{"id":2311,"date":"2014-08-11T16:23:00","date_gmt":"2014-08-11T14:23:00","guid":{"rendered":"https:\/\/igloonet.cz\/blog\/?p=2311"},"modified":"2019-01-24T17:13:27","modified_gmt":"2019-01-24T15:13:27","slug":"vyber-ssl-certifikatu","status":"publish","type":"post","link":"https:\/\/igloonet.cz\/blog\/vyber-ssl-certifikatu\/","title":{"rendered":"Jak\u00fd SSL certifik\u00e1t vybrat pro sv\u016fj web"},"content":{"rendered":"
<\/div>\n

Chcete p\u0159ej\u00edt na HTTPS, ale netu\u0161\u00edte jak\u00e9 jsou rozd\u00edly mezi certifik\u00e1ty?<\/h3>\n

V\u00fdb\u011br SSL certifik\u00e1tu nen\u00ed a\u017e tak slo\u017eit\u00fd, zlehka v\u00e1m nast\u00edn\u00edm jednotliv\u00e9 pojmy a vysv\u011btl\u00edm, na co je t\u0159eba d\u00e1vat pozor a co naopak p\u0159i v\u00fdb\u011bru certifik\u00e1tu nen\u00ed to nejd\u016fle\u017eit\u011bj\u0161\u00ed. \u010cl\u00e1nek se sna\u017e\u00ed vysv\u011btlit i pom\u011brn\u011b z\u00e1kladn\u00ed pojmy, pokud je tedy zn\u00e1te, jednodu\u0161e p\u0159eskakujte d\u00e1l.<\/p>\n

Tenhle \u010dl\u00e1nek je bohu\u017eel n\u011bkolik let star\u00fd a neaktu\u00e1ln\u00ed. Kepi se ned\u00e1vno o<\/span> v\u00fdb\u011bru SSL certifik\u00e1tu znovu rozepsal, pro nov\u011bj\u0161\u00ed verzi z \u0159\u00edjna 2018 <\/span>klikn\u011bte sem<\/a>. P\u0159\u00edjemn\u00e9 po\u010dten\u00ed. <\/span><\/strong><\/p>\n

<\/h2>\n

Co je to SSL certifik\u00e1t<\/h2>\n

\"EV Pro technicky korektn\u00ed a spr\u00e1vn\u00fd popis se mrkn\u011bte jinam. Pro na\u0161e pot\u0159eby se d\u00e1 \u0159\u00edci, \u017ee SSL certifik\u00e1t je n\u011bco jako ob\u010danka pro web. Certifika\u010dn\u00ed autority, p\u0159edstavte si je nap\u0159\u00edklad jako m\u00edstn\u00ed magistr\u00e1ty, od v\u00e1s dostanou \u017e\u00e1dost o vystaven\u00ed certifik\u00e1tu pro ur\u010ditou dom\u00e9nu, ov\u011b\u0159\u00ed si, \u017ee ten kdo s dom\u00e9nou m\u016f\u017ee nakl\u00e1dat s vystaven\u00edm certifik\u00e1tu souhlas\u00ed a vystav\u00ed ho. N\u00e1\u0161 prohl\u00ed\u017ee\u010d pak p\u0159i n\u00e1v\u0161t\u011bv\u011b dan\u00e9 dom\u00e9ny ov\u011b\u0159\u00ed, \u201ejestli ob\u010danku vydal ten spr\u00e1vn\u00fd magistr\u00e1t\u201c a nejedn\u00e1 se o pad\u011blek.<\/p>\n

Je nejdra\u017e\u0161\u00ed nejlep\u0161\u00ed?<\/h2>\n

Ur\u010dit\u011b ne ve v\u0161ech situac\u00edch. Chcete-li pouze nasadit HTTPS only, bude v\u00e1m sta\u010dit popravd\u011b jak\u00fdkoliv certifik\u00e1t, pokud je vyd\u00e1n d\u016fv\u011bryhodnou autoritou. Jin\u00e1 je situace, pokud provozujete blog, jin\u00e1 pro mal\u00fd firemn\u00ed web a jin\u00e1 pro e-shop \u010di bankovn\u00ed instituci. Nyn\u00ed se tedy vrhneme na to jak certifik\u00e1t vybrat, m\u016f\u017eeme to shrnout do n\u00e1sleduj\u00edc\u00edch krok\u016f:<\/p>\n

    \n
  1. v\u00fdb\u011br certifika\u010dn\u00ed autority<\/li>\n
  2. rozhodnut\u00ed, jestli pot\u0159ebujeme norm\u00e1ln\u00ed, wildcard nebo SAN certifik\u00e1t<\/li>\n
  3. v\u00fdb\u011br typu validace certifik\u00e1tu<\/li>\n
  4. v\u00fdb\u011br dodavatele<\/li>\n<\/ol>\n

    1. Certifika\u010dn\u00ed autority<\/h2>\n

    Certifika\u010dn\u00edch autorit je mnoho. D\u016fle\u017eit\u00e9 pro v\u00fdb\u011br spr\u00e1vn\u00e9 autority je, jestli je d\u016fv\u011bryhodn\u00e1 a jestli j\u00ed v\u011b\u0159\u00ed b\u011b\u017en\u011b pou\u017e\u00edvan\u00e9 prohl\u00ed\u017ee\u010de. D\u016fv\u011bryhodnost autority za v\u00e1s u\u017e posoudily jednotliv\u00e9 prohl\u00ed\u017ee\u010de, ale ani to nemus\u00ed b\u00fdt stoprocentn\u00ed. Za v\u0161echny lze uv\u00e9st nap\u0159\u00edklad p\u0159\u00edpad autority Comodo, kter\u00e1 vydala fale\u0161n\u00fd certifik\u00e1t hned pro n\u011bkolik velmi zn\u00e1m\u00fdch web\u016f<\/a>. Z\u0159ejm\u011b nejv\u011bt\u0161\u00ed certifika\u010dn\u00ed autoritou na sv\u011bte je Symantec (d\u00edky akvizici Verisign), kter\u00fd m\u00e1 pod sebou n\u011bkolik certifika\u010dn\u00edch autorit (obchodn\u00edch zna\u010dek): Symantec, GeoTrust, Thawte a low-cost zna\u010dku RapidSSL. Certifika\u010dn\u00ed autoritu si m\u016f\u017ee vytvo\u0159it ka\u017ed\u00fd nebo m\u016f\u017ee pou\u017e\u00edvat self-signed certifik\u00e1ty, takov\u00e9 ale nebudou d\u016fv\u011bryhodn\u00e9 v prohl\u00ed\u017ee\u010d\u00edch va\u0161ich n\u00e1v\u0161t\u011bvn\u00edk\u016f. Ka\u017ed\u00fd z nich by si musel va\u0161i autoritu ru\u010dn\u011b nainstalovat. Na internetu je to nemo\u017en\u00e9, ale na intranet men\u0161\u00ed firmy nebo dom\u00e1c\u00ed pou\u017eit\u00ed se ur\u010dit\u011b hod\u00ed. U v\u011bt\u0161\u00edch firem nebo instituc\u00ed (\u010dasto nap\u0159. vysok\u00e9 \u0161koly) je v\u0161ak pou\u017eit\u00ed vlastn\u00ed autority nevhodn\u00e9, m\u016f\u017ee dokonce v\u00e9st k bezpe\u010dnostn\u00edm probl\u00e9m\u016fm. \"Certifika\u010dn\u00ed<\/p>\n

    D\u016fv\u011bryhodnost v prohl\u00ed\u017ee\u010d\u00edch<\/h3>\n

    To je pro n\u00e1s to nejd\u016fle\u017eit\u011bj\u0161\u00ed. Pokud autorit\u011b nev\u011b\u0159\u00ed prohl\u00ed\u017ee\u010d kter\u00e9hokoliv z va\u0161ich n\u00e1v\u0161t\u011bvn\u00edk\u016f, jednodu\u0161e se k v\u00e1m takov\u00fd n\u00e1v\u0161t\u011bvn\u00edk nedostane. N\u011bkte\u0159\u00ed z v\u00e1s si ur\u010dit\u011b vzpomenou na velk\u00fd propad\u00e1k p\u0159i spu\u0161t\u011bn\u00ed datov\u00fdch schr\u00e1nek. Na str\u00e1nk\u00e1ch certifika\u010dn\u00ed autority nebo prodejce certifik\u00e1t\u016f si m\u016f\u017eete v\u011bt\u0161inou ke ka\u017ed\u00e9mu certifik\u00e1tu zobrazit seznam prohl\u00ed\u017ee\u010d\u016f, kter\u00e9 podporuje. Mnoho minoritn\u00edch prohl\u00ed\u017ee\u010d\u016f kop\u00edruje seznamy d\u016fv\u011bry z t\u011bch zn\u00e1m\u011bj\u0161\u00edch (nap\u0159. ze seznamu certifik\u00e1t\u016f Mozilly<\/a>), tak\u017ee certifik\u00e1t je v\u011bt\u0161inou podporov\u00e1n v mnohem v\u00edce prohl\u00ed\u017ee\u010d\u00edch, ne\u017e se uv\u00e1d\u00ed. Ur\u010dit\u011b si nekupujte certifik\u00e1ty pro web od nejmenovan\u00fdch \u010desk\u00fdch autorit, kter\u00e9 jsou sice nutn\u00e9 pro \u0159e\u0161en\u00ed digit\u00e1ln\u00edch podpis\u016f, ale web jim p\u0159\u00edli\u0161 nejde. N\u011bkolikr\u00e1t se ji\u017e v minulosti stalo, \u017ee v prohl\u00ed\u017ee\u010d\u00edch fungovat jednodu\u0161e p\u0159estaly.<\/p>\n

    Pozor na star\u00e1 mobiln\u00ed za\u0159\u00edzen\u00ed<\/h3>\n

    Pokud nutn\u011b pot\u0159ebujete, aby byly va\u0161e str\u00e1nky podporov\u00e1ny nap\u0159. na star\u00e9m Windows Mobile nebo prvn\u00edch Androidech, dob\u0159e si zkontrolujte, \u017ee jej certifik\u00e1t podporuje. Z uveden\u00fdch p\u0159\u00edklad\u016f nap\u0159. m\u016f\u017eu \u0159\u00edci, \u017ee s RapidSSL nepochod\u00edte, ale s GeoTrust v\u00e1m bude i star\u00fd mobil fungovat v pohod\u011b.<\/p>\n

    2. Typ certifik\u00e1tu aneb pozor na subdom\u00e9ny<\/h2>\n

    Dal\u0161\u00ed d\u016fle\u017eitou v\u011bc\u00ed je spr\u00e1vn\u011b zvolit dom\u00e9nu. Pokud kupujete b\u011b\u017en\u00fd certifik\u00e1t, je toti\u017e v\u017edy platn\u00fd pouze pro konkr\u00e9tn\u00ed subdom\u00e9nu<\/strong>! Tedy pokud koup\u00edte certifik\u00e1t pro www.igloonet.cz nebude v\u00e1m fungovat na blog.igloonet.cz. Slu\u0161n\u00e9 autority v\u00e1m v\u0161ak p\u0159i objedn\u00e1vce webu pro www.igloonet.cz p\u0159ihod\u00ed do certifik\u00e1tu alespo\u0148 variantu bez www, tedy igloonet.cz<\/p>\n

    Wildcard certifik\u00e1ty<\/h3>\n

    Na neomezen\u00fd po\u010det poddom\u00e9n existuje \u0159e\u0161en\u00ed v podob\u011b Wildcard certifik\u00e1tu. Ten se v na\u0161em p\u0159\u00edpad\u011b vystav\u00ed na *.igloonet.cz<\/code> a v\u0161echny poddom\u00e9ny jsou j\u00edm tak pokryty (pouze jeden \u0159\u00e1d, tedy nap\u0159. blog.igloonet.cz<\/code> bude v po\u0159\u00e1dku, www.blog.igloonet.cz<\/code> u\u017e ale ne.) Op\u011bt mus\u00edte natrefit na slu\u0161nou certifika\u010dn\u00ed autoritu, aby v\u00e1m do *.igloonet.cz<\/code> p\u0159ihodila i igloonet.cz<\/code>. Pokud chcete zabezpe\u010dit pouze dv\u011b poddom\u00e9ny, t\u00e9m\u011b\u0159 v\u017edy se v\u00e1m vyplat\u00ed dva norm\u00e1ln\u00ed certifik\u00e1ty nam\u00edsto wildcardu.<\/p>\n

    SAN certifik\u00e1ty<\/h3>\n

    Pokud pot\u0159ebujete m\u00edt v\u00edce r\u016fzn\u00fdch dom\u00e9n v jednom certifik\u00e1tu nebo pot\u0159ebujete certifik\u00e1t s roz\u0161\u00ed\u0159enou validac\u00ed pro v\u00edce dom\u00e9n, je \u0159e\u0161en\u00edm SAN. Jednodu\u0161e objedn\u00e1te jeden certifik\u00e1t, kter\u00fd plat\u00ed pro v\u00edcero dom\u00e9n. Pozor, validace prob\u00edh\u00e1 pro ka\u017edou zvl\u00e1\u0161\u0165. V\u00edce si m\u016f\u017eete p\u0159e\u010d\u00edst na blogu SSL Certifik\u00e1t\u016f<\/a>.<\/p>\n

    3. Validace a typy validace<\/h2>\n

    Validace SSL certifik\u00e1tu je proces, kter\u00fd prov\u00e1d\u00ed certifika\u010dn\u00ed autorita p\u0159ed vystaven\u00edm va\u0161eho certifik\u00e1tu. Pr\u016fb\u011bh validace se \u0159\u00edd\u00ed podm\u00ednkami, kter\u00e9 si autority ur\u010dili v r\u00e1mci CA\/Browser F\u00f3ra<\/a> a p\u0159\u00edpadn\u011b vlastn\u00edmi dopl\u0148uj\u00edc\u00edmi podm\u00ednkami. Pozor na dom\u00e9ny, kter\u00e9 maj\u00ed v n\u00e1zvu obchodn\u00ed zna\u010dky \u010di jm\u00e9na jin\u00fdch zn\u00e1m\u00fdch firem<\/strong> - certifika\u010dn\u00ed autorita p\u0159i v\u0161ech typech validace z\u00e1rove\u0148 ov\u011b\u0159uje, jestli se nesna\u017e\u00edte vystavit certifik\u00e1t na dom\u00e9nu, kter\u00e1 by se pak mohla tv\u00e1\u0159it jako n\u011bjak\u00e1 jin\u00e1 firma. Zapome\u0148te tedy na certifik\u00e1t na dom\u00e9n\u011b facebook.cz, ale z\u00e1rove\u0148 budete m\u00edt probl\u00e9m i s dom\u00e9nou facebook.vasefirma.cz.<\/p>\n

    Validace dle dom\u00e9ny<\/h3>\n

    Nejlevn\u011bj\u0161\u00ed certifik\u00e1ty jsou validov\u00e1ny pouze dle dom\u00e9ny. P\u0159i vystaven\u00ed sta\u010d\u00ed potvrdit zpr\u00e1vu, kter\u00e1 doraz\u00ed na e-mail vlastn\u00edka dom\u00e9ny nebo n\u011bkterou z \u201eb\u011b\u017en\u00fdch\u201c adres na dan\u00e9 dom\u00e9n\u011b (postmaster@, ssladmin@, admin@ a podobn\u011b). Ve zpr\u00e1v\u011b odkliknete souhlas a v\u011bt\u0161inou do p\u00e1r minut je certifik\u00e1t u v\u00e1s. V n\u011bkter\u00fdch p\u0159\u00edpadech se m\u016f\u017ee st\u00e1t, \u017ee va\u0161e dom\u00e9na spadne do \u0161katulky manu\u00e1ln\u00edho ov\u011b\u0159en\u00ed a na vystaven\u00ed pak budete \u010dekat n\u011bkolik hodin. Ve v\u00fdsledn\u00e9m certifik\u00e1tu je vid\u011bt pouze n\u00e1zev dom\u00e9ny, nic o va\u0161\u00ed organizaci. Pokud n\u011bkoho zaj\u00edm\u00e1 pozad\u00ed toho, co autorita ov\u011b\u0159uje, m\u016f\u017eete se pod\u00edvat na Baseline Requirements<\/a>, kter\u00e9 definuje ji\u017e zm\u00edn\u011bn\u00e9 CA\/Browser Forum. \"B\u011b\u017en\u00fd<\/p>\n

    Validace dle organizace<\/h3>\n

    Tady u\u017e v\u00e1m pouze e-mail u dom\u00e9ny sta\u010dit nebude, i kdy\u017e je op\u011bt prvn\u00edm krokem. Nav\u00edc si certifika\u010dn\u00ed autorita vy\u017e\u00e1d\u00e1 dokumenty, dle kter\u00fdch ov\u011b\u0159\u00ed, \u017ee jste opr\u00e1vn\u011bn\u00fd jednat za danou firmu. Z\u00e1rove\u0148 si autorita zji\u0161\u0165uje z ve\u0159ejn\u011b dostupn\u00fdch seznam\u016f va\u0161e \u00fadaje a \u201eofici\u00e1ln\u00ed\u201c telefonn\u00ed \u010d\u00edslo. V zahrani\u010d\u00ed je to p\u0159ev\u00e1\u017en\u011b D&B (www.dnb.com), u n\u00e1s pak nap\u0159. 1188.cz \u010di zlat\u00e9 str\u00e1nky. Na zji\u0161t\u011bn\u00e9m telefonu v\u00e1s pak kontaktuj\u00ed a ov\u011b\u0159\u00ed, jestli opravdu chcete certifik\u00e1t vystavit. Ve v\u00fdsledn\u00e9m certifik\u00e1tu ji\u017e p\u0159\u00edmo uvid\u00edte n\u00e1zev organizace, nejen va\u0161i dom\u00e9nu. Vystaven\u00ed certifik\u00e1tu trv\u00e1 v\u011bt\u0161inou 2 a v\u00edce pracovn\u00edch dn\u016f.<\/p>\n

    Roz\u0161\u00ed\u0159en\u00e1 validace<\/h3>\n

    Hlavn\u00ed \u010d\u00e1st je stejn\u00e1 jako u validace dle organizace. P\u0159i \u017e\u00e1dosti o vystaven\u00ed mus\u00edte nejd\u0159\u00edve vyplnit, podepsat a poslat dokument \u201eAcknowledgement of Agreement\u201c, kde stvrzujete, \u017ee chcete vystavit certifik\u00e1t a \u017ee jste opr\u00e1vn\u011bnou osobou. N\u00e1sledn\u011b je prov\u00e1d\u011bna roz\u0161\u00ed\u0159en\u00e1 validace<\/a>. Ve v\u00fdsledn\u00e9m certifik\u00e1tu ji\u017e p\u0159\u00edmo uvid\u00edte n\u00e1zev organizace, nejen va\u0161i dom\u00e9nu. Z\u00e1rove\u0148 je certifik\u00e1t nejl\u00e9pe viditeln\u00fd, ve v\u011bt\u0161in\u011b prohl\u00ed\u017ee\u010d\u016f je zv\u00fdrazn\u011bn zelen\u00fdm adresn\u00edm \u0159\u00e1dkem nebo zelenou \u010d\u00e1st\u00ed p\u0159ed adresn\u00edm \u0159\u00e1dkem. Vystaven\u00ed certifik\u00e1tu s roz\u0161\u00ed\u0159enou validac\u00ed trv\u00e1 v\u011bt\u0161inou n\u011bkolik pracovn\u00edch dn\u016f, pokud se n\u011bkde zdr\u017e\u00edte p\u0159i dod\u00e1n\u00ed dokument\u016f nebo mus\u00edte z\u00edskat dodate\u010dn\u00e9 dokumenty od pr\u00e1vn\u00edka \u010di aktualizovat \u00fadaje v registrech, m\u016f\u017ee se nat\u00e1hnout klidn\u011b na 14 dn\u00ed. \"B\u011b\u017en\u00fd<\/p>\n

    4. V\u00fdb\u011br dodavatele<\/h2>\n

    A jsme t\u00e9m\u011b\u0159 na konci. M\u00e1te vybran\u00fd certifik\u00e1t a nyn\u00ed zb\u00fdv\u00e1 jej u\u017e jenom koupit.<\/p>\n

    N\u00e1kup u certifika\u010dn\u00ed autority<\/h3>\n

    Zd\u00e1lo by se, \u017ee se bude jednat o ide\u00e1ln\u00ed cestu, ale nen\u00ed tomu v\u011bt\u0161inou pravda. P\u0159i n\u00e1kupu p\u0159\u00edmo u certifika\u010dn\u00ed autority je toti\u017e hned n\u011bkolik \u201eprobl\u00e9m\u016f\u201c.<\/p>\n

    Cena<\/h4>\n

    Certifika\u010dn\u00ed autority jsou snad v\u017edy dra\u017e\u0161\u00ed, n\u011bkdy i v\u00fdznamn\u011b, ne\u017e jednotliv\u00ed prodejci - reselle\u0159i.<\/p>\n

    Komunikace jen v angli\u010dtin\u011b<\/h4>\n

    Certifika\u010dn\u00ed autority nemaj\u00ed \u010deskou \u010di slovenskou podporu, budou s v\u00e1mi jednat pouze v angli\u010dtin\u011b, pro evropskou oblast pak \u010dast\u011bji v Indglishtin\u011b. To m\u016f\u017ee b\u00fdt vzhledem k slo\u017eitosti t\u00e9matu probl\u00e9m i pro ty, co angli\u010dtinu rozumn\u011b ovl\u00e1daj\u00ed.<\/p>\n

    Podpora<\/h4>\n

    Podpora je u certifika\u010dn\u00edch autorit \u010dasto velmi rychl\u00e1 na b\u011b\u017en\u00e9 probl\u00e9my, ale velmi pomal\u00e1 v p\u0159\u00edpad\u011b n\u011bjak\u00e9ho z\u00e1drhelu. Lid\u00e9 na podpo\u0159e tak\u00e9 v\u011bt\u0161inou zvl\u00e1daj\u00ed \u0159e\u0161it pouze z\u00e1kladn\u00ed probl\u00e9my a slo\u017eit\u011bj\u0161\u00ed v\u011bci p\u0159ed\u00e1vaj\u00ed na dal\u0161\u00ed odd\u011blen\u00ed. Pro ty pak nen\u00ed n\u011bkolik dn\u00ed na reakci \u017e\u00e1dn\u00fd probl\u00e9m.<\/p>\n

    N\u00e1kup u prodejc\u016f<\/h3>\n

    Pokud najdete dobr\u00e9ho prodejce vybran\u00e9 autority, dostanete se na lep\u0161\u00ed cenu, m\u016f\u017eete komunikovat v \u010de\u0161tin\u011b \u010di sloven\u0161tin\u011b a m\u016f\u017eete m\u00edt lep\u0161\u00ed podporu. Pr\u00e1v\u011b kv\u016fli probl\u00e9m\u016fm s pochopen\u00edm t\u00e9matu, v\u00fdb\u011brem certifik\u00e1tu, komunikac\u00ed a podporou jsme p\u0159ed lety v igloonet spustili SSL Certifik\u00e1ty<\/a> a pomohli u\u017e mnoha firm\u00e1m i jednotlivc\u016fm s pochopen\u00edm, n\u00e1kupem i instalac\u00ed SSL certifik\u00e1t\u016f. I proto v\u00e1m nemohu nijak nezaujat\u011b doporu\u010dit dobr\u00e9 prodejce, zkuste si ka\u017edop\u00e1dn\u011b zadat v\u00fdraz SSL certifik\u00e1ty do Google a najdete jich spousty.<\/p>\n

    Shrnut\u00ed a p\u0159\u00edklady<\/h2>\n

    Tak a jsme na konci. Te\u010f u\u017e douf\u00e1m alespo\u0148 o tro\u0161ku l\u00e9pe ch\u00e1pete, jak se p\u0159i v\u00fdb\u011bru certifik\u00e1tu rozhodnout. V ka\u017ed\u00e9m p\u0159\u00edpad\u011b se vrhneme je\u0161t\u011b na p\u00e1r p\u0159\u00edklad\u016f toho, jak bych vybral certifik\u00e1ty z na\u0161\u00ed nab\u00eddky<\/a> j\u00e1 pro n\u00e1sleduj\u00edc\u00ed situace.<\/p>\n