Ко мне как к веб-разработчику часто приходят с вопросом о безопасности сайта. Многие клиенты хотят купить платный сертификат. Они начитались рекламы от хостинг-провайдеров и боятся за свои данные. На практике для подавляющего большинства проектов это просто выброшенные на ветер деньги.
Давайте разберем главные мифы и посмотрим правде в глаза.
«Если вы думаете, что покупка дорогой технологии решит ваши проблемы с безопасностью, значит, вы не понимаете ни проблем, ни технологий».
Брюс Шнайер,эксперт по кибербезопасности
Почему платный SSL — это пустая трата денег
- Одинаковое шифрование
- С точки зрения криптографии разницы нет вообще.
- Бесплатный Let’s Encrypt защищает данные точно так же надежно.
- Взломать сам шифр бесплатного сертификата невозможно. Алгоритмы везде идентичные.
Пользователям не важен уровень проверки
Раньше платные сертификаты давали зеленую строку с названием компании. Сейчас браузеры это убрали. Теперь везде отображается только стандартный серый или черный замочек. Посетители сайта не кликают на него для проверки владельца. Главное для них : чтобы браузер не светился красным предупреждением об опасности.
Надежное автоматическое продление
Продавцы пугают сбоями при бесплатном продлении каждые 90 дней. Мой личный опыт мониторинга сотен доменов показывает обратное : современные панели хостингов отладили скрипты перевыпуска до идеала. Никаких внезапных отключений не происходит. Все работает как часы.
Бесполезные финансовые гарантии
Платные сертификаты обещают страховку на случай взлома. На деле это чистый маркетинг. Условия написаны так хитро, что доказать вину центра сертификации практически нереально. Вы никогда не получите эти деньги.
Кому на самом деле нужен коммерческий сертификат
Если платные решения изжили себя, то кто их покупает? Остался очень узкий корпоративный сегмент.
Вот кому действительно приходится платить:
- старым платежным шлюзам и консервативным банковским API, которые разрывают соединение с бесплатными сертификатами;
- крупным компаниям ради бюрократии, где IT-отделу нужно формальное прикрытие в виде официального договора;
- государственным порталам, которым требуются национальные сертификаты по местному законодательству;
- закрытым внутренним сетям без выхода в интернет, где администраторам проще раз в год обновить купленный файл вручную.
«Платный сертификат для обычного сайта: это классический «театр безопасности». Настоящая защита заключается в своевременном обновлении CMS, сложных паролях и грамотной настройке сервера, а не в красивом чеке от центра сертификации».
Итог
Для абсолютного большинства сайтов коммерческий сертификат не дает никаких реальных плюсов. Если вы делаете информационный проект, визитку, интернет-магазин или классический корпоративный сайт — смело используйте бесплатный вариант. Это современный стандарт индустрии. Он закроет все ваши потребности по принципу «настроил и забыл».
