Увімкнення SSL для всіх клієнтів, що взаємодіють з веб-сайтом у IIS

У цій статті описано, як увімкнути протокол SSL для всіх клієнтів, які взаємодіють із веб-сайтом у Microsoft IIS (IIS).

Вихідна версія продукту: служби IIS
Вихідний номер бази знань: 298805

Підсумки

Ця стаття включає такі розділи:

• Як налаштувати та включити сертифікати сервера, щоб клієнти могли бути впевнені, що веб-сайт дійсний, і що будь-яка інформація, яку вони надсилають вам, залишається приватною та конфіденційною.
• Як використовувати сторонні сертифікати для ввімкнення рівня SSL (Secure Sockets), а також загальні відомості про процес, який використовується для створення запиту підпису сертифікатів (CSR), який використовується для отримання сертифіката стороннього постачальника.
• Як увімкнути ssl-з'єднання для веб-сайту.
• Як застосувати SSL для всіх підключень і встановити необхідну довжину шифрування між клієнтами та веб-сайтом.

Ви можете використовувати функції безпеки SSL веб-сервера для двох типів автентифікації. Ви можете використовувати сертифікат сервера, щоб дозволити користувачам проходити автентифікацію веб-сайту перед передачею персональних даних, наприклад номер кредитної картки. Крім того, ви можете використовувати сертифікати клієнта для автентифікації користувачів, які запитують інформацію на веб-сайті.

Ця стаття передбачає, що ви будете використовувати сторонній центр сертифікації (ЦС) для надання автентифікації для веб-сервера.

Щоб увімкнути перевірку сертифіката SSL-сервера та забезпечити рівень безпеки, який потрібний клієнтам, необхідно отримати сертифікат із стороннього ЦС.Сертифікати, видані вашій організації стороннім ЦС, зазвичай прив'язані до веб-сервера і, зокрема, до веб-сайту, до якого необхідно прив'язати SSL. Ви можете створити власний сертифікат із сервером IIS, але при цьому клієнти повинні неявно довіряти вам як центр сертифікації.

У цій статті передбачається, що виконуються такі умови:

• Ви встановили служби IIS.
• Ви створили та опублікували веб-сайт, який потрібно захистити за допомогою SSL.

Отримання сертифіката

Щоб розпочати процес отримання сертифіката, необхідно створити CSR. Це можна зробити за допомогою консоль керування IIS. Тому перед створенням CSR необхідно встановити служби IIS. CSR — це в основному сертифікат, що створюється на сервері, який перевіряє відомості про сервер, що належать до комп'ютера, при запиті сертифіката із стороннього ЦС. CSR — це просто зашифроване текстове повідомлення, зашифроване парою відкритого та закритого ключа.

Як правило, такі відомості про ваш комп'ютер включаються до створюваного CSR:

• Організація
• Підрозділ
• Країна/регіон
• Область, республіка, край, округ
• місто чи розташування;
• Загальне ім'я

Зазвичай загальне ім'я складається з імені комп'ютера вузла та домену, до якого він належить, наприклад xyz.com. У цьому випадку комп'ютер є частиною домену .com і називається XYZ. Це може бути кореневий сервер корпоративного домену або просто веб-сайт.

Створення CSR

1. Доступ до консолі керування IIS (MMC). Для цього клацніть правою кнопкою миші мій комп'ютер та виберіть пункт "УправлінняВідкриється консоль керування комп'ютером. Розгорніть розділ "Служби та програми"Знайдіть служби IIS і розгорніть консоль IIS.
2. Виберіть веб-сайт, на якому потрібно встановити сертифікат сервера.Клацніть правою кнопкою миші сайт та виберіть "Властивості“.
3. Перейдіть на вкладку "Безпека каталогу". У розділі "Безпечний обмін даними" виберіть "Сертифікат сервера". Відкриється майстер сертифікатів веб-сервера. Виберіть Далі.
4. Натисніть кнопку "Створити сертифікат " та натисніть кнопку "Далі“.
5. Натисніть кнопку "Підготувати запит зараз", але відправте його пізніше та натисніть кнопку "Далі“.
6. У полі "Ім'я" введіть ім'я, яке можна запам'ятати. За промовчанням буде вказано ім'я веб-сайту, для якого створюється CSR.

Примітка. При створенні CSR необхідно вказати бітову довжину. Бітова довжина ключа шифрування визначає силу зашифрованого сертифіката, що відправляється у сторонній ЦС. Що довжина біта, то сильніше шифрування. Більшість сторонніх ЦС воліють щонайменше 1024 бітів.

Запит сертифіката

Існують різні способи відправки запиту. Зверніться до постачальника сертифікатів, щоб використати метод і визначити оптимальний рівень сертифіката для ваших потреб. Залежно від методу, вибраного для надсилання запиту до ЦС, можна відправити CSR-файл з кроку 10 у розділі "Створити CSR" або вставити вміст файлу в запит. Цей файл буде зашифрований і міститиме верхній та нижній колонтитул для вмісту. При запиті сертифіката необхідно увімкнути як верхній, так і нижній колонтитул. CsR має виглядати так:

-----BEGIN NEW CERTIFICATE REQUEST----- MIIDATCCAmoCAQAwbDEOMAwGA1UEAxMFcGxhbjgxDDAKBgNVBAsTA1BTUzESMBAG saW5hMQswCQYDVQQGEwJVUzCBnzANBgkqhkiG9w0BAQEFAAOBjQAw gYkCgYEAtW1koGfdt+EoJbKdxUZ+5vE7TF1ZuT+xaK9jEWHESfw11zoRKrHz IASnwg3vZ0ACteQy5SiWmFaJeJ4k7YaKUb6chZXG3GqL4YiSKFaLpJX+YRiKMtmI JzFzict5GVVGHsa1lY0BDYDO2XOAlstGlHCtENHOKpzdYdANRg0K LjAuMjE5NS4yMDUGCisGAQQBgjcCAQ4xJzAlMA4G A1UdDwEB/wQEAwIE8DATBgNVHSUEDDAKBggrBgEFBQcDATCB/QYKKwYBBAGCNw0C AjGB7jCB6wIBAR5aAE0AaQBjAHIAbwBzAG8AZgB0ACAAUgBTAEEAIABTAEMAaABh AG4AbgBlAGwAIABDAHIAeQBwAHQAbwBnAHIAYQBwAGgAaQBjACAAUAByAG8AdgBb WsdnU2eUJOMUK5Ms87Q+fjP1/pWN3PJnH7x8 MBc5isFCjww6YnIjD8c3OfYfjkmWc048ZuGoH7ZoD6YNfv/SfAvQmr90eGmKOFFi TD+hl1hM08gu2oxFU7mCvfTQ/2IbXP7KYFGEqaJ6wn0Z5yLOByPqblQZAAAAAAAA AAAwDQYJKoZIhvcNAQEFBQADgYEAhpzNy+aMNHAmGUXQT6PKxWpCC LzD+UJxl+kjgb+qwcOUkGX2PCZ7tOWzcXWNmn/4YHQl0M GEXu0w67sVc2R9DlsHDNzeXLIOmjUl935qy1uoIR4V5C48YNsF4ejlgjeCFsB 

Встановити сертифікат

Після завершення запиту на сертифікат сервера сторонній ЦС ви отримаєте його електронною поштою або сайтом завантаження. Сертифікат має бути встановлений на веб-сайті, на якому потрібно забезпечити безпечний обмін даними.

Щоб встановити сертифікат, виконайте такі дії:

1. Завантажте або скопіюйте сертифікат, отриманий із ЦС, на веб-сервер.
2. Відкрийте MMC IIS, як описано в розділ "Створення CSR “.
3. Відкрийте діалогове вікно "Властивості для веб-сайту, на якому встановлюється сертифікат.
4. Перейдіть на вкладку "Безпека каталогу" та виберіть сертифікат сервера.Відкриється майстер сертифікатів веб-сервера. Виберіть Далі.
5. Виберіть " Обробити очікуваний запит" та встановіть сертифікат, а потім натисніть кнопку "Далі“.
6. Перейдіть до сертифіката, збереженого на кроці 1. Двічі натисніть кнопку "Далі ", а потім натисніть кнопку "Готово“.

Примусове застосування SSL-підключень

Тепер, коли встановлено сертифікат сервера, можна примусово застосувати обмін даними із захищеним каналом SSL з клієнтами веб-сервера. Спочатку необхідно увімкнути порт 443 для безпечної взаємодії з веб-сайтом. Для цього виконайте такі дії.

1. У консолі керування комп'ютером клацніть правою кнопкою миші веб-сайт, на якому потрібно застосувати SSL і виберіть "Властивості“.
2. Перейдіть на вкладку "Веб-сайт". У розділі ідентифікації веб-сайту переконайтеся, що поле SSL-порту заповнюється числовим значенням 443.
3. Виберіть Додатково. Має з'явитися два поля. IP-адреса та порт веб-сайту вже повинні бути вказані в поле "Кілька посвідчень " для цього поля веб-сайту. У розділі " Декілька SSL-посвідчень " для цього веб-сайту виберіть "Додати ", якщо порт 443 ще не вказано. Виберіть IP-адресу сервера та введіть числове значення 443 у полі SSL-порту. Натисніть кнопку ОК.

Тепер, коли увімкнено порт 443, можна застосувати SSL-підключення. Для цього виконайте такі дії.

1. Перейдіть на вкладку "Безпека каталогу". У розділі "Безпечний обмін даними ” тепер доступна зміна . Виберіть Змінити.
2. Виберіть "Вимагати безпечний канал (SSL)“.

Примітка. Якщо вказати 128-розрядне шифрування, клієнти, які використовують 40-розрядну або 56-розрядну версію браузера, не зможуть взаємодіяти з вашим сайтом, якщо вони не оновлюють їхню силу шифрування.

Сторінка повинна переглядатися захищеним каналом
Сторінка, яку ви намагаєтеся переглянути, вимагає використання https на адресі.
Повторіть спробу, ввівши https:// на початку адреси, до якої ви намагаєтеся дістатися. HTTP 403.4 — заборонено: протокол SSL потребує служби IIS
Технічна інформація (для працівників служби підтримки) Фон. Ця помилка вказує на те, що сторінка, до якої ви намагаєтеся отримати доступ за допомогою протоколу SSL.

Безпека в онлайн-світі стає все більш важливою, і одним із способів захистити свій сайт та дані користувачів є встановлення сертифіката SSL. Цей гід допоможе вам розібратися, що таке SSL та як його включити на вашому сайті.

SSL (Secure Sockets Layer) – це технологія шифрування даних, яка забезпечує безпечну передачу інформації між користувачем та веб-сервером. При включенні SSL на вашому сайті вся інформація, що передається між браузером користувача та сервером, буде зашифрована та недоступна для зловмисників.

Щоб встановити SSL на вашому сайті, вам потрібно буде слідувати кілька простих кроків. По-перше, ви маєте придбати сертифікат SSL у довіреного центру сертифікації. Зазвичай це платна послуга, але є безкоштовні варіанти, такі як Let's Encrypt.

Після придбання сертифіката SSL вам потрібно буде його встановити на веб-сервері. Це можна зробити за допомогою спеціального інструменту, що надається вашим хостинг-провайдером, або вручну, дотримуючись інструкцій, наданих центром сертифікації.

Навіщо потрібний SSL і як він працює

SSL використовує криптографію, щоб зашифрувати дані, які передаються між користувачем та сервером.Коли користувач відвідує сайт із SSL-сертифікатом, його браузер встановлює безпечне з'єднання з сервером, і вся інформація, що передається між ними, стає неможливою для прочитання третіми особами.

SSL-сертифікати використовуються в багатьох випадках:

1. Захист особистої інформації – SSL захищає персональні дані користувачів, такі як номери кредитних карток, паролі та інші конфіденційні відомості.
2. Доказ автентичності – SSL-сертифікати дозволяють переконатися, що користувач спілкується із справжнім сайтом, а не з фальшивкою, створеною зловмисниками.
3. SEO-переваги – SSL-сертифікат може покращити рейтинг вашого сайту в пошукових системах, оскільки Google явно закликає веб-майстрів використовувати захист HTTPS.
4. Довіра користувачів – видимий SSL сертифікат на вашому сайті в браузері збільшує довіру користувачів і робить ваш сайт більш привабливим.

Щоб увімкнути SSL на своєму сайті, необхідно придбати та встановити SSL-сертифікат. Це може бути безкоштовний сертифікат від Let's Encrypt або платний сертифікат від різних центрів, що засвідчують.

Вибір сертифіката SSL для сайту

Найпоширеніший і універсальний тип сертифіката SSL – це сертифікат з одинарним доменним ім'ям (Single Domain SSL). .

Якщо у вас є кілька доменних імен, які ви хочете захистити з використанням одного сертифіката, можна скористатися сертифікатом із кількома доменними іменами (Multi-Domain SSL).Цей тип сертифікату дозволяє захистити до 100 доменних імен або піддоменів, що робить його ідеальним вибором для компаній, які мають кілька сайтів або використовують піддомени.

Якщо вам необхідно захистити основне доменне ім'я та його піддомени, ви можете використовувати сертифікат Wildcard SSL. Він захищає основне доменне ім'я та будь-яку кількість його піддоменів, що робить його дуже зручним для сайтів з великою кількістю піддоменів.

Нарешті, для сайтів електронної комерції, які збирають особисті дані користувачів та проводять онлайн-транзакції, є сертифікати Extended Validation SSL (EV SSL). Вони забезпечують максимальний рівень перевірки та довіри, відображаючи зелений рядок в адресному рядку браузера, із зазначенням назви компанії.

При виборі SSL сертифіката для вашого сайту важливо брати до уваги потреби вашого бізнесу та рівень захисту, необхідний для вашої діяльності. Незалежно від вибраного сертифіката, його встановлення допоможе забезпечити безпеку передачі даних між вашим сайтом та його відвідувачами.

Реєстрація та отримання сертифіката SSL

Перед тим, як увімкнути SSL на вашому сайті, необхідно зареєструватися та отримати сертифікат SSL. Ось як це можна зробити:

1. Виберіть надійного сертифікованого постачальника SSL.

Існує безліч компаній, які пропонують послуги з реєстрації та видачі сертифікатів SSL. Важливо вибрати сертифікованого та надійного провайдера, щоб гарантувати безпеку вашого сайту.

Порада: Перед вибором провайдера рекомендується ознайомитися з відгуками та рейтингами різних компаній, щоб зробити усвідомлений вибір.

2. Підготуйте необхідні документи та інформацію.

У процесі реєстрації вам знадобиться надати певні документи та інформацію, щоб підтвердити вашу особу та володіння доменом. Це може включати копію вашого паспорта, виписку з реєстру організації або договір оренди домену.

Порада: Підготуйте всі необхідні документи заздалегідь, щоб прискорити процес реєстрації.

3. Заповніть заявку на сертифікат SSL.

Після вибору провайдера та підготовки документів заповніть заявку на сертифікат SSL. Вам можуть знадобитися такі дані: ім'я домену, контактна інформація, дані вашої організації і т.д.

Порада: Уважно перевірте всі введені дані перед відправкою заявки, щоб уникнути помилок у виданому сертифікаті.

4. Підтвердіть вашу особистість та володіння доменом.

Деякі провайдери можуть запитати додаткові відомості або процедури, щоб підтвердити вашу особу та володіння доменом. Це може включати процес верифікації електронною поштою, або завантаження додаткових документів. Виконайте вказівки провайдера та надайте запитану інформацію.

Порада: Будьте терплячі, оскільки процес підтвердження може тривати деякий час.

5. Встановіть сертифікат SSL на ваш сайт.

Після успішної реєстрації та отримання сертифіката SSL вам буде надано файл сертифіката. Вам потрібно встановити цей сертифікат на вашому сервері або звернутися за допомогою до вашого хостинг-провайдера.

Порада: Дотримуйтесь інструкцій провайдера або скористайтесь інструкцією вашого хостинг-провайдера для правильної установки сертифіката SSL на ваш сайт.

Тепер, коли ви маєте сертифікат SSL, ви готові включити SSL і забезпечити безпечне з'єднання на вашому сайті.

Встановлення сертифіката SSL на сервер

1.Придбайте сертифікат SSL у надійного провайдера або створіть сертифікат.

2. Налаштуйте веб-сервер (наприклад, Apache або Nginx) для роботи з SSL. Для цього вам потрібно додати відповідні налаштування до конфігураційного файлу сервера.

3. Завантажте сертифікати на сервер. Перевірте, що у вас є файли сертифіката (зазвичай з розширенням .crt або .pem) та секретного ключа (з розширенням .key).

4. Вкажіть шлях до файлів сертифіката та секретного ключа у налаштуваннях веб-сервера.

5. Перезапустіть веб-сервер, щоб зміни набули чинності.

6. Перевірте роботу SSL-сертифіката, ввівши в адресний рядок браузера адресу вашого сайту з додаванням HTTPS.

Після виконання цих кроків ви повинні переконатися у правильному встановленні сертифіката SSL на ваш сервер. Перевірте, що ваш сайт відкривається захищеним протоколом HTTPS і що в адресному рядку є замок, який вказує на безпечне підключення.

Налаштування сайту для роботи з SSL

Процес встановлення SSL-сертифіката на сайт зазвичай включає кілька кроків. Перш за все необхідно переконатися, що у вас є активний доменний SSL-сертифікат. Потім слід налаштувати ваш веб-сервер для підтримки SSL-з'єднань.

Найпоширенішим веб-сервером є Apache. Для налаштування Apache для роботи з SSL слід виконати такі дії:

Після завершення цих кроків ваш сайт буде готовий до роботи з SSL.Переконайтеся, що він правильно налаштований і працює за допомогою протоколу HTTPS.

Зверніть увагу, що процес налаштування SSL може трохи відрізнятися залежно від веб-сервера та операційної системи, що використовується. Також важливо врахувати, що налаштування SSL-сертифіката потребує деяких технічних навичок, тому, якщо ви не знайомі з цією темою, рекомендується звернутися до фахівця.

Перевірка працездатності SSL

Після встановлення сертифіката SSL важливо переконатися, що він працює правильно і весь трафік між сервером та клієнтом захищений. Існує кілька способів перевірити працездатність SSL:

1. Перевірка протоколу HTTPS: відкрийте веб-браузер і введіть адресу свого сайту, що починається з https://. Якщо в адресному рядку відображається зелений замок або значок замка, це означає, що сертифікат SSL встановлено і працює коректно.
2. Перевірка валідності сертифіката: клацніть на значок замка в адресному рядку браузера та виберіть "Переглянути сертифікат" або подібний пункт меню. У вікні, переконайтеся, що деталі сертифіката відповідають вашому сайту. Перевірте дату закінчення терміну дії сертифіката – він має бути актуальним.
3. Перевірка ланцюжка сертифікатів: сертифікат SSL будується на основі ланцюжка довіри, що включає кореневі сертифікати та проміжні сертифікати. Переконайтеся, що всі необхідні сертифікати встановлені на сервері.
4. Перевірка на вразливості SSL: існують онлайн-інструменти, які допомагають виявити вразливості SSL на вашому сайті. Вони проводять тести на стійкість до атак типу "уразливість серця" (Heartbleed), "вразливість Poodle" та інших подібних загроз.
5. Перевірка перенаправлення на HTTPS: щоб переконатися, що користувачі завжди перенаправляються з HTTP на HTTPS, перевірте налаштування вашого сервера та .htaccess-файл. Переконайтеся, що всі дзвінки до вашого сайту автоматично переадресовуються на безпечне з'єднання HTTPS.

Наступні завдання після перевірки працездатності SSL – налаштувати оновлення сертифіката, щоб уникнути його закінчення терміну дії, та врахувати можливі вразливості, щоб захистити свій сайт та дані користувачів.

Супровід та продовження сертифіката SSL

Ось кілька порад, які допоможуть вам керувати та підтримувати сертифікат SSL:

• Регулярна перевірка терміну дії сертифіката: Перевіряйте термін дії сертифіката SSL регулярно, щоб переконатися, що він не закінчився або скоро закінчиться. Сертифікат SSL, що минув, призведе до того, що ваш сайт буде позначений як небезпечний.
• Автоматичне оновлення: Увімкніть автоматичне оновлення сертифіката SSL, щоб уникнути проблем із закінченням терміну дії. Більшість веб-хостингових сервісів пропонують цю опцію, яка допоможе вам уникнути незручностей та втрати довіри користувачів.
• Створення нагадувань: Створіть нагадування про продовження сертифіката SSL заздалегідь, щоб вчасно звернутися до сертифікованого органу та продовжити сертифікат. Це дозволить вам уникнути втрати довіри користувачів та проблем з безпекою.
• Резервне копіювання: Регулярно виконуйте резервні копії сертифіката SSL та його закритого ключа. Це допоможе вам відновити сертифікат у разі втрати або пошкодження.
• Правильне налаштування HTTPS: Переконайтеся, що всі сторінки вашого сайту налаштовані для роботи за протоколом HTTPS.Це допоможе вам уникнути вразливостей та гарантувати безпеку передачі даних.

Дотримуючись цих порад, ви зможете забезпечити надійність та безпеку свого сайту, а також зберегти довіру користувачів.

ССЛ-сертифікат на сайті свідчить про його нешкідливість для користувача. Його наявність автоматично перевіряється будь-яким сучасним інтернет-браузером. Тому нерідко користувачі цікавляться, як увімкнути SSL в Яндекс.Браузері. Але тут є одна проблема, про яку варто згадати.

Подробиці

Почнемо з того, що ще у 2014 році фахівці заявили, що технологія ССЛ є застарілою та вразливою. Тому використовувати її більше не можна. Особливо в тих випадках, якщо йдеться про сайти з платіжними даними.

І саме з того часу розпочався масовий перехід на TLS, який ґрунтується на SSSL 3.0. На даний момент цю технологію підтримують усі сучасні веб-браузери. І продукт від Yandex – зовсім не виняток. Тут ця опція реалізована та спочатку включена. Але за бажання можна налаштувати. Цей момент освятимо докладніше.

Налаштування

Суть у тому, що протокол ТСЛ активний на початку, і відключити його не вийде. Але можна включити його спеціальну версію, схвалену російським ГОСТом. Деталі викладено тут.

Її використання можливе лише за наявності на комп'ютері пакета КриптоПро.

А вмикається цей режим досить просто:

1. Перейдіть до сторінки параметрів у програмі. Для цього виконайте два кліки:
2. Відкрийте вкладку "Системні".
3. Прогортайте її до розділу «Мережа».
4. Активуйте опцію «Підключатися до сайтів, які використовують шифрування за ГОСТ».

Також ми радимо включити дві інші опції, щоб уникнути відвідування небезпечних веб-ресурсів. Тут же цікавий пункт "Управління сертифікатами", там можна додавати, змінювати та видаляти сторонні сертифікати для різних порталів.

Підсумки

Взагалі налаштування SSL в Яндекс.Браузері не потрібне, оскільки більш сучасна версія протоколу безпеки вже включена в інтернет-браузері. Але є його варіація, що відповідає російським ГОСТам. І її вже можна активувати вручну за допомогою відповідної опції.