Перевірка SSL-сертифіката

Сертифікат розв’язує одну задачу: підтвердити, що ви говорите саме з тим доменом, який набрали, і що розмову ніхто не читає посередині. Він привʼязаний до імені, а не до власника чи вмісту. Тому напис про захищене з’єднання означає рівно те, що канал зашифрований, — і нічого не каже про чесність людей на іншому кінці.

Звідси головне непорозуміння з «замочком». Шахрайський магазин так само отримує сертифікат за кілька хвилин і так само показує захищене з’єднання: перевірка домену автоматична й безкоштовна, вона нікого не вивчає. Судити про надійність сайта треба за іншим — контактами, реквізитами, історією, відгуками поза самим сайтом.

Про платні й безкоштовні. Шифрування в них однакове: різниця в способі перевірки та в супровідних обіцянках. Сертифікати Let’s Encrypt видаються на 90 днів, і це не вада, а розрахунок на автоматичне оновлення, яке відбувається саме собою. Проблеми починаються там, де автооновлення не налаштували або воно тихо зламалось після переїзду — тоді сайт одного ранку зустрічає відвідувачів попередженням.

Чого перевірка не робить. Вона читає те, що сервер віддає при з’єднанні, і не судить про безпеку сайта: діркавий код, злитий пароль адміністратора чи шкідливий скрипт у шаблоні лишаються поза її зором. Вона також не бачить сертифікатів на інших піддоменах і не гарантує, що ланцюжок довіри складеться на старих пристроях — там своя, застаріла база кореневих центрів.