Инструкция по переходу на HTTPs

Переход на HTTPSОсобенности, проблемы и их решение

19 июня 2015

Что такое HTTPS?

Кокшаров СергейDevaka.ru

"Переход на HTTPS. Особенности, проблемы и их решение"

Расширение протокола HTTP

Зачем он нужен?



Шифрование данных обеспечивает их защиту от прослушивания или изменения

А конкретней? Зачем HTTPS нужен мне?



• В первую очередь, он нужен вашим пользователям. • Нужен для повышения доверия. • Для поддержания репутации. • Получения более точной статистики переходов. • HTTPs будет одним из ранжирующих факторов. • Скоро не будет сайтов на HTTP. • Поверьте, вам нужен HTTPs!

Мне нечего скрывать...

Примеры по безопасности



Владельцы сайтов пожаловались на полноэкранные баннеры в Wi-Fi сети московского метрополитенаhttp://siliconrus.com/2014/12/metro-ads/

Билайн автоматически добавляет тулбар с поиском Mail.Ruhttp://habrahabr.ru/post/257133/

Коммерческая СОРМ-like веб-аналитика уже у вашего провайдераhttp://habrahabr.ru/post/247465/

Сниффер пакетов Firesheep для перехвата незашифрованных cookiehttps://ru.wikipedia.org/wiki/Firesheep

SSLstrip от Мокси Марлинспайкаhttp://www.thoughtcrime.org/software/sslstrip/

Ваша задница намного ценнее, чем вы думаете.

Хорошо, как это работает?



• Для обеспечения HTTPS используется сертификат, который

состоит из паблик- и приватного ключа. Один используется

клиентом, другой сервером для шифрования и

расшифровывания запросов. • Используется длина ключа 40, 56, 128 или 256 бит. • Также используются другие вещи, типа

идентификационного номера сессии, параметры

шифрования, алгоритм сжатия и др.

Какие бывают сертификаты?



• Обычные (на один поддомен) • Wildcard (на несколько поддоменов) • EV - с раширенной проверкой • С поддержкой IDN (кириллических доменов)

На что обратить внимание?



• Центр сертификации (любой популярный) • Размер/длина ключа (не менее 256 бит) • Стоимость/сроки (можно бесплатный, если не нужна расширенная проверка

• Особенности вашего проекта (какой сертификат больше подходит)

Мифы, связанные с HTTPs



• HTTPS не кешируется • Нужен отдельный IP-адрес • HTTPS медленный • Сайту нужен HTTPS только на странице логина или оплаты

Как перейти на HTTPS



1. Изменяете ссылки во внутренней перелинковке 2. Исправляете вложения медиа-контента 3. Исправляете подключение внешних скриптов 4. Выбираете и приобретаете сертификат 5. Устанавливаете на сервер, настраиваете Host и

301 редирект на HTTPS 6. Исправляете ошибки, если нашли

Пошаговая инструкция

1. Ссылки во внутренней линковке



http://site.ru -> //site.ru

Убираем название протокола, чтобы сделать исходящие ссылки относительными

http://site.ru

2. Вложения медиа-контента



Также используем https или относительные ссылки для всех встраиваемых

видео, изображений, презентаций, подкастов...

3. Подключения внешних скриптов



Отображается так, если не безопасно

4. Выбор и приобретение сертификата



Почитайте отзывы про сертификат перед приобретением

5. Установка, Host, 301 редирект



В директиву Host файла robots.txt надо добавить протокол https

Настройте редирект с http версии сайта на https

Как перейти на HTTPS



7. Добавляете новую версию сайта в панель для вебмастеров

8. Изменяете адрес в панели 9. Если использовался Disawov Tool,

применяете к новому сайту

Пошаговая инструкция

7. Добавьте https-версию в панель для вебмастеров



Google Search Console

Панель Яндекса

8. Измените адрес в панели



Для Яндекса

Проблемы



• На стороне хостинга (надо тестировать сразу после

установки, в частности доступность и редиректы) • Большая работа по правке старого кода/контента. • Баги с используемыми системами рекламы и статистики. • Временная потеря трафика • Потеря лайков • Недоразумения с рекламодателями (из-за реферера).

Полезные ссылки



https://letsencrypt.org Проект для упрощения перехода на HTTPS

https://www.startssl.com Бесплатные сертификаты (правда не самые лучшие)

https://rus.gogetssl.com/domain-validation/comodo-positive-ssl/ Одни из дешевых сертификатов

http://lifehacker.com/5745086/ Что такое HTTPs и почему надо об этом позаботиться

https://www.youtube.com/watch?v=gF7DdPSg5o4 Вебинар Google про HTTPs

https://letsencrypt.org

https://www.startssl.com

https://rus.gogetssl.com/domain-validation/comodo-positive-ssl/

http://lifehacker.com/5745086/why-should-i-care-about-https-on-facebook-or-other-web-sites

https://www.youtube.com/watch?v=gF7DdPSg5o4

До встречи на следующих вебинарах!



Education

Инструкция по переходу на HTTPs