Pe scurt
Un certificat SSL este un fișier digital, emis de o autoritate de certificare, care confirmă identitatea domeniului și permite criptarea datelor dintre vizitator și server. Cu el, site-ul se deschide pe HTTPS, fără avertismentul de conexiune nesigură. Tehnologia actuală se numește TLS, dar denumirea „certificat SSL” a rămas, iar pentru majoritatea site-urilor varianta gratuită ajunge.
Ce este un certificat SSL
Un certificat SSL este un fișier digital care leagă un nume de domeniu de o cheie criptografică și care e semnat de o autoritate de certificare, o organizație în care browserele au încredere. Când browserul acceptă certificatul, conexiunea devine criptată, iar adresa site-ului începe cu https://.
ClouDNS îl descrie ca pe „un certificat digital care asigură o conexiune sigură și criptată între un site web și vizitatorii acestuia”. În el se află domeniile acoperite, cheia publică a serverului, emitentul, intervalul de valabilitate și, la tipurile OV și EV, datele firmei.
SSL sau TLS? SSL (Secure Sockets Layer) este numele protocolului vechi, înlocuit de TLS (Transport Layer Security); versiunile SSL nu mai sunt considerate sigure. Numele „certificat SSL” a rămas din obișnuință: ce activezi astăzi este un certificat folosit de TLS. Același fișier apare și sub numele de „certificat de securitate”.
Cum funcționează HTTPS: criptare și identitate
HTTPS este protocolul obișnuit al web-ului, HTTP, transmis printr-o conexiune criptată cu TLS. Certificatul face posibile două lucruri: browserul verifică cu cine vorbește, apoi browserul și serverul stabilesc chei de criptare pe care nu le cunoaște nimeni altcineva.
În fracțiunea de secundă dinaintea încărcării paginii:
- Serverul trimite certificatul, împreună cu certificatele intermediare ale autorității care l-a emis.
- Browserul verifică dacă lanțul de semnături duce la o autoritate de încredere, dacă certificatul e pentru domeniul deschis și dacă nu a expirat.
- Dacă verificarea trece, cele două părți negociază chei de sesiune, iar paginile, formularele și parolele circulă criptat.
- Dacă pică, browserul oprește încărcarea și afișează un avertisment.
Rezultatul: confidențialitate (cine interceptează traficul pe o rețea Wi-Fi publică vede date criptate, nu numele și telefonul din formular), integritate (nimeni nu poate strecura reclame sau cod în pagină pe drum) și identitate (vizitatorul ajunge la serverul care răspunde pentru domeniu, nu la unul care se dă drept el).
Ce nu face un certificat SSL. Securizează conexiunea, nu site-ul: un site cu HTTPS poate avea componente neactualizate sau parole slabe. Nici nu garantează buna-credință a firmei: și un site de phishing poate obține un certificat DV, care confirmă doar controlul asupra domeniului.
Cum vezi dacă un site are certificat SSL și ce arată browserul când lipsește
Un site are un certificat valid dacă adresa începe cu https:// și browserul nu afișează niciun avertisment. Lângă adresă apare un lacăt sau, în unele browsere, de exemplu Chrome, o pictogramă din care deschizi detaliile conexiunii, inclusiv cine a emis certificatul și până când e valabil.
| Ce vezi în browser | Ce înseamnă | Ce faci |
|---|---|---|
| https://, lacăt sau pictograma de detalii, fără avertisment | Certificat valid, conexiune criptată | Urmărești data de expirare |
| „Nesecurizat” sau „Conexiune nesecurizată” lângă adresă | Site-ul se deschide pe http:// | Activezi certificatul și redirecționarea către HTTPS |
| Pagină întreagă de avertizare, de tipul „Conexiunea nu este privată”, cu codul NET::ERR_CERT_DATE_INVALID în Chrome | Certificat expirat sau, mai rar, ceasul greșit al calculatorului vizitatorului | Reînnoiești certificatul și afli de ce nu s-a reînnoit singur |
| Avertizare cu codul NET::ERR_CERT_COMMON_NAME_INVALID | Certificatul nu acoperă adresa deschisă, de exemplu varianta cu www | Emiți un certificat pentru toate variantele domeniului |
| Avertizare cu codul NET::ERR_CERT_AUTHORITY_INVALID | Certificat autosemnat, emitent necunoscut sau lanț de certificate incomplet | Folosești o autoritate recunoscută și instalezi certificatele intermediare |
| https://, dar avertisment în detaliile conexiunii sau imagini și formulare lipsă | Conținut mixt | Corectezi adresele http:// din pagină |
Formularea exactă diferă de la un browser la altul. Pentru o verificare completă, un verificator online, de exemplu SSL Server Test de la Qualys SSL Labs, arată data de expirare, domeniile acoperite și dacă lanțul de certificate e instalat corect.
Tipurile de certificate SSL: DV, OV și EV
Certificatele se împart după cât verifică autoritatea înainte să le emită: DV confirmă doar controlul asupra domeniului, OV verifică și firma, iar EV face cea mai amănunțită verificare a firmei. Criptarea este aceeași la toate trei.
| Tip | Ce verifică autoritatea | Ce vede vizitatorul | Pentru cine are sens |
|---|---|---|---|
| DV (Domain Validation) | Controlul asupra domeniului, printr-o înregistrare DNS, un fișier pe server sau un email | Conexiune securizată; în detalii, doar domeniul | Site-uri de prezentare, bloguri, landing page-uri, majoritatea magazinelor online |
| OV (Organization Validation) | Domeniul și existența firmei, din documente sau registre publice | La fel ca la DV; numele firmei apare în detaliile certificatului | Firme cu parteneri care cer numele firmei în certificat |
| EV (Extended Validation) | O verificare extinsă a firmei și a persoanei care face cererea | La fel ca la DV în bara de adrese; datele firmei, în detalii | Bănci, instituții, platforme la care un contract sau o politică internă cere EV |
Cândva, certificatele EV afișau numele firmei în bara de adrese. Browserele mari au renunțat la această afișare, așa că un vizitator obișnuit nu mai vede diferența.
După ce acoperă, un certificat poate fi pentru un singur domeniu, wildcard (toate subdomeniile de pe un nivel) sau multi-domeniu. Există și certificate calificate pentru autentificarea site-urilor, din cadrul regulamentului european eIDAS, oferite de exemplu de certSIGN; ai nevoie de ele doar când o reglementare sau un contract le cere.
Decizia pentru o firmă mică. Pentru un site de prezentare sau un magazin online, un certificat DV ajunge. Treci la OV sau EV doar dacă ți-o cere un partener sau o reglementare.
Certificat SSL gratuit sau plătit?
Pentru majoritatea site-urilor, un certificat SSL gratuit este suficient: criptează la fel de bine ca unul plătit, iar diferența ține de validare și de serviciile din jur. Cel mai cunoscut emitent gratuit este Let's Encrypt, o autoritate de certificare non-profit care emite certificate DV, gândite pentru reînnoire automată.
Un certificat gratuit ajunge la tine, de obicei, din panoul de hosting, unde multe pachete integrează Let's Encrypt sau un sistem asemănător, din platformele de găzduire pentru site-uri construite în cod, de exemplu Vercel sau Netlify, ori din platformele de magazin online, de exemplu Shopify, care emit certificatul automat când conectezi domeniul. SSL-ul inclus, cu reînnoire automată, e unul dintre criteriile de alegere a hostingului, alături de backup și suport.
Plătești pentru un certificat când ai nevoie de OV sau EV, de suportul unui furnizor sau de o cerință contractuală. În România le vând atât firme de hosting, de exemplu cyber_Folks, cât și furnizori de servicii de încredere, de exemplu certSIGN sau DigiSign. Compară ofertele la același tip de certificat și întreabă de la început cine se ocupă de reînnoire.
De ce contează certificatul SSL pentru un site de firmă
Fără certificat, vizitatorii văd un avertisment lângă numele firmei, datele din formulare și plăți circulă necriptate, iar browserele marchează site-ul ca nesigur. Pentru o firmă mică, efectul se vede întâi în cererile și comenzile care nu mai vin, nu în clasamente.
- Încrederea. cyber_Folks notează că certificatul elimină avertismentul „Conexiune nesecurizată” din browser. Un vizitator care îl vede nu știe ce înseamnă tehnic, dar înțelege mesajul, iar pe un site de prezentare asta poate fi diferența dintre o cerere de ofertă și un clic înapoi.
- Formularele. Numele, telefonul și emailul din formular sunt date personale. GDPR-ul cere măsuri tehnice potrivite pentru protecția lor, iar criptarea e dată chiar în regulament ca exemplu. Restul obligațiilor, de la bannerul de cookie-uri la politica de confidențialitate, sunt în ghidul despre datele personale pe un site.
- Plățile. Procesatorii de plăți cer, de regulă, HTTPS pe site-ul magazinului, iar o pagină de autentificare fără HTTPS expune parolele clienților.
- Google. Documentația Google Search Central descrie HTTPS ca pe un semnal de clasare ușor: nu te urcă singur în rezultate, iar conținutul și relevanța cântăresc mult mai mult. Când un site răspunde și pe HTTP, și pe HTTPS, Google preferă de regulă varianta HTTPS ca adresă canonică. Cum se leagă acest semnal de restul afli din ghidul despre cum funcționează SEO-ul.
Cum instalezi și reînnoiești un certificat SSL
În practică, certificatul se activează din panoul de hosting sau din platforma pe care rulează site-ul, de multe ori cu un clic, iar reînnoirea se face automat. Condiția este ca domeniul să indice deja spre serverul respectiv, pentru că autoritatea de certificare verifică exact acest lucru.
- Leagă domeniul de hosting prin înregistrările DNS; pașii sunt în ghidul despre înregistrarea domeniului și setările DNS.
- Activează certificatul din panou, pentru domeniu și pentru varianta cu www.
- Deschide ambele variante pe https:// și verifică să nu apară niciun avertisment.
- Pornește redirecționarea de pe HTTP pe HTTPS și caută conținutul mixt.
- Confirmă reînnoirea automată și verifică la ce adresă ajung notificările de expirare.
La un certificat plătit, trimiți furnizorului o cerere de semnare (CSR) generată pe server, treci prin validare, apoi instalezi certificatul împreună cu certificatele intermediare. Fără automatizare, procesul se repetă înainte de fiecare expirare.
Orice certificat are o valabilitate limitată, stabilită prin regulile comune ale autorităților de certificare și ale browserelor, iar aceste reguli au scurtat-o în timp. Reînnoirea trebuie deci automatizată și verificată, nu ținută minte.
Redirecționarea de pe HTTP pe HTTPS
După ce certificatul funcționează, toate adresele http:// trebuie redirecționate permanent, cu un cod 301, către aceleași adrese pe https://. Altfel site-ul există de două ori: cine are un link vechi ajunge pe varianta nesecurizată, iar Google vede două adrese pentru fiecare pagină.
- Un singur salt. http://firma.ro duce direct la varianta finală, nu prin două-trei redirecționări la rând.
- O singură variantă principală. Alegi cu sau fără www și redirecționezi celelalte combinații spre ea.
- Adresele interne. Meniul, textele, sitemap-ul și eticheta canonică folosesc direct https://.
- HSTS, cu grijă. Antetul HSTS le cere browserelor să deschidă site-ul doar pe HTTPS. Îl pornești abia după ce HTTPS merge peste tot, pentru că browserele țin minte regula.
Dacă oricum îți refaci site-ul, e momentul cel mai simplu: un site nou construit direct pe HTTPS pornește fără imagini și linkuri vechi pe http://, iar redirecționările se configurează o singură dată, la lansare.
Conținutul mixt: de ce apare avertismentul după trecerea pe HTTPS
Conținutul mixt apare când o pagină deschisă pe HTTPS încarcă imagini, scripturi, fonturi sau formulare încorporate printr-o adresă http://. Browserul blochează resursele riscante, ca scripturile, iar pe celelalte încearcă să le încarce pe HTTPS sau le marchează ca nesigure, așa că apar avertismente, imagini lipsă sau formulare care nu se mai încarcă.
Vine, de obicei, din imagini inserate cu adresa http:// înainte de mutare, din adrese scrise direct în cod, din widgeturi de la terți sau, într-un CMS precum WordPress, din adresa veche rămasă în baza de date.
Cum îl repari:
- Apasă F12 și deschide consola browserului: mesajele „Mixed Content” arată exact resursa cu problema.
- Schimbă adresele în https:// sau în adrese relative pentru resursele de pe propriul domeniu; într-un CMS, înlocuiește adresa veche din baza de date, după un backup.
- Pentru resursele de la terți care nu merg pe HTTPS, caută o alternativă.
- Verifică fiecare tip de pagină, nu doar prima: o pagină de serviciu, un articol, contactul, coșul.
Să zicem că un site trece pe HTTPS și prima pagină arată perfect. După câteva săptămâni, cineva observă că pe pagina de contact lipsesc harta și formularul încorporat de la un serviciu extern, ambele legate pe http://. Nimeni nu a văzut vreo eroare; cererile de ofertă doar s-au rărit.
Ce se întâmplă când expiră un certificat SSL
Când certificatul expiră, browserul nu mai deschide site-ul direct: vizitatorul vede o pagină întreagă de avertizare și trebuie să aleagă explicit să continue, lucru pe care puțini îl fac. Site-ul e online, dar pentru clienți arată ca unul periculos.
Formularele și plățile nu mai primesc nimic, campaniile plătite trimit trafic spre avertizare, iar integrările care apelează site-ul, de exemplu confirmările de plată, pot eșua. Dacă site-ul folosește HSTS, browserul nici nu mai oferă opțiunea de a continua.
Reînnoirea automată eșuează, de obicei, când domeniul a fost mutat sau DNS-ul schimbat și validarea nu mai ajunge la server, când contul de hosting a fost suspendat sau când certificatul a fost instalat manual și reînnoirea automată nu a fost pornită niciodată.
Un scenariu frecvent: certificatul a fost cumpărat și instalat manual la lansare de cine a construit site-ul. Colaborarea s-a încheiat, dar emailurile despre reînnoire ajung în continuare la acea persoană. Firma nu află nimic până în dimineața în care un client sună să întrebe de ce browserul îi spune că site-ul nu e sigur.
De ce urmărirea certificatului ține de mentenanța site-ului
Urmărirea certificatului ține de mentenanță pentru că o reînnoire eșuată nu dă niciun semn până în ziua expirării, iar atunci o vede întâi clientul. Cineva trebuie să știe când expiră certificatul, să verifice că reînnoirea a reușit și să reverifice totul după orice schimbare de server, de domeniu sau de DNS.
Monitorizarea disponibilității completează verificările, ca un site care nu se mai deschide normal să fie observat în aceeași zi, nu când sună un client.
La Magnitude Web, serviciul de mentenanță site web acoperă tot ce are nevoie un site după lansare, în afară de hosting: certificatul SSL urmărit, verificări de securitate, monitorizarea disponibilității, backup-uri, actualizări și remedieri. Răspunsul vine în 12–24 de ore pentru sarcinile obișnuite și imediat pentru urgențe, adică atunci când site-ul nu se încarcă, formularele sau plățile nu funcționează ori există o problemă de securitate. Hostingul nu este inclus; pentru preluare e nevoie de acces la site și la hosting, de unde se administrează de obicei și certificatul. Pot fi preluate și site-uri construite de altcineva.
Greșeli frecvente cu certificatul SSL
Cele mai multe probleme nu vin din tipul de certificat, ci din ce se întâmplă în jurul lui.
- Certificat doar pentru firma.ro, fără www.firma.ro. Cine scrie adresa cu www primește o eroare.
- HTTPS activ, dar fără redirecționare. O parte din vizitatori ajung tot pe varianta nesecurizată.
- Certificat instalat fără certificatele intermediare. Pe calculatorul tău merge, pe unele telefoane sau aplicații apare avertisment.
- Notificări de expirare trimise cuiva care nu mai lucrează cu firma.
- Un EV cumpărat pentru încredere sau pentru SEO. Vizitatorul nu vede diferența, iar pentru Google contează că site-ul folosește HTTPS, nu tipul certificatului.
Termeni pe care merită să îi știi
Termenii de mai jos apar în orice panou de hosting sau discuție cu un furnizor de certificate.
- TLS (Transport Layer Security): protocolul care criptează conexiunea; succesorul SSL-ului.
- Autoritate de certificare: organizația care verifică cererea și emite certificatul; browserele păstrează lista autorităților în care au încredere.
- Certificat intermediar: veriga dintre certificatul site-ului și certificatul rădăcină al autorității. Serverul trebuie să le trimită împreună, altfel lanțul de încredere e incomplet.
- CSR: cererea de semnare a certificatului, generată pe server și trimisă autorității când ceri un certificat plătit.
- HSTS: regula trimisă de server prin care browserul deschide site-ul doar pe HTTPS.
- Certificat digital pentru semnătura electronică: alt produs, chiar dacă vine uneori de la aceiași furnizori. Îl folosești ca să semnezi documente, de exemplu în relația cu ANAF; nu securizează un site.
Întrebări frecvente
Certificatul de securitate și certificatul SSL sunt același lucru?
Da, când e vorba de un site: „certificat de securitate”, „certificat SSL” și „certificat TLS” denumesc fișierul care permite conexiunea HTTPS. Certificatul digital pentru semnătura electronică e altceva.
Un certificat SSL gratuit este la fel de sigur ca unul plătit?
Da, la criptare. Un certificat DV gratuit, de exemplu de la Let's Encrypt, criptează conexiunea la fel ca un DV plătit. Plătești pentru verificarea firmei (OV sau EV), pentru suport sau pentru o cerință a unui partener, nu pentru o criptare mai bună.
Cât costă un certificat SSL?
Un certificat DV poate fi gratuit, inclus în hosting sau emis de Let's Encrypt. Certificatele OV și EV se plătesc, iar prețul depinde de tip, de numărul de domenii acoperite și de furnizor.
De ce apare „nesigur” deși site-ul are HTTPS?
Cel mai des, din cauza conținutului mixt: pagina e pe HTTPS, dar încarcă imagini, scripturi sau formulare pe http://. Alte cauze sunt un certificat expirat, unul care nu acoperă varianta cu www sau un lanț de certificate incomplet. Consola browserului și un verificator online de certificate arată cauza exactă.
Încetinește HTTPS-ul site-ul?
Nu în mod vizibil. Conexiunea criptată adaugă foarte puțin, iar browserele folosesc versiunile mai noi ale protocolului web, HTTP/2 și HTTP/3, doar pe conexiuni criptate. Dacă un site e lent, cauza e aproape mereu în altă parte; ce îl încetinește de fapt și ce repari întâi afli dintr-o măsurătoare.