SSL ו-HTTPS

HTTPS הוא ברירת המחדל, לא תוספת

תעודת SSL (או בשמה המדויק, TLS) מצפינה את מה שעובר בין הדפדפן לשרת ומאשרת שהגולש מדבר עם האתר הנכון. היום דפדפנים מסמנים אתר בלי HTTPS כלא מאובטח, ותעודה בסיסית זמינה בחינם — כך שהשאלה כבר לא אם לעבור, אלא איך לעשות את זה בלי תקלות.

רוב הבעיות לא נוגעות לתעודה עצמה אלא למה שמסביב: הפניות לא נכונות, תוכן שנטען עדיין ב-HTTP, תעודה שפג תוקפה בלי שאיש שם לב, או הגדרה לא תואמת בין Cloudflare לשרת.

מתחילים כאן

• מה זה HTTP — איך הדפדפן והשרת מדברים, ומה ה-S מוסיף.
• תעודת SSL ומעבר נכון ל-HTTPS — סוגי תעודות, תעודה חינמית, וסדר הפעולות במעבר.
• Cloudflare — כולל ההבדלים בין מצבי ההצפנה שלו.

כשמשהו לא עובד

• שגיאות תעודה — ERR_CERT_AUTHORITY_INVALID, תעודה שפג תוקפה, ושרשרת חסרה.
• תוכן מעורב — תמונות וסקריפטים שעדיין נטענים ב-HTTP אחרי המעבר.
• לולאת הפניות — התקלה הקלאסית כשההצפנה מוגדרת לא נכון בין שכבות.

לא לחכות שהלקוחות יגלו

תעודה שפג תוקפה מורידה את האתר בפועל — הדפדפן מציג אזהרה מלאה, ורוב הגולשים עוזבים. ניטור זמינות שבודק גם את תוקף התעודה מתריע על כך מראש. נושאים קרובים בתגיות הפניות וCloudflare.

סדר הפעולות במעבר ל-HTTPS

מעבר נכון נראה כך: מתקינים תעודה ומוודאים שהיא תקינה, מעדכנים את כתובת האתר בהגדרות המערכת, מחליפים קישורים פנימיים וכתובות קבצים ל-HTTPS, ורק אז מוסיפים הפניה קבועה מכל כתובת HTTP לגרסה המאובטחת שלה. אחרי ההשקה בודקים שאין תוכן מעורב, שההפניות הן בקפיצה אחת, ושמפת האתר מכילה רק כתובות HTTPS.

כשהאתר עובר דרך Cloudflare או שירות פרוקסי אחר, יש בעצם שני חיבורים מוצפנים: בין הגולש ל-Cloudflare, ובין Cloudflare לשרת. הגדרה לא תואמת בין השניים היא הסיבה הנפוצה ללולאות הפניה ולשגיאות שנראות כאילו "התעודה לא עובדת".

התעודה מתחדשת — אבל צריך לוודא

תעודות חינמיות מונפקות לתקופות קצרות ומתחדשות אוטומטית. זה עובד מצוין עד שמשהו בשרת משתנה והחידוש נכשל בשקט. לכן כדאי לא להסתמך על החידוש האוטומטי לבדו, אלא לנטר את תאריך התפוגה.

מעבר ל-HTTPS ותיקון תקלות תעודה הם חלק מתחזוקת אתרים שאני מבצע; אם משהו לא עובד אצלכם, ספרו לי מה אתם רואים.