Bez certyfikatu wszystko, co ktoś wpisze na stronie, leci przez sieć otwartym tekstem: hasło do panelu klienta, dane z formularza, numer telefonu. W publicznym Wi-Fi da się to podejrzeć. Certyfikat szyfruje połączenie między przeglądarką a serwerem. Potwierdza też, że przeglądarka rozmawia z prawdziwym serwerem tej domeny, a nie z kimś podstawionym po drodze.
Przeglądarki oznaczają strony bez HTTPS jako niezabezpieczone, a Google traktuje HTTPS jako jeden z sygnałów przy ocenie stron (SEO). Klient, który przy formularzu widzi ostrzeżenie, zastanowi się dwa razy, zanim wpisze swoje dane.
Darmowy czy płatny
Do szyfrowania wystarcza darmowy certyfikat DV, np. z Let’s Encrypt. Szyfruje tak samo jak płatny. Płatne certyfikaty OV i EV dodają sprawdzenie firmy, ale w pasku adresu przeglądarki wyglądają tak samo jak darmowe. Wybiera się je wtedy, gdy wymaga tego polityka bezpieczeństwa firmy albo umowa z partnerem.
Certyfikat obejmuje konkretne nazwy. Jeśli sklep działa pod adresem sklep.firma.pl, certyfikat musi obejmować także tę nazwę. Certyfikat typu wildcard obejmuje wszystkie subdomeny jednego poziomu, np. sklep.firma.pl i blog.firma.pl.
Na co uważać
- Wygaśnięcie. Gdy certyfikat straci ważność, przeglądarka zamiast strony pokaże ostrzeżenie na cały ekran. Na dobrze ustawionym hostingu odnowienie dzieje się samo, ale ktoś musi to monitorować.
- Mieszana zawartość. Strona na https, która ładuje zdjęcia albo skrypty przez zwykłe http, traci część ochrony. Przeglądarki takie elementy blokują albo próbują pobrać przez https, a gdy się nie da, na stronie brakuje zdjęć lub funkcji.
- Dwie wersje strony. Po wdrożeniu certyfikatu wszystkie adresy http trzeba przekierować na https. Wtedy ludzie i Google zawsze trafiają do jednej wersji.