SSL sertifikātu veidi: izvēlieties piemērotāko
Publicēts 2026. gada 30. septembrī
Atbilstošs SSL sertifikāts vienlaikus veic divus uzdevumus: tas šifrē datplūsmu starp apmeklētāju un jūsu serveri un uzrāda identitāti, kurai apmeklētājiem ir jāuzticas. SSL sertifikātu veidi galvenokārt atšķiras pēc tā, kā tiek validēta šī identitāte un cik resursdatoru nosaukumus tie aptver. Lielākajai daļai vietņu pareizā izvēle ir mazāk saistīta ar kriptogrāfiju un vairāk ar sertifikāta pārklājuma un validācijas pielāgošanu tam, kā pakalpojums faktiski darbojas.
Neliela informatīva vietne, norēķinu lapa, vairāku nomnieku SaaS platforma un aģentūra, kas pārvalda 40 klientu domēnus, var izmantot vienus un tos pašus TLS šifrēšanas standartus. Tām nevajadzētu automātiski izmantot vienu un to pašu sertifikātu. Pakalpojuma darbība ir mierīgāka, kad sertifikāta plāns atbilst infrastruktūras plānam.
SSL sertifikātu veidi pēc validācijas līmeņa
Validācijas līmenis nosaka, ko sertifikācijas iestāde pārbauda pirms sertifikāta izsniegšanas. Katrs derīgs sertifikāts šifrē savienojumu. Atšķiras identitātes pārbaudes apjoms un dažos gadījumos arī sertifikāta informācijas sadaļā parādītā informācija.
Domēna validācijas sertifikāti
Domēna validācijas jeb DV sertifikāts apstiprina kontroli pār domēna nosaukumu. Sertifikācijas iestāde parasti lūdz izveidot DNS ierakstu, augšupielādēt verifikācijas failu vai apstiprināt e-pastu, kas nosūtīts uz pilnvarotu adresi. Kad pārbaude ir sekmīgi pabeigta, izsniegšana var notikt ļoti ātri.
DV ir praktiska izvēle emuāriem, galvenajām lapām, izstrādes vidēm, API, iekšējiem rīkiem, kuri pieejami, izmantojot domēnu, un daudzām standarta uzņēmumu vietnēm. Tas apmeklētājiem nodrošina HTTPS piekaramo atslēgu un šifrē akreditācijas datus, veidlapas, sesijas un citu pārraides laikā nosūtīto datplūsmu.
Kompromiss ir vienkāršs: DV nepārbauda aiz vietnes esošo juridisko uzņēmumu. Apmeklētājs var redzēt, ka savienojums ir šifrēts un vietne kontrolē domēnu, taču no sertifikācijas iestādes sertifikāts nenodrošina atsevišķi pārbaudītu organizācijas identitāti. Daudziem uzņēmumiem tas ir pilnīgi piemēroti.
Organizācijas validācijas sertifikāti
Organizācijas validācijas jeb OV sertifikāti pieprasa, lai sertifikācijas iestāde pārbaudītu gan kontroli pār domēnu, gan organizāciju, kas pieprasa sertifikātu. Parasti tas ietver uzņēmuma reģistrācijas datu, adreses informācijas un apstiprinātas saziņas metodes pārbaudi.
OV sertifikāti ir piemēroti jau nostiprinātiem uzņēmumiem, B2B portāliem, aģentūru vietnēm, iepirkumu platformām un klientu zonām, kur organizācijas identitātei ir nozīme. Pārbaudītā informācija par organizāciju ir pieejama sertifikāta datos, kas var atbalstīt padziļinātas pārbaudes sarunas ar uzņēmumu klientiem vai drošības komandām.
Šifrēšana nav spēcīgāka par DV tikai tāpēc, ka sertifikāts ir OV. Mūsdienīga TLS aizsardzība ir atkarīga no servera konfigurācijas, atbalstītajām protokola versijām, šifru komplektiem un sertifikāta atslēgas tipa. OV nodrošina augstāku identitātes ticamības pārbaudes procesu, nevis maģiski papildu šifrēšanu. Joprojām noderīgi, tikai ne burvestība.
Paplašinātās validācijas sertifikāti
Paplašinātās validācijas jeb EV sertifikātiem ir nepieciešams visdetalizētākais validācijas process. Sertifikācijas iestāde saskaņā ar noteiktiem noteikumiem pārbauda organizācijas juridisko pastāvēšanu, darbības statusu, fizisko adresi un pilnvaroto pieprasītāju.
EV var būt piemērots regulētām organizācijām, finanšu pakalpojumiem, augstas vērtības e-komercijas zīmoliem un uzņēmumiem ar formālām iepirkumu vai atbilstības prasībām. To var pieprasīt arī partneris, kuram ir savs piegādātāju drošības kontrolsaraksts.
Tipiskai maza uzņēmuma vietnei EV automātiski nav labākais ieguldījums. Mūsdienu pārlūkprogrammas vairs neparāda izteikti zaļu adreses joslu, kas kādreiz EV padarīja pamanāmu ikdienas lietotājiem. Izvēlieties to, kad tā validācijas process atbilst reālai uzticamības, līgumiskai vai politikas prasībai, nevis tāpēc, ka sagaidāt būtisku vizuālu reklāmguvumu pieaugumu.
SSL sertifikātu veidi pēc domēna pārklājuma
Pēc validācijas nākamais lēmums ir pārklājums. Tieši šeit sertifikātu iegāde visbiežāk nenotiek pareizi. Sertifikāts var būt derīgs un pareizi instalēts, bet joprojām nedarboties resursdatora nosaukumam, kura aizsardzībai tas nekad nav izsniegts.
Viena domēna sertifikāti
Viena domēna sertifikāts aizsargā vienu pilnībā kvalificētu domēna nosaukumu, piemēram, `www.example.com` vai `app.example.com`. Atkarībā no sertifikāta konfigurācijas saknes domēnam un `www` versijai var būt nepieciešams atsevišķs pārklājums. Nekad neuzskatiet, ka abi ir iekļauti, nepārbaudot sertifikāta alternatīvos subjekta nosaukumus, ko bieži sauc par SAN.
Viena domēna sertifikāti ir vienkārši un viegli pārvaldāmi vienam pakalpojumam. Tie ir piemēroti, ja lietojumprogrammai ir īpašs resursdatora nosaukums un neatkarīgs atjaunošanas cikls.
Wildcard sertifikāti
Wildcard sertifikāts aizsargā domēnu un tā pirmā līmeņa apakšdomēnus, piemēram, `shop.example.com`, `api.example.com` un `status.example.com`, izmantojot tādu nosaukumu kā `*.example.com`. Tas ir noderīgs platformām, kurās apakšdomēni tiek pievienoti regulāri, tostarp aģentūru izvietojumiem, klientu portāliem un augošām SaaS vidēm.
Ir viena robeža, kas mēdz pārsteigt: `*.example.com` neaizsargā `example.com`, ja saknes domēns nav iekļauts atsevišķi, un tas neaptver `east.api.example.com`. Wildcard sertifikāti aptver tikai vienu apakšdomēna līmeni. Atklāt to palaišanas laikā nav patīkamākā DNS situācija, tāpēc pirms pasūtīšanas izveidojiet resursdatoru nosaukumu karti.
Wildcard sertifikātiem parasti nepieciešama uz DNS balstīta validācija, jo kontroles pār wildcard domēnu pierādīšanai ir nepieciešams DNS izaicinājums. Ja DNS piekļuve ir sakārtota, tas parasti ir vienkārši, taču pirms automatizētas atjaunošanas darbplūsmas izvēles tas ir jāņem vērā.
Vairāku domēnu jeb SAN sertifikāti
Vairāku domēnu sertifikāts, ko dēvē arī par SAN sertifikātu, vienā sertifikātā aizsargā vairākus konkrētus resursdatoru nosaukumus. Piemēram, viens sertifikāts var aptvert `example.com`, `www.example.com`, `app.example.net` un `customer.example.org`.
Tas ir noderīgi uzņēmumiem, kas pārvalda vairākus zīmolus, aģentūrām, kas mitina saistītus klientu pakalpojumus, vai komandām, kurām vienai noteiktai galapunktu grupai nepieciešams viens kontrolēts sertifikāts. Tas var samazināt sertifikātu sadrumstalotību, bet rada arī kopīgu atkarību. Ja šo sertifikātu nomaināt vai atsaucat, var tikt ietekmēts ikviens aptvertais resursdatora nosaukums.
Lielās vidēs atsevišķi sertifikāti katrai lietojumprogrammai, struktūrvienībai vai atjaunošanas pārvaldniekam var būt drošāki no darbības viedokļa. Mazāks sertifikātu skaits ne vienmēr nozīmē mazāk darba, ja viena izmaiņa ietekmē ļoti plašu loku.
Kā izvēlēties pareizo sertifikātu
Sāciet ar resursdatoru nosaukumiem, nevis produkta nosaukumu. Uzskaitiet katru publisko domēnu, `www` nosaukumu, API galapunktu, administrēšanas portālu, ar pastu saistīto galapunktu un plānoto apakšdomēnu, kam nepieciešams TLS. Pēc tam nosakiet, vai šie nosaukumi ir nemainīgi, neparedzami aug vai tos pārvalda dažādas komandas.
Viena domēna DV sertifikāts parasti ir pietiekams vienai vietnei vai lietojumprogrammas galapunktam. Wildcard DV sertifikāts bieži ir saprātīga izvēle augošam pirmā līmeņa apakšdomēnu kopumam. SAN sertifikāts labi darbojas fiksētai nosaukumu kopai dažādos domēnos. OV vai EV validācija jāiekļauj lēmumā, ja klienti, politika, nozares prakse vai līguma nosacījumi pieprasa identitātes pārbaudi.
Ņemiet vērā arī vidi aiz sertifikāta. Ja datplūsma tiek pārtraukta slodzes balansētājā, reversajā starpniekserverī, CDN vai pārvaldītā tīmekļa serverī, sertifikāts jāinstalē un jāatjauno vietā, kur TLS tiek pārtraukts. Tā instalēšana aizmugursistēmas serverī nepalīdzēs, ja apmeklētāji vispirms izveido savienojumu ar starpniekserveri, kuram ir beidzies sertifikāta derīguma termiņš.
Atjaunošana, automatizācija un darbības riski
Sertifikāts ar beigušos derīguma termiņu var apturēt pieteikšanos, norēķinu plūsmas, API izsaukumus un pārlūkprogrammas uzticēšanos, klientiem par to saņemot ļoti mazu brīdinājumu. Sertifikāta atjaunošana jāuztver kā darbības uzdevums, nevis kalendāra atgādinājums, ko kāds cer pamanīt aizņemtā piektdienā.
Izmantojiet automatizētu atjaunošanu, ja to pieļauj jūsu sertifikāta veids un validācijas metode. DNS validācija ir īpaši noderīga wildcard sertifikātiem, taču automatizācijai nepieciešama droša piekļuve DNS ierakstiem. Rūpīgi ierobežojiet šos akreditācijas datus un dokumentējiet, kam tie pieder. Failu validācijas gadījumā pārliecinieties, ka novirzīšana, kešatmiņas noteikumi, tīmekļa lietojumprogrammu ugunsmūri un izvietošanas konveijeri nebloķē verifikācijas ceļu.
Pēc instalēšanas vai atjaunošanas pārbaudiet ne tikai piekaramo atslēgu. Pārbaudiet sertifikātu ķēdi, aptvertos nosaukumus, derīguma termiņa beigu datumu, novirzīšanas darbību un TLS galapunktu, kas faktiski apkalpo publisko datplūsmu. Uzraudzībai jābrīdina krietni pirms derīguma termiņa beigām un jāpārbauda klientu izmantotais resursdatora nosaukums, nevis tikai iekšējā servera adrese.
Komandām, kas nevēlas šo darbības slodzi uzņemties vienas, pārvaldīta mitināšanas atbalsta pakalpojums var palīdzēt ar sertifikāta instalēšanu, atjaunošanas pārbaudēm, DNS validāciju un pakalpojuma uzraudzību. Vietnē kodu.cloud praktiskais mērķis nav padarīt sertifikātus aizraujošus. Mērķis ir uzturēt šifrētos pakalpojumus pieejamus, kamēr jūs veicat darbu, kas apmaksā rēķinus.
Izvēlieties mazāko sertifikāta tvērumu, kas uzticami aptver jūsu faktiskos pakalpojumus, automatizējiet atjaunošanu, ko iespējams automatizēt, un nodrošiniet pietiekamu pārskatāmību, lai cilvēks varētu pamanīt izņēmumus. Drošība vislabāk darbojas tad, kad tā ir garlaicīga vislabākajā nozīmē.
Andres Saar Klientu atbalsta inženieris