בקצרה: תעודת SSL מצפינה את החיבור בין הגולש לאתר, ובזכותה הכתובת מתחילה ב-https. בלעדיה Chrome ושאר הדפדפנים מסמנים את האתר כ"לא מאובטח", ולקוחות רבים סוגרים את הדף לפני שהשאירו פרטים. ברוב המקרים התעודה חינמית ומתחדשת לבד, ומה שנשאר לכם הוא לוודא שההפניות והחידוש באמת עובדים.
מה זה SSL ומה זה HTTPS, בלי מונחים מסובכים
HTTP היא השפה שבה הדפדפן והשרת מדברים. HTTPS היא אותה שפה, עם הצפנה. תעודת SSL היא מה שמאפשר את ההצפנה הזו. השם המקצועי המעודכן הוא TLS, אבל כמעט כולם ממשיכים להגיד SSL, וזה בסדר.
לתעודה יש שני תפקידים. הראשון הוא הצפנה: כל מה שעובר בין הגולש לאתר, כולל שם וטלפון שנכתבו בטופס, עובר מוצפן. מי שמאזין בדרך, למשל ברשת ויפיי ציבורית בבית קפה, רואה רק רצף תווים חסר משמעות. התפקיד השני הוא זהות: התעודה מוכיחה לדפדפן שהשרת באמת שייך לכתובת שהגולש הקליד, ולא למישהו שמתחזה אליה.
את כל זה הדפדפן עושה לבד, בשבריר שנייה. הגולש רואה רק סימן קטן ליד הכתובת, וזה בדיוק מה שצריך לקרות.
מה קורה לאתר בלי HTTPS
- הדפדפן מציג "לא מאובטח" ליד הכתובת. בטלפון, שבו שורת הכתובת קצרה, זה תופס חלק בולט ממנה.
- בעמוד עם טופס האזהרה חריפה יותר, בדיוק ברגע שבו הלקוח מתלבט אם להשאיר פרטים.
- גוגל הודיעה לפני שנים ש-HTTPS הוא אחד האותות שהיא מתחשבת בהם. הוא לא יקפיץ אתר לראש החיפוש, אבל אתר בלי https מתחיל בחיסרון.
- חלק מהיכולות של דפדפנים מודרניים עובדות רק באתרים מאובטחים.
הנזק הגדול הוא באמון. לקוח לא חייב להבין מה זו הצפנה, אבל הוא מבין היטב את המילים "לא מאובטח". על שאר הדברים שבונים אמון באתר כתבתי במאמר על אמון באתר.
נניח שיש לכם אתר תדמית בלי https
לקוחה מחפשת בגוגל קוסמטיקאית באזור, נכנסת לשני אתרים מהטלפון ומשווה. בראשון הכתובת נקייה. בשני, ליד הכתובת מופיע "לא מאובטח", ובעמוד יצירת הקשר הדפדפן מוסיף אזהרה מתחת לשדה הטלפון. היא לא תתקשר לבדוק מה זה אומר. היא פשוט תחזור לאתר הראשון. ההבדל בין שני האתרים יכול להיות עיצוב זהה ומחירים זהים, וההחלטה נפלה בגלל שורה אחת בשורת הכתובת.
צריך SSL גם באתר בלי חנות?
כן. פעם חשבו שהצפנה נחוצה רק באתרים שגובים תשלום. היום היא הבסיס של כל אתר. גם טופס יצירת קשר עם שם וטלפון אוסף מידע אישי, וגם אתר בלי טופס בכלל יסומן כלא מאובטח. אין היום סיבה טובה להשאיר אתר עסקי על http, ואין גם סיבה כלכלית.
כמה עולה תעודת SSL
ברוב המקרים: כלום. Let's Encrypt היא רשות תעודות ללא מטרות רווח שמנפיקה תעודות בחינם, ורוב ספקי האחסון המודרניים מתקינים אותן ומחדשים אותן אוטומטית. גם שירותים כמו Cloudflare ו-GitHub Pages נותנים https בלי הגדרה מיוחדת.
מתי שווה לשלם על תעודה
יש תעודות בתשלום שכוללות אימות נוסף של החברה שמאחורי האתר. ההצפנה עצמה זהה לגמרי. לעסק קטן עם אתר תדמית, תעודה חינמית מספיקה. אם ספק האחסון גובה תשלום נפרד על תעודה בסיסית, שווה לשאול למה ולבדוק אם יש אפשרות חינמית. זו אחת השאלות שכדאי לשאול כשבוחרים אחסון לאתר.
בדיקה של שתי דקות שכל בעל עסק יכול לעשות
קחו את הטלפון ואת המחשב, ועברו על הרשימה:
- הקלידו את הכתובת עם http:// בהתחלה. הדפדפן צריך לעבור לבד ל-https. אם הוא נשאר על http, חסרה הפניה.
- נסו עם www ובלי www. שתי הגרסאות צריכות לעבוד ולהגיע לאותה כתובת סופית.
- לחצו על הסימן שליד הכתובת ובדקו את פרטי התעודה ואת תאריך התפוגה שלה.
- פתחו כמה עמודים פנימיים, לא רק את דף הבית, ובמיוחד את עמוד יצירת הקשר.
- שלחו לעצמכם את הקישור בוואטסאפ ופתחו אותו משם. כך מגיעים הרבה מהלקוחות.
בטלפון הסימן נראה קצת אחרת מבמחשב. ב-Chrome לאנדרואיד ובספארי באייפון, לחיצה על האייקון שליד הכתובת פותחת חלון קטן שבו כתוב אם החיבור מאובטח, ומשם אפשר להגיע לפרטי התעודה. אם במקום האייקון מופיעות המילים "לא מאובטח", זו התשובה.
אם כל הסעיפים עברו, אתם במצב טוב. אם לא, זה בדרך כלל תיקון קצר למי שמתחזק את האתר. כדאי לחזור על הבדיקה פעם בכמה חודשים, ותמיד אחרי שינוי בדומיין או באחסון.
תוכן מעורב: כשיש https והדפדפן עדיין מתלונן
לפעמים האתר יושב על https, ובכל זאת אין מנעול או שמופיעה אזהרה. הסיבה הנפוצה היא "תוכן מעורב": תמונה, סקריפט או סרטון שנטענים מכתובת שמתחילה ב-http. הדפדפן רואה שחלק מהעמוד לא מוצפן, ומוריד את הסימון המאובטח מכל העמוד.
זה קורה הרבה באתרים ותיקים שעברו ל-https באמצע חייהם. תמונות הועלו עם כתובות מלאות שמתחילות ב-http, טופס ישן נטען משירות חיצוני, ואף אחד לא עדכן. הפתרון הוא לעדכן את הכתובות ל-https, או לטעון את הקבצים מהאתר עצמו. בכלי המפתחים של הדפדפן אפשר לראות בדיוק איזה קובץ גורם לבעיה.
תעודה שפגה: מה קורה ולמה
לתעודות יש תוקף קצר יחסית, והן צריכות להתחדש. כשהחידוש האוטומטי נכשל, הדפדפן כבר לא מציג אזהרה קטנה אלא מסך אזהרה מלא, ולקוחות צריכים ללחוץ על "מתקדם" כדי להמשיך. כמעט אף אחד לא ממשיך.
הסיבות הנפוצות:
- הדומיין עבר לספק אחר, וההגדרות לא עודכנו.
- התעודה הותקנה ידנית, ואף אחד לא זוכר לחדש אותה.
- נוסף תת-דומיין, כמו www או כתובת של דף נחיתה, שהתעודה לא מכסה.
- הדומיין עצמו פג, ואז נופל הכול ביחד, כמו שמוסבר במאמר על דומיין שפג תוקף.
מה SSL לא עושה
SSL מצפין את החיבור. הוא לא אומר שהאתר בטוח מכל בחינה אחרת. אתר עם תעודה תקינה עדיין יכול להיפרץ אם המערכת שלו לא מעודכנת או שהסיסמאות חלשות. וגם אתרי הונאה משתמשים ב-https, ולכן המנעול לא אומר שהאתר אמין, רק שהחיבור מוצפן. SSL הוא הצעד הראשון באבטחה, לא כל האבטחה. את שאר הצעדים פירטתי במדריך אבטחת אתר לעסק קטן.
אחרי מעבר מ-http ל-https
אם האתר עבר ל-https אחרי שכבר היה באוויר, יש כמה דברים לסגור:
- הפניה קבועה (301) מכל כתובת http לכתובת ה-https המקבילה, עמוד לעמוד.
- בדיקה ב-Google Search Console שגוגל מכיר את גרסת ה-https, ושליחה מחדש של מפת האתר.
- עדכון הכתובת בכרטיס הביקור, בחתימת המייל, בפרופיל העסק בגוגל וברשתות.
- בדיקה ש-Google Analytics ממשיך לספור.
אם המעבר הוא חלק ממעבר אחסון, הסדר המלא נמצא במדריך להעברת אתר לאחסון חדש.
אצלי זה מובנה מהיום הראשון
כל אתר שאני בונה עולה עם https מהיום הראשון, כולל הפניה אוטומטית מ-http ומ-www לכתובת אחת קבועה. אפשר לבדוק את זה בעצמכם באחד האתרים שבניתי, למשל האתר של אלה אוזן, יועצת משכנתאות וכלכלנית: הקלידו את הכתובת עם http ותראו לאן היא עוברת. התעודה מתחדשת לבד, והבדיקה שלה היא חלק מהתחזוקה השנתית. עוד אתרים חיים יש בתיק העבודות.
רוצים אתר שעובד בשביל העסק?
ספרו לי מה אתם צריכים, ותקבלו כיוון ברור והצעת מחיר מסודרת.