תעודת אבטחה (SSL/HTTPS)

תעודת אבטחה (SSL) היא פרוטוקול הצפנה דיגיטלי המבטיח תקשורת מאובטחת בין דפדפן האינטרנט של המשתמש לבין השרת המארח את האתר. כאשר אתר משתמש בפרוטוקול זה, כתובת ה URL שלו מתחילה ב HTTPS והדפדפן מציג אינדיקציה ויזואלית (כמו מנעול) המעידה על כך שהחיבור בטוח. המטרה העיקרית היא למנוע מגורמים עוינים להאזין, לגנוב או לשבש את המידע העובר ברשת. עבור בעלי אתרים, זוהי דרישת סף בסיסית של גוגל לדירוג גבוה בתוצאות החיפוש.

דמיינו לרגע שאתם נכנסים לסניף בנק פיזי. הדלתות פתוחות לרווחה, אין שומר בכניסה, והפקיד מבקש מכם לצעוק את הקוד הסודי שלכם ואת מספר תעודת הזהות מקצה החדר לקצה השני, כשעשרות אנשים זרים עומדים באמצע ושומעים הכל. התחושה הזו, של חוסר ביטחון וחשיפה מוחלטת, היא בדיוק מה שמרגיש הדפדפן (ובסופו של דבר הגולש) כשהוא נכנס לאתר שאינו מאובטח בתעודת SSL.

היום החלטנו לחשוף בפניכם את העולם הנסתר של אבטחת האתרים, לא רק מהצד הטכני היבש, אלא מהצד שמשפיע ישירות על הכיס שלכם, על המוניטין שלכם ועל היכולת שלכם לישון בשקט בלילה. אנחנו מבינים את החשש הטכנולוגי. המונחים האלו נשמעים לפעמים כמו סינית עתיקה, אבל האמת היא שזה הרבה יותר פשוט ממה שנדמה לכם. הביטחון של הלקוחות שלכם הוא הנכס היקר ביותר שיש לכם, ואנחנו כאן כדי לוודא שאתם שומרים עליו מכל משמר.

מה המשמעות האמיתית של HTTPS ומדוע זה קריטי?

ראשי התיבות SSL מייצגות Secure Sockets Layer, אך הטכנולוגיה המודרנית יותר נקראת למעשה TLS (Transport Layer Security). בפועל, כולם עדיין קוראים לזה SSL. כשאתם מתקינים תעודה כזו, הכתובת שלכם משתנה מ HTTP ל HTTPS. ה S הנוספת הזו עומדת עבור המילה Secure (מאובטח).

חשבו על זה כאנלוגיה פשוטה משלוח מכתב בדואר.

בפרוטוקול HTTP הרגיל, המידע נשלח כמו גלויה פתוחה. כל דוור, פקיד מיון, או שכן חטטן יכול לקרוא מה כתוב בה בדרך ליעד.

בפרוטוקול HTTPS המאובטח, המידע נשלח בתוך כספת משוריינת שרק למקבל המיועד יש את המפתח לפתוח אותה. גם אם מישהו מצליח ליירט את המשלוח בדרך, כל מה שיש לו ביד זו קופסה נעולה שאי אפשר לפרוץ.

החשיבות של הדבר מתבטאת בשלושה מישורים עיקריים

• הצפנה המידע הופך לבלתי קריא עבור כל מי שאינו המקבל המורשה.

• שלמות נתונים המידע לא יכול להשתנות או להשתבש בזמן המעבר.

• אימות הוכחה שהגולש אכן מתקשר עם האתר האמיתי ולא עם מתחזה.

מדוע גוגל ומנועי החיפוש דורשים את זה?

בשנים האחרונות גוגל שמה דגש עצום על חוויית משתמש וביטחון הגולשים. על פי מסמכי ההנחיות של גוגל (כפי שמשתקף בקבצים המדברים על E E A T – מומחיות, סמכותיות ואמינות), האות T שמייצגת Trust (אמינות) היא אולי החשובה ביותר. אתר שאינו מאובטח פוגע אנושות באמינות שלו בעיני המנוע ובעיני הגולשים.

כבר בשנת 2014 גוגל הודיעה באופן רשמי כי HTTPS הוא גורם דירוג (Ranking Signal). זה אומר שאם ישנם שני אתרים עם תוכן זהה, וותק זהה וקישורים זהים, האתר המאובטח יקבל עדיפות בתוצאות החיפוש. מעבר לכך, הדפדפן של כרום מציג כיום התראה בולטת ומפחידה "Not Secure" באתרים ללא תעודה, מה שגורם לרוב המוחלט של הגולשים לברוח מיד החוצה. אחוזי נטישה גבוהים מאותתים לגוגל שהאתר שלכם אינו איכותי.

קידום אתרים לעורכי דין ואמינות דיגיטלית

כאשר אנו מדברים על תחומים רגישים, הנושא הופך לקריטי פי כמה. תחום המשפטים הוא דוגמה קלאסית. עורך דין מחזיק במידע הרגיש ביותר של הלקוחות שלו. זה יכול להיות מידע על תיקי גירושין, עבירות פליליות, צוואות או סכסוכים עסקיים בהיקפי ענק.

עבור עורכי דין, האתר הוא לא רק כרטיס ביקור אלא השער למשרד. לקוח פוטנציאלי שמחפש עורך דין נמצא לרוב במצוקה או בצורך דחוף. אם הוא נכנס לאתר ורואה אזהרת אבטחה, האסוציאציה המיידית היא חוסר מקצועיות וחוסר דיסקרטיות. איך הוא יכול לסמוך על עורך הדין שישמור על הסודות שלו, אם עורך הדין לא מצליח לשמור אפילו על האתר של עצמו?

יתרה מכך, אתרי עורכי דין כוללים לרוב טפסי יצירת קשר בהם הגולשים משאירים פרטים אישיים ותיאור קצר של המקרה. ללא הצפנת SSL, המידע הזה חשוף לעיני כל האקר מתחיל. בעידן של תקנות הגנת הפרטיות, רשלנות כזו יכולה לעלות ביוקר, לא רק במיקום בגוגל אלא גם בתביעות משפטיות.

קידום אתרים לרופאים וחיסיון רפואי

תחום נוסף שנמצא תחת הקטגוריה המחמירה של גוגל שנקראת YMYL (הכסף שלך או החיים שלך) הוא תחום הרפואה. רופאים, מרפאות ומנתחים פלסטיים חייבים להבין שתעודת אבטחה היא לא המלצה אלא חובה אתית ומקצועית.

גולש שמחפש מידע רפואי חושף את החולשות הגדולות ביותר שלו. הוא עשוי לחפש מידע על מחלות, תרופות פסיכיאטריות, או פרוצדורות אסתטיות שהוא רוצה לשמור בסוד. אם אתר של רופא אינו מאובטח, גוגל רואה בכך הפרה בוטה של אמון המשתמש. האלגוריתם של גוגל לא יקח סיכון ולא יציג בתוצאות הגבוהות אתר רפואי שעלול לסכן את פרטיות הגולש.

בעולם הרפואי, האמינות (Trustworthiness) היא הכל. תעודת SSL היא הסימן הראשון לכך שהרופא מכבד את המטופל עוד לפני שהמטופל הגיע לקליניקה. אתר רפואי ללא מנעול ירוק משדר רשלנות, ורשלנות היא המילה האחרונה שמישהו רוצה לקשר לרופא שלו.

איך התהליך הטכני עובד מאחורי הקלעים?

בשביל להבין את הקסם, נשתמש באנלוגיה של "מפתח ומנעול". התהליך נקרא "לחיצת יד" (SSL Handshake) והוא קורה במילישניות בודדות עוד לפני שהאתר נטען אצלכם במחשב.

הנה השלבים בצורה פשוטה

1. הדפדפן פונה לשרת "שלום, אני רוצה להתחבר אליך בצורה מאובטחת."

2. השרת שולח תעודה השרת מציג את תעודת ה SSL שלו ואת "המפתח הציבורי". זה כמו שהשרת מראה תעודת זהות ואומר "זה אני, והנה מנעול פתוח שכולם יכולים לנעול, אבל רק אני יכול לפתוח."

3. הדפדפן בודק הדפדפן מוודא שהתעודה בתוקף ושהיא הונפקה על ידי גוף מוסמך.

4. יצירת מפתח סודי הדפדפן יוצר מפתח הצפנה חד פעמי, נועל אותו בתוך ה"מנעול" שהשרת שלח, ושולח את זה חזרה לשרת.

5. פענוח השרת משתמש ב"מפתח הפרטי" שלו (שנמצא רק אצלו) כדי לפתוח את ההודעה ולקבל את המפתח החד פעמי.

6. תקשורת מאובטחת מעכשיו, שני הצדדים משתמשים במפתח המשותף כדי להצפין את כל המידע שעובר ביניהם.

סוגי תעודות אבטחה שונים

לא כל התעודות נולדו שוות. ישנן רמות שונות של אימות, בהתאם לצרכי הארגון

מומחה קידום אתרים והגישה המקצועית

כאשר מומחה קידום אתרים (SEO Expert) ניגש לפרויקט חדש, הדבר הראשון שהוא בודק בבדיקה הטכנית (Technical Audit) הוא נושא האבטחה ותקינות פרוטוקול ה HTTPS. מומחה אמיתי יודע שאין טעם להשקיע בתוכן איכותי או בקישורים חיצוניים אם הבסיס רעוע.

מבחינת המומחה, אתר לא מאובטח הוא כמו דלי עם חור. לא משנה כמה מים (תנועת גולשים) נשפוך פנימה, הכל ינזל החוצה בגלל אחוזי נטישה גבוהים ודירוג נמוך. המומחה יוודא לא רק שהתעודה קיימת, אלא שהיא מותקנת נכון, שאין "תוכן מעורב" (Mixed Content – מצב שבו האתר מאובטח אבל תמונות נטענות ב HTTP), ושמתבצעת הפניה אוטומטית וקבועה (301) מגרסת הלא מאובטחת לגרסה המאובטחת. זהו ההבדל בין חובבן למקצוען הפרטים הקטנים שעושים את ההבדל הגדול בדירוג.

שאלות ותשובות שחשוב להכיר

הכנו עבורכם מספר שאלות נפוצות שעולות תמיד בנושא הזה

האם תעודת SSL עולה כסף?

בעבר תעודות אלו היו יקרות מאוד. כיום, הודות ליוזמות כמו Let's Encrypt, ניתן להשיג תעודות אבטחה בסיסיות (DV) בחינם לחלוטין דרך רוב חברות האחסון. עבור אתרים מסחריים גדולים, עדיין מומלץ לרכוש תעודות מתקדמות הכוללות ביטוח ואחריות.

האם המעבר ל HTTPS יאיט את האתר שלי?

זהו מיתוס ישן. אמנם תהליך ההצפנה דורש משאבי עיבוד, אך הטכנולוגיה של היום (ובמיוחד פרוטוקול HTTP/2 שעובד רק עם SSL) הופכת את האתרים המאובטחים למהירים הרבה יותר מאתרים רגילים. האבטחה למעשה משפרת ביצועים במקרים רבים.

האם אני צריך את זה אם אין לי חנות וירטואלית?

חד משמעית כן. גם אם אינכם סולקים אשראי, אתם אוספים דאטה (טפסי צור קשר, הרשמה לניוזלטר), ואתם רוצים שהגולשים יסמכו עליכם. מעבר לכך, הדפדפנים יסמנו את האתר שלכם כ"לא בטוח" ללא קשר למה שיש בו, וזה פוגע במותג שלכם.

מה קורה אם התעודה פגה?

זהו מצב לא נעים בכלל. הדפדפן יחסום את הגישה לאתר ויציג מסך אדום ומפחיד שמזהיר את הגולשים שלא להיכנס. זה יכול לגרום לנזק תדמיתי ולצניחה במיקומים בגוגל תוך שעות ספורות. לכן חשוב להגדיר חידוש אוטומטי לתעודה.

לסיכום הנושא

העולם הדיגיטלי מתקדם בצעדי ענק לעבר פרטיות ואבטחה מקסימלית. מה שהיה פעם נחלתם של בנקים ואתרי מסחר, הפך היום לסטנדרט בסיסי עבור כל בלוגר, עורך דין או בעל עסק. תעודת ה SSL היא המגן שלכם ושל הלקוחות שלכם בעולם הסייבר הפרוץ. אל תחכו לרגע האחרון או לתלונה של לקוח. ודאו שהאתר שלכם נעול, בטוח ומוכן לקבל את פני הגולשים בצורה המכובדת והבטוחה ביותר. זהו הבסיס לקידום אתרים מוצלח, וזהו הבסיס לאמון שנבנה ביניכם לבין הקהל שלכם.