Πώς να εγκαταστήσετε πιστοποιητικό ασφαλείας (Let’s encrypt) στο site σας

How to https

Όπως έχουμε αναφέρει και σε προηγούμενες ανακοινώσεις μας (1, 2), η χρήση πιστοποιητικών ασφαλείας στα website, κρίνεται απαραίτητη πλέον μιας και οι web browsers έχουν αρχίσει να εμφανίζουν προειδοποιήσεις για τα website που δεν έχουν πιστοποιητικό και δεν χρησιμοποιούν ασφαλείς συνδέσεις. Όλα τα νέα hosting στην Πρίζα έχουν αυτόματα πλέον ασφαλείς συνδέσεις, ενώ όσοι έχουν ήδη ιστοσελίδες που φιλοξενούνται σε server της Πρίζας, μπορούν να ενεργοποιήσουν με τις παρακάτω οδηγίες την χρήση πιστοποιητικού στο site τους :

* Οι οδηγίες απευθύνονται σε χρήστες που έχουν κάποια εμπειρία και γνωρίζουν τι να κάνουν. Σε διαφορετική περίπτωση, συνιστούμε να επικοινωνήσετε μαζί μας, ώστε να αναλάβουμε εμείς την εγκατάσταση του πιστοποιητικού.

– Κάνουμε login στο Control Panel (Webmin) από εδώ με τα στοιχεία πρόσβασης που έχουμε.

– Αρχικά πηγαίνουμε στο Edit Virtual Server και ενεργοποιούμε από τα Enabled Features το SSL website enabled.

–  Αν όλα πάνε καλά εκεί, πηγαίνουμε στο Server Configuration -> Manage SSL Certificate -> Lets Encrypt και στο domains listed here γράφουμε μέσα στο κουτί :

domain
www.domain

Όπου $domain είναι το domain μας. Για παράδειγμα, αν κάναμε την αλλαγή στο stinpriza.org, θα γράφαμε:
stinpriza.org
www.stinpriza.org

Έπειτα, στο Months between automatic renewal επιλέγουμε την επιλογή με το κενό κουτάκι και εκεί μέσα γράφουμε : 2 (ανανεωση ανά 2 μηνες δηλαδή).
Πατάμε το Request Certificate απο κάτω και περιμένουμε να τελειώσει επιτυχώς. Αν όχι, σταματάμε και τσεκάρουμε το λάθος.

– Τώρα ελέγχουμε ότι δουλεύει το πιστοποιητικό (= ανοίγει η σελίδα μας από https://). Αν ανοίγει απευθείας χωρίς προειδοποιήσεις, σημαίνει ότι η εγκατάσταση του πιστοποιητικού πήγε καλά. Αν έχουμε πορτοκαλί σήμα στο browser, αυτό σημαίνει mixed-content και πρέπει να κάνουμε εσωτερικές αλλαγές στη σελίδα (δείτε παρακάτω).

– Πλέον μένει να ανακατευθύνουμε όλες τις συνδέσεις στη σελίδα μας, από http σε https. Από το control panel -> Services -> Configure Website -> Edit Directives, μας ανοίγει το αρχείο του web server για τη σελίδα μας. Εκεί βρίσκουμε ένα κομμάτι με Rewrite…. εκεί από κάτω προσθέτουμε τις παρακάτω 2 γραμμές, αλλάζοντας το domain με το domain της σελίδας μας.

RewriteCond %{SERVER_PORT} 80
RewriteRule ^(.*)$ https://domain/$1 [R,L]

– Τέλος, ανοιγουμε το σαιτ και διάφορες σελίδες του για να δούμε οτι δε βγαίνει error πουθενά.

Mixed content

Στα υπάρχοντα σαιτ πολλά links/posts/media είναι με υφιστάμενα http:// links περασμένα (εσωτερικά ή εξωτερικά), και γι’ αυτό οι browsers βγάζουν πορτοκαλί προειδοποίηση για mixed-content (https+http μαζί). αυτά πρέπει να φτιαχτούν ώστε να παίζουν σωστά, δηλαδή μόνο από https.
Αν κάτι που είναι σε μας (στο domain μας) χτυπάει, ελέγχουμε αν παίζει με https και το αλλάζουμε. Μπορεί να είναι κάποιο εσωτερικό link στο theme, οπότε μέσα από τη σελίδα ή με πρόσβαση ftp μπαίνουμε και αλλάζουμε το link δυναμικά. Αυτό χρειάζεται αρκετό χρόνο.
Για τα WordPress μια εύκολη λύση για τέτοιες δυναμικές αλλαγές είναι με τη χρήση του plugin Better Search Replace. ΠΡΟΣΟΧΗ, πριν από τις αλλαγές να έχουμε ένα backup της βάσης!!!!

Επίσης ελέγχουμε διάφορα Google links (π.χ. http://fonts.googleapis.com και γενικά οτιδήποτε άλλο css/js φορτώνει από googleapis.com) και τα γυρνάμε και αυτά σε https://, αν δεν είναι ήδη.

Aν είναι κάποιος εξωτερικός σύνδεσμος (π.χ. εικόνα) που χτυπάει και δεν έχει https, και επειδή δε μπορούμε να επέμβουμε σε άλλα σαιτ, μπορούμε να κατεβάσουμε την εικόνα στη σελίδα μας και να ενημερώσουμε το σχετικό άρθρο/ποστ ώστε να τη φορτώνει εσωτερικά και όχι από τον εξωτερικό σύνδεσμο.

Αποκλειστικά https συνδέσεις!

Let's Encrypt

Από 15/3/2017, όλα τα νέα web hosting της Πρίζας έχουν αποκλειστικά https συνδέσεις στην ιστοσελίδα τους. Αυτό γίνεται σύμφωνα και με τα νέα διεθνή πρότυπα που εφαρμόζονται σταδιακά στο διαδίκτυο.

Τα πιστοποιητικά ασφαλείας του Let’s Encrypt Certificate Authority ανανεώνονται αυτόματα ανά 2 μήνες. Δεν χρειάζεται καμία παρέμβαση από τους χρήστες στην εγκατάσταση του.

 

Πιστοποιητικό ασφαλείας και μοντέρνοι browsers

Πιστοποιητικό ασφαλείας web browser

Στις τελευταίες εκδόσεις των δημοφιλών περιηγητών (browsers) Google Chrome & Mozilla Firefox, και σε όλες τις σελίδες που επισκέπτεστε χωρίς ασφαλείς συνδέσεις (= χωρίς πιστοποιητικό ασφαλείας), βγαίνει πλέον προειδοποίηση στους χρήστες ότι δεν είναι ασφαλής η σύνδεση τους με τον συγκεκριμένο ιστότοπο. Παραδείγματα :

Mozilla Firefox

Google Chrome

 

Προς το παρόν οι προειδοποιήσεις αφορούν μόνο όσες ιστοσελίδες έχουν σελίδες login ή φόρμες για εισαγωγή στοιχείων και δεν τις εξυπηρετούν μέσω ασφαλής σύνδεσης.

Διαβάστε περισσότερα

Μπορείτε να βρείτε αρκετές πληροφορίες στα επίσημα blog των Google ( Moving towards a more secure web ) και Mozilla (Communicating the Dangers of Non-Secure HTTP , No More Passwords over HTTP, Please!, Deprecating Non-Secure HTTP & Deprecating Non-Secure HTTP – Frequently Asked Questions ), αλλά και σε άλλα websites :

Τι κάνουμε

Στην Πρίζα εδώ και ένα χρόνο περίπου (από τις 15/3/2016), ενεργοποιήσαμε τη δυνατότητα σε όλους τους πελάτες hosting, να ενσωματώσουν πιστοποιητικό ασφαλείας στις ιστοσελίδες τους μέσω του control panel & χωρίς κόστος, με τη χρήση του Let’s Encrypt πιστοποιητικού ασφαλείας. Περισσότερα θα βρείτε στη σχετική ανακοίνωση του 2016 :  Πιστοποιητικά ασφαλείας για τα hosting της Πρίζας. Βάσει των εξελίξεων στο πεδίο των web browser και με την νέα μας αυτή ανακοίνωση, θα θέλαμε να ενθαρρύνουμε όσους δεν έχουν ήδη “ασφαλίσει” τις σελίδες τους με κάποιο πιστοποιητικό ασφαλείας, να ξεκινήσουν και να το κάνουν σύντομα, ή να επικοινωνήσουν μαζί μας για να αναλάβουμε εμείς την εγκατάσταση και ρύθμιση του. Στα hosting της Πρίζας αυτό χρειάζεται να γίνει μία φορά (οπότε και υπάρχει ένα fixed κόστος αν το αναλάβουμε εμείς), αφού η διαδικασία ανανέωσης των πιστοποιητικών είναι αυτοματοποιημένη και δεν χρειάζεται κάποια άλλη ενέργεια από εκεί και ύστερα.

Ρωτήστε μας

Για περισσότερες πληροφορίες σχετικά, μπορείτε να επικοινωνήσετε μαζί μας.

Let´s Encrypt πιστοποιητικά ασφαλείας στην Πρίζα

Let's encrypt

Σήμερα 14/06/2016, αλλάχτηκαν τα περισσότερα πιστοποιητικά ασφαλείας της Πρίζας και γυρίσανε σε Let´s Encrypt. Οι σελίδες μας, και ο κυρίως hosting server μαζί με όλες τις υπηρεσίες: Control Panel + Webmail, Mail, FTP & XMPP server.

Αν φιλοξενείστε (hosting) στο server μας προτιμήστε κρυπτογραφημένες (TLS) υπηρεσίες με τις παρακάτω ρυθμίσεις :

======================================================

Mail Server (κοινός σε εισερχομενα και εξερχόμενα) : mail.stinpriza.org

Imaps Port με STARTTLS : 143 ή Imaps Port με SSL/TLS : 993

POP3s Port με SSL/TLS : 995 ή POP3s Port με STARTTLS : 110

SMTPs Port (STARTTLS) : 587 ή SMTPs Port (SSL/TLS) : 465

Webmail (default για όλους τους φιλοξενούμενους)

Control Panel (default για όλους τους φιλοξενούμενους)

======================================================

FTP Server για σύνδεση στο server και τα αρχεία σας : cacofonix.stinpriza.org

Port 21

Επιλογή (για Filezilla) : Use explicit FTP over TLS if available

======================================================

XMPP Server για ασφαλείς και δωρεάν συνομιλίες με χρήστες XMPP σε όλο το κόσμο : stinpriza.org

XMPP Chat Rooms Server : conference.stinpriza.org

xmpp.net score

======================================================
Για οποιαδήποτε πληροφορία σχετικά ή αν ενδιαφέρεστε και σεις να ασφαλίσετε την ιστοσελίδα ή το server σας με πιστοποιητικά ασφαλείας SSL,  μπορείτε να επικοινωνήσετε μαζί μας.

Πιστοποιητικά ασφαλείας για τα hosting της Πρίζας

ssl

Από τις 15/3/2016 όλα τα hosting websites της Πρίζας μπορούν να ενεργοποιήσουν SSL πιστοποιητικά ασφαλείας για τις ιστοσελίδες τους (https). Αυτό θα γίνει με τη χρήση του Lets Encrypt Certificate Authority. Η ενεργοποίηση είναι πανεύκολη μέσα από το Control Panel. Αν σας ενδιαφέρει και δε βγάζετε άκρη με τις τεχνικές λεπτομέρειες, μπορείτε να απευθυνθείτε σε μας για την εγκατάσταση τους και υποστήριξη. Τα πιστοποιητικά του Lets Encrypt, έχουν διάρκεια 3 μηνών και η ανανέωση τους γίνεται αυτόματα από το σύστημα μας, εκτός και αν δηλωθεί διαφορετικά.

Γιατί είναι απαραίτητο το SSL στις ιστοσελίδες και αλλού;

ssl

Βασικά θετικά είναι :

1) η προστασία των επισκεπτών σας από τρίτους κακόβουλους & web επιθέσεις.

2) ένα είδους “επιβεβαίωσης” της σελίδας σας, αφού γίνεται επαλήθευση ότι είναι δικό σας το domain πριν την έκδοση του πιστοποιητικού και άρα βεβαίωση των επισκεπτών ότι πρόκειται για τη σωστή σελίδα.

3) συμβάλλετε και σεις στη προστασία της ιδιωτικότητας όλων μας (βλ. Edward Snowden).

Επιπλέον, το internet έχει αποφασίσει ότι ήρθε η ώρα να “επιβληθεί” το HTTPS και να καταργηθεί το HTTP. Η Google και ο Chrome browser, η Mozilla και ο Firefox browser έχουν αποφασίσει ότι σε λίγο καιρό οι μη ασφαλείς ιστότοποι (http://) θα εμφανίζονται με κόκκινο σήμα και με προειδοποίηση ασφαλείας όταν ανοίγουν. Αναμένονται οι πρώτες σχετικές αλλαγές στους browsers απο το φθινόπωρο του 2016 και κυρίως μέσα στο 2017.

Γιατί Lets Encrypt; Το Lets Encrypt CA ήρθε στη ζωή μας τους τελευταίους μήνες φέρνοντας τα πάνω κάτω στην αγορά SSL.

1) δίνει δωρεάν πιστοποιητικά στις μάζες.

2) προσφέρει εύκολο περιβάλλον για εκδόσεις και ανανεώσεις SSL πιστοποιητικών.

3) έχει την εγγύηση μερικών “κολοσσών” του internet, του Internet Security Research Group (ISRG) .

Μην περιμένετε να σταματήσει να δουλέυει η σελίδα σας για να προσθέσετε ασφάλεια των δεδομένων και προστασία της ιδιωτικότητας των επισκεπτών σας στην ιστοσελίδα σας. Ενεργοποιήστε το SSL τώρα! :-)