Эксплуатация
SSL/TLS: что защищает HTTPS и что проверить перед запуском
TLS — протокол защиты данных при передаче между клиентом и сервером. HTTPS использует TLS для соединения с сайтом; SSL — название предшествующего протокола, которое сохранилось в выражении «SSL-сертификат».
Редакция:
TLS шифрует передаваемые данные, позволяет обнаружить их подмену в соединении и проверить подлинность сервера. Сертификат связывает ключ сервера с доменным именем. Эти функции описаны в объяснении TLS от MDN. Сертификат для другого имени или с истёкшим сроком может вызвать предупреждение браузера.
При выдаче сертификата с проверкой домена удостоверяющий центр проверяет контроль над доменом. Это не аудит кода сайта и не подтверждение добросовестности компании. Например, Let's Encrypt описывает проверку домена и автоматическую выдачу сертификата.
Пример: соединение защищено, сценарий не работает
Учебная ситуация: посетитель открывает страницу по HTTPS, но отправленная заявка не появляется у менеджера. Сертификат не доказывает доставку формы. Нужно отдельно проверить ответ обработчика и результат в системе получателя.
Аналогично HTTPS не заменяет права доступа в CMS, обновления приложения или резервные копии. Если соединение заканчивается на промежуточном сервере, следующий участок до приложения требует отдельной проверки. Не просите подтвердить «полную безопасность» одним скриншотом адресной строки: согласуйте конкретные проверки и границы ответственности.
Чек-лист заказчика
| Область | Что попросить показать |
|---|---|
| Адреса | Основной домен и используемые поддомены открываются без предупреждений о сертификате |
| Переходы | Старые HTTP-ссылки ведут на согласованный HTTPS-адрес с сохранением нужной страницы |
| Ресурсы | Изображения, шрифты и скрипты загружаются; специалист проверил ошибки смешанного содержимого |
| Сценарии | Форма и другие согласованные действия работают до проверяемого результата |
| Продление | Назначены ответственный, способ обновления сертификата и контроль ошибки обновления |
| Передача | Заказчик знает, где обслуживается HTTPS и к кому обращаться при сбое |
Смешанное содержимое возникает, когда HTTPS-страница загружает ресурсы по HTTP. Браузер может обновить такой запрос до HTTPS или заблокировать его — поведение зависит от ресурса. Поэтому проверить только открытие главной недостаточно. Подробнее о mixed content в MDN.
Что включить в сопровождение
В карточке обслуживания запишите домены, место настройки TLS, ответственного за продление, получателя уведомления о сбое и дату последней проверки. Не включайте в общую таблицу закрытые ключи или пароли. Если обновление автоматическое, уточните, кто заметит, что оно перестало работать.
Проверки на тестовой среде полезны, но её сертификат не подтверждает настройку основного домена. После разрешённого запуска повторите проверку на публичном адресе. Предупреждение браузера фиксируйте как проблему для специалиста, а не как шаг, который посетителю предлагается пропустить.
Объедините эти пункты с чек-листом приёмки сайта, а ответственность за сертификаты и сервер — с условиями размещения. Тогда в предложении подрядчика появится проверяемый состав работ вместо одной строки «SSL подключён».