SSL certifikát zdarma: stačí, nebo platit?
Pro naprostou většinu firemních webů a e-shopů certifikát zdarma stačí. Šifruje stejně dobře jako placený; rozdíl je v tom, co certifikační autorita ověřuje o majiteli, jak dlouho certifikát platí a kdo vám pomůže, když něco nepůjde. Platit má smysl jen v několika konkrétních situacích.
Aktualizováno
Šifrování za cenu nezáleží
Síla šifrování spojení se neurčuje cenou certifikátu, ale nastavením serveru: jakou verzi protokolu TLS a jaké šifry povolí. Bezplatný certifikát od autority, jako je Let’s Encrypt, a drahý certifikát od komerční autority zajistí na stejně nastaveném serveru totéž. Prohlížeč u obou zobrazí stejnou ikonu zabezpečeného spojení. Co certifikát dělá a jaké typy existují, shrnuje heslo SSL certifikát.
Proč je něco tak důležitého zdarma? Bezplatné autority stojí na automatizaci: server si certifikát vyžádá sám přes standardizovaný protokol (ACME), autorita automaticky ověří, že server ovládá doménu, a certifikát vydá bez lidské práce. Let’s Encrypt navíc provozuje nezisková organizace financovaná dary a sponzory. Nejde tedy o „zkušební verzi“, která po čase přestane fungovat.
Bezplatné certifikáty patří do skupiny DV – autorita ověří jen to, že žadatel ovládá doménu. Placené mohou být také DV, nebo OV a EV, u kterých autorita prověří i existenci firmy.
V čem se zdarma a placený skutečně liší
| Certifikát zdarma | Placený certifikát | |
|---|---|---|
| Ověření | Jen ovládání domény (DV), automaticky během chvíle. | DV, nebo i ověření firmy (OV, EV) s doložením dokladů. |
| Platnost a obnova | Krátká platnost, obnova se dělá automaticky. | Delší platnost, ale i ta se zkracuje; obnova často ručně. |
| Wildcard (*.domena.cz) | Lze, ale ověření probíhá přes záznam v DNS. | Lze, ověření podle postupu autority. |
| Podpora | Dokumentace a komunita, žádná osobní podpora. | Podpora prodejce, případně finanční záruka autority. |
| Údaje o firmě v certifikátu | Ne. | U OV a EV ano, viditelné v podrobnostech certifikátu. |
Pozor na jednu změnu, která se týká obou variant. Prohlížeče a certifikační autority se dohodly na postupném zkracování maximální platnosti všech veřejných certifikátů. Výhoda placeného certifikátu „na rok a nestarám se“ tím mizí – i u něj bude ruční obnova stále častější. Aktuální lhůty ověřte u své certifikační autority.
Kdy certifikát zdarma stačí
- firemní web, vizitka, blog nebo katalog služeb,
- e-shop, kde platba kartou probíhá na stránce platební brány,
- rezervační systém, klientská zóna nebo administrace webu,
- subdomény typu rezervace.vasefirma.cz – každá může mít vlastní certifikát, nebo je pokryje jeden pro více adres (víc o nich v hesle Subdoména),
- vždy, když hosting umí certifikát vydat a obnovovat automaticky.
Kdy má placený certifikát smysl
- Smlouva nebo zadávací podmínky výslovně žádají certifikát s ověřením organizace (OV nebo EV) – třeba u zakázek pro veřejný sektor, banky nebo velké firmy.
- Zařízení nebo systém neumí automatickou obnovu – starší servery, síťová zařízení, interní aplikace. Delší platnost tam ušetří práci, i když se postupně zkracuje.
- Potřebujete osobní podporu a nikdo z vašeho okolí se o certifikáty nestará.
Ceny placených certifikátů se liší podle typu a prodejce, proto je zde neuvádíme – najdete je v aktuálním ceníku konkrétní autority nebo hostingu.
Na co si u bezplatného certifikátu dát pozor
- Obnova musí opravdu běžet. Automat může selhat, když se změní DNS, přesměrování nebo nastavení serveru. Platnost sledujte nezávisle, například uptime monitoringem, který hlídá i expiraci certifikátu.
- Certifikát musí pokrýt všechny adresy – s www i bez něj a každou subdoménu, na které něco běží.
- Záznam CAA v DNS. Pokud ho doména má, určuje, které autority smějí certifikát vydat. Když v něm vaše autorita chybí, obnova selže. Jak záznamy v DNS fungují, vysvětluje heslo DNS záznamy.
- Certifikáty jsou veřejné. Každý vydaný certifikát se zapisuje do veřejných logů. Kdo je prohledá, uvidí i názvy vašich subdomén, třeba testovacího webu. Neskrývejte za neznámou subdoménu nic, co nemá být veřejné, a chraňte to heslem.
Certifikát je jen jedna část bezpečnosti webu. Zálohy, hesla a aktualizace rozebírá průvodce Zabezpečení webu.
Kolik vás certifikát stojí u nás
Za certifikát u nás neplatíte zvlášť. Weby v našem provozu mají každý svůj kontejner a SSL se v něm vydává i prodlužuje samo, bez vašeho zásahu. Provoz pokrývá tarif Light za 1 000 Kč měsíčně – spolu s hostingem, firemním e-mailem a formuláři. Tarif je bez závazku. Pokud vaše smlouva vyžaduje certifikát s ověřením organizace, nasazení naceníme předem podle požadavků (sazba 1 000 Kč za hodinu); samotný certifikát pak platíte jeho vydavateli.
Časté otázky
Pozná návštěvník, že mám certifikát zdarma?
Běžně ne. Prohlížeč u bezplatného i placeného certifikátu ukáže stejné zabezpečené spojení. Kdo si rozklikne podrobnosti, uvidí vydavatele a u certifikátu s ověřením organizace i název firmy. Na důvěru zákazníků to v praxi vliv nemá.
Je certifikát zdarma vhodný i pro e-shop s platbami kartou?
Pro šifrování spojení na webu ano. Samotné zadávání karty obvykle probíhá na stránce platební brány, která má vlastní certifikát a vlastní bezpečnostní pravidla. Požadavky platební brány na váš web si přečtěte v její dokumentaci.
Hosting mi certifikát účtuje každý rok. Mám přejít na bezplatný?
Zeptejte se nejdřív, co přesně platíte. Pokud jde o běžný certifikát ověřující jen doménu, bývá bezplatná varianta se stejnou funkcí dostupná i u vašeho hostingu. Pokud hosting automatickou obnovu bezplatných certifikátů nepodporuje, je to spíš důvod zvážit jiný hosting.
Co se stane, když automatická obnova selže?
Certifikát dál platí do data expirace, pak prohlížeč začne zobrazovat varování. Proto se vyplatí sledovat datum platnosti nezávisle na serveru, třeba monitoringem, který vás upozorní několik týdnů předem.
Potřebuji certifikát, když web nemá formulář ani e-shop?
Ano. Prohlížeče označují weby bez HTTPS jako nezabezpečené bez ohledu na obsah a certifikát chrání i to, aby někdo po cestě nepodvrhl stránku nebo odkazy. Bez certifikátu dnes web působí neudržovaně.