Certyfikat SSL w sklepie internetowym – czym jest i jaki wybrać?

Certyfikat SSL/TLS to wirtualny dokument znajdujący się na serwerze strony WWW, który potwierdza tożsamość właściciela witryny i umożliwia szyfrowanie danych przesyłanych między przeglądarką użytkownika a serwerem. Warto to rozróżnić: sam certyfikat nie zabezpiecza danych – odpowiadają za to protokoły szyfrowania SSL/TLS, do korzystania z których certyfikat „uprawnia” stronę. Skróty „SSL” i „TLS” często stosuje się zamiennie, choć to dwa różne protokoły.

SSL jest starszym standardem szyfrowania, stworzonym jeszcze w latach 90.; dziś już przestarzałym i wypartym przez znacznie bezpieczniejszy TLS, który stanowi jego rozwinięcie. Nawet jeśli kupujesz „certyfikat SSL” – tak naprawdę wdrażasz protokół TLS. SSL funkcjonuje już bardziej jako nazwa zwyczajowa.

Oba jednak działają na tej samej zasadzie:

1. Gdy przeglądarka nawiązuje połączenie z serwerem strony, wysyła najpierw prośbę o certyfikat. Jeśli go otrzyma, sprawdza, czy jest ważny, czy został wystawiony przez zaufany urząd certyfikacji i potwierdza tożsamość domeny.
2. Jeżeli wszystko się zgadza – przeglądarka oraz serwer uzgadniają algorytm szyfrowania i generują klucz, przy pomocy którego szyfrowane będą wszystkie informacje wprowadzane przez użytkownika: dane logowania, adresy, numery kart itd. Klucz szyfrujący jest unikalny dla tej jednej, konkretnej sesji.
3. Dane można rozszyfrować tylko z kluczem sesji. Jeśli ktoś próbowałby przechwycić pakiet danych w trakcie transmisji, zobaczyłby bezużyteczny ciąg znaków.
4. Co ważne – sam klucz sesji także jest zaszyfrowany, przy pomocy tzw. klucza publicznego, który serwer udostępnia przeglądarce wraz z certyfikatem SSL. Natomiast aby go odczytać, potrzebny jest klucz prywatny, przechowywany wyłącznie na serwerze strony.

Dziś praktycznie się nie zdarza, aby e-sklep nie miał certyfikatu SSL. Dlaczego?

Wiarygodność i współczynnik konwersji

Klienci są teraz bardzo wyczuleni na bezpieczeństwo swoich danych. A brak szyfrowania jest widoczny od razu po wejściu na stronę:

Każda przeglądarka – od Chrome’a po Safari – wyświetla po wejściu na stronę bez certyfikatu SSL/TLS jasny komunikat na pasku adresu, że witryna jest niebezpieczna, a dane użytkownika zagrożone. Zdecydowana większość potencjalnych klientów, mając na ekranie taki komunikat, od razu zrezygnuje z zakupów w sklepie. Pozostali? Duża szansa, że nawet jeśli zostaną na stronie, to na etapie płatności i tak się wycofają. Baymard Institute spytało ok. tysiąca konsumentów z USA, dlaczego tak chętnie porzucają pełne koszyki w e-sklepach. Aż 19% z nich robi to regularnie dlatego, że boją się podać np. dane swojej karty… co wynika właśnie z braku zaufania.

SEO

Jest jeszcze jeden powód. Już od 2014 roku Google oficjalnie traktuje obecność certyfikatu SSL jako jeden z czynników rankingowych dla wyników wyszukiwania. Na pierwszych stronach bardzo trudno znaleźć witryny, które nie mają szyfrowania danych – i to pokazuje, że zachęty giganta z Mountain View do wdrażania SSL rzeczywiście działają.

Jakie konsekwencje niesie brak certyfikatu SSL?

SSL w e-commerce to konieczność. Jeśli jednak zaczniesz sprzedaż bez certyfikatu, musisz liczyć się z tym, że:

• na wejściu stracisz zdecydowaną większość potencjalnych klientów;
• wypozycjonowanie strony sklepu na czołowe pozycje w Google będzie niemożliwe;
• będziesz mieć problem z wdrożeniem podstawowych narzędzi w sklepie; wiele systemów płatności online (np. PayU czy Przelewy24) wymaga aktywnego certyfikatu SSL, aby w ogóle mogły działać.

Certyfikaty SSL/TLS mają kilka „poziomów” – Domain Validation, Organization Validation oraz Extended Validation.

Tak jak wspomnieliśmy, jest kilka możliwości, aby zdobyć certyfikat SSL za darmo. Najpopularniejszą jest Let’s Encrypt, ale możesz też sprawdzić np. ZeroSSL; darmowe certyfikaty czasem wydają również dostawcy hostingu. I warto podkreślić, że są one równie bezpieczne, jak te płatne.

Natomiast jeżeli potrzebujesz certyfikatu z weryfikacją danych swojej firmy, wtedy jedyną opcją będzie któraś z płatnych usług. Certyfikat OV to z reguły koszt rzędu 400-600 zł rocznie, EV – co najmniej 1000-1500 zł rocznie; wszystko zależy oczywiście od liczby domen/subdomen oraz od tego, czy wraz z certyfikatem dostawca oferuje jakieś dodatkowe usługi, na przykład gwarancję finansową w razie wycieku danych. Mówimy tu o bardzo wysokich kwotach, nawet do miliona złotych – dla większych sklepów to może być dobry argument „za” płatnym certyfikatem.

A więc jaki SSL wybrać?

Jeśli prowadzisz mały sklep możesz bez obaw zacząć z darmowym certyfikatem i pomyśleć o przejściu na płatny wraz z rozwojem działalności.

Prowadzisz większy e-commerce, pracujesz głównie z klientami B2B lub działasz w branży o bardziej rygorystycznych standardach? Warto od razu zainwestować w certyfikat SSL na poziomie OV lub EV – wsparcie techniczne i gwarancje na wypadek wycieku powinny być warte kilkuset złotych rocznie, które przyjdzie Ci za nie zapłacić.

Jak zainstalować SSL? Wdrożenie samego certyfikatu w sklepie internetowym nie jest trudne; przez prawie całą procedurę powinien Cię przeprowadzić hostingodawca.

Pamiętaj też, że każdy certyfikat SSL ma swoją datę ważności, po której trzeba go odnowić. W przypadku darmowych opcji z reguły jest to 90 dni z możliwością automatycznego odnawiania – tak to działa w Let’s Encrypt. Płatny certyfikat otrzymuje się najczęściej na rok i, jeśli jest to certyfikat OV/EV, trzeba go odnowić ręcznie i przejść jeszcze raz przez weryfikację.