Dziś HTTPS stał się standardem w przypadku praktycznie każdej strony internetowej. Do jego działania wykorzystywany jest certyfikat SSL/TLS.

Pojawia się jednak całkowicie uzasadnione pytanie:

Jeśli Let's Encrypt wydaje certyfikaty za darmo, po co kupować certyfikat SSL?

Na pierwszy rzut oka wydaje się, że darmowy certyfikat robi to samo co płatny. I pod jednym ważnym względem rzeczywiście tak jest.

Między certyfikatami istnieje jednak różnica — po prostu nie dotyczy ona tego, czego wiele osób się spodziewa.

Darmowy Let's Encrypt to pełnoprawny certyfikat SSL

Let's Encrypt to globalny urząd certyfikacji, który bezpłatnie wydaje certyfikaty SSL/TLS z weryfikacją domeny (DV — Domain Validation). Certyfikaty te służą do obsługi stron internetowych przez HTTPS.

Darmowy certyfikat to nie „wersja demonstracyjna SSL”.

Zapewnia bezpieczne połączenie TLS między przeglądarką odwiedzającego a stroną internetową.

Właśnie dlatego Let's Encrypt doskonale sprawdza się w przypadku ogromnej liczby projektów: blogów, stron prywatnych, małych firm, serwisów informacyjnych i wielu sklepów internetowych.

Na hostingu HOSTLIFE certyfikaty Let's Encrypt mogą odnawiać się automatycznie, dzięki czemu właściciel strony nie musi za każdym razem ręcznie instalować nowego certyfikatu.

Po co więc istnieją płatne certyfikaty SSL?

Właśnie tutaj zaczyna się najciekawsza część.

Płatny SSL to nie tylko „to samo HTTPS, ale za pieniądze”.

W zależności od konkretnego produktu certyfikat komercyjny może oferować dodatkowe możliwości:

- weryfikację nie tylko domeny, ale także organizacji;
- certyfikaty obejmujące wiele domen;
- certyfikaty Wildcard dla subdomen;
- rozszerzoną weryfikację;
- SiteSeal;
- wsparcie techniczne;
- gwarancję finansową zgodnie z warunkami konkretnego produktu.

Warto jednak pamiętać, że płatny certyfikat nie oznacza automatycznie silniejszego szyfrowania.

Różnica między DV, OV i EV dotyczy przede wszystkim tego, jakie informacje weryfikuje urząd certyfikacji, a nie tego, o ile „silniejsze” jest szyfrowanie połączenia.

DV, OV i EV — czym się różnią?

DV — Domain Validation

Weryfikowane jest prawo do zarządzania domeną.

Jest to poziom weryfikacji stosowany przez Let's Encrypt.

W przypadku większości standardowych stron internetowych jest on w zupełności wystarczający.

OV — Organization Validation

Oprócz domeny urząd certyfikacji weryfikuje również informacje dotyczące organizacji.

Ma to znaczenie dla firm, którym zależy na potwierdzeniu swojej tożsamości jako właściciela strony internetowej.

EV — Extended Validation

Obejmuje jeszcze dokładniejszą weryfikację organizacji zgodnie z wymaganiami dotyczącymi certyfikatów EV.

Jest to rozwiązanie dla projektów, które rzeczywiście wymagają takiego poziomu weryfikacji tożsamości.

Nieaktualne jest już jednak dawne przekonanie, że EV zapewnia stronie internetowej specjalny „zielony pasek” w przeglądarce.

A co z gwarancją?

To jedna z różnic między certyfikatami komercyjnymi, która rzeczywiście może mieć znaczenie.

Niektóre płatne certyfikaty SSL obejmują gwarancję finansową (warranty). Jej wysokość i warunki zależą od konkretnego certyfikatu.

W katalogu HOSTLIFE dla różnych produktów podano gwarancje w wysokości od $10 000 do $1 750 000. Warunki zależą od konkretnego certyfikatu.

Let's Encrypt nie zapewnia użytkownikom analogicznej odpowiedzialności finansowej: ISRG wyraźnie wskazuje w warunkach korzystania z certyfikatów ograniczenia swojej odpowiedzialności za ewentualne straty.

Istnieje jednak ważne zastrzeżenie:

Warranty nie jest ubezpieczeniem strony internetowej od włamania.

Nie oznacza to, że w przypadku dowolnego wycieku danych właściciel strony automatycznie otrzyma wskazaną kwotę.

Podstawy wypłaty, ograniczenia i pozostałe warunki określają zasady konkretnego urzędu certyfikacji oraz warunki danego certyfikatu.

Dlatego przy wyborze płatnego SSL warto zwrócić uwagę nie tylko na nazwę produktu i cenę, ale również na jego warunki.

Za komercyjnymi certyfikatami SSL stoją znane urzędy certyfikacji

Jest jeszcze jeden aspekt, który często pozostaje niezauważony.

Kupując komercyjny SSL, wybierasz nie tylko certyfikat, ale także konkretny produkt określonego urzędu certyfikacji.

W katalogu certyfikatów SSL HOSTLIFE dostępne są produkty:

Sectigo · RapidSSL · Thawte · GeoTrust · DigiCert

Są to znani uczestnicy rynku publicznych certyfikatów, działający zgodnie z branżowymi wymaganiami dotyczącymi urzędów certyfikacji. Publiczne CA przechodzą niezależne audyty i muszą przestrzegać ustalonych zasad wydawania certyfikatów oraz zarządzania nimi.

Poszczególne produkty różnią się więc procedurami weryfikacji, obsługiwanymi zastosowaniami, liczbą domen, możliwościami Wildcard/SAN, dostępnością SiteSeal, warunkami gwarancji i zakresem wsparcia technicznego.

Dlatego komercyjny SSL to nie tylko „płatna wersja Let's Encrypt”.

Czy zatem warto płacić za SSL?

Niekoniecznie.

Jeśli prowadzisz blog, stronę prywatną, niewielki serwis informacyjny lub standardową stronę firmową, w wielu przypadkach darmowy Let's Encrypt będzie wystarczający.

Jeśli jednak Twój projekt wymaga:

- potwierdzenia tożsamości organizacji;
- ochrony wielu domen;
- certyfikatu Wildcard;
- dodatkowych funkcji komercyjnych;
- wsparcia technicznego;
- gwarancji finansowej;
- konkretnego produktu komercyjnego lub urzędu certyfikacji,

wówczas płatny certyfikat SSL może być uzasadnionym wyborem.

Właśnie dlatego HOSTLIFE oferuje obie możliwości.

Let's Encrypt — gdy potrzebujesz prostego i bezpłatnego sposobu na zapewnienie HTTPS.

Komercyjny SSL — gdy Twój projekt wymaga dodatkowych funkcji, weryfikacji organizacji lub warunków oferowanych przez konkretny płatny certyfikat.

Najważniejsze

Płatny SSL nie oznacza automatycznie silniejszego szyfrowania.

Podobnie Let's Encrypt nie jest gorszym ani niepełnowartościowym certyfikatem SSL.

Różnice dotyczą przede wszystkim poziomu weryfikacji, możliwości konkretnego produktu, wsparcia oraz warunków odpowiedzialności.

Dlatego certyfikat należy wybierać nie według zasady „droższy oznacza bezpieczniejszy”, lecz zgodnie z wymaganiami danego projektu.