app/Contents/MacOS/Google\ Chrome —ignore-certificate-errors —ignore-urlfetcher-cert-requests &> /dev/null

Achtung! Данные манипуляции необходимо выполнять с выключенным Chrome приложением, иначе чуда не произойдет.

Если вы оставите сертификат ненадежным, то некоторые вещи не будут работать. Например, кэширование полностью игнорируется для ненадежных сертификатов.

Браузер напомнит, что вы находитесь в небезопасном режиме. Поэтому крайне не рекомендуется шастать по злачным сайтам Интернета с такими правами доступами.

*Так же есть метод с добавлением сертификатов тестируемого сайта в конфиги браузера Настройки->Безопасность->Настроить сертификаты->Импорт… но мне он показался не продуктивным и очень муторным, поэтому не привожу

Надеюсь моя краткая статья кому-то пригодится при разработке и тестировании сайтов =)
- ssl сертификаты
- ssl
- web-разработка
- безопасность сайтов
- https
- тестирование сайтов
- security
- google chrome
- Веб-разработка
- Google Chrome
- Браузеры
- Тестирование веб-сервисов
Похожие публикации: