В чём разница между бесплатными и платными SSL-сертификатами с точки зрения безопасности?

Бесплатный SSL-сертификат не становится автоматически «менее безопасным», чем платный. Если оба сертификата доверены браузерами, используются подходящие ключи и алгоритмы, а серверы настроены одинаково, они могут обеспечивать одинаковый уровень шифрования HTTPS-соединения. При покупке платного сертификата обычно оплачиваются более глубокая проверка личности, техническая поддержка и возможности управления, а не просто «более надежное шифрование».

Чтобы понять разницу между бесплатными и платными SSL-сертификатами, нужно разделять три вопроса: защищена ли передача данных, проверена ли организация, стоящая за сайтом, и может ли сертификат стабильно и корректно работать. Цена не заменяет ни одну из этих проверок.

Уровень шифрования не зависит от цены сертификата

SSL-сертификатом обычно называют сертификат, который используется для TLS-соединения на современных сайтах. Он помогает браузеру проверить подлинность сервера и участвует в установлении зашифрованного соединения. Конкретный протокол и наборы шифров согласуются сервером и браузером.

Поэтому сайт с доверенным сертификатом, разумной конфигурацией ключей и TLS 1.2 или TLS 1.3 не получает автоматически более высокий уровень шифрования только потому, что один сертификат бесплатный, а другой платный. Утверждение «платные сертификаты используют шифрование с ключом 256 бит, а бесплатные — более слабое» смешивает понятия ключа сертификата, алгоритма шифрования соединения и коммерческой цены.

И наоборот, платный сертификат не защитит от утечки закрытого ключа, уязвимостей сервера или неправильной конфигурации. HTTPS защищает канал передачи данных, но не препятствует внедрению вредоносного кода на сайт и не гарантирует надлежащее хранение данных клиентов после отправки формы.

Главное различие — кого проверили

Бесплатные сертификаты чаще всего относятся к типу DV (проверка домена). Центр сертификации подтверждает контроль заявителя над доменом с помощью установленного способа проверки, но не удостоверяет юридическое лицо, его способность выполнять обязательства или деловую репутацию. Платный сертификат также может быть DV, поэтому сам факт оплаты не означает, что организация прошла проверку.

Ценность сертификатов OV и EV заключается в предоставлении дополнительных сведений об организации, которые можно проверить, а не в повышении уровня шифрования при одинаковых настройках. Основные браузеры обычно не отображают название компании заметно в адресной строке при использовании EV; эту информацию может потребоваться посмотреть в сведениях о сертификате. Поэтому перед покупкой стоит убедиться, что такая проверка действительно нужна для бизнеса, а не платить только за ожидаемый «расширенный индикатор безопасности».

Фишинговый сайт тоже может получить действительный сертификат DV. Отображение браузером защищенного соединения означает лишь, что установлено соединение с доменом, указанным в сертификате, но не подтверждает, что этот домен принадлежит официальному сайту бренда, который посетитель намеревался открыть.

Разница в безопасности при эксплуатации чаще всего проявляется при продлении и установке сертификата

Для сайта, собирающего запросы, или интернет-магазина истечение срока действия сертификата вызывает предупреждение браузера и может помешать просмотру сайта, отправке форм и совершению покупок. При сравнении важно выяснить, кто отвечает за продление, поступает ли оповещение о неудачном продлении и насколько быстро можно устранить проблему.

Бесплатный сертификат не обязательно приходится обслуживать вручную. Сервисы с поддержкой протокола ACME могут автоматически оформлять и продлевать сертификаты; при качественной автоматизации короткий срок действия сертификата не обязательно увеличивает нагрузку на сотрудников. У платных сертификатов также есть срок действия и требования к повторной выдаче: срок договора на покупку не равен сроку непрерывного использования одного сертификата.

Практическая ценность платного решения может заключаться в помощи с установкой, централизованном управлении, управлении сертификатами для нескольких доменов или гарантированном времени ответа, однако эти услуги включены не во все продукты. Уточните границы поддержки: распространяется ли она на установку на сервере, настройку CDN, сбои проверки и экстренную замену сертификата или ограничивается предоставлением файла сертификата.

На сайтах с CDN или обратным прокси нужно проверять оба участка соединения: «браузер — CDN» и «CDN — исходный сервер». Включенный HTTPS на первом участке не означает, что второй участок также зашифрован и сертификат на нем проверяется корректно. Покупка более дорогого сертификата автоматически не устраняет такие ошибки настройки соединения.

Какие причины для покупки платного сертификата обоснованы, а какие часто преувеличиваются

Если сайт в основном представляет товары и принимает запросы, а платформа хостинга предоставляет доверенный сертификат, автоматическое продление и мониторинг сбоев, бесплатного DV обычно достаточно для шифрования передачи данных. Использование бесплатного сертификата не делает автоматически небезопасными даже конфиденциальные операции, например вход в аккаунт и оплату: их безопасность нужно оценивать с учетом платежной архитектуры, защиты учетных записей и требований к обработке данных.

Платное решение дает измеримое основание для покупки, если проверка безопасности со стороны партнера прямо требует проверки организации или компании нужно централизованно управлять большим количеством доменов и иметь четкие обязательства по срокам реагирования. В этом случае сравнивайте отдельно тип сертификата, охват доменов и услуги сопровождения, а не только бренд и цену.

Некоторые коммерческие сертификаты предусматривают компенсационные выплаты, но применимые случаи, круг получателей и условия подачи претензии ограничены условиями договора. Такая компенсация не означает, что возмещение будет выплачено при любой атаке на сайт или убытках от транзакций. Размер компенсации не является показателем уровня шифрования.

SEO — не достаточная самостоятельная причина для покупки платного сертификата. HTTPS — базовая настройка сайта, но из этого не следует, что «сайты с платным сертификатом ранжируются выше, чем сайты с бесплатным». Сертификат также не заменяет уведомление о конфиденциальности, контроль доступа, защиту данных при хранении и другие меры по соблюдению требований.

При выборе ориентируйтесь на проверяемые условия

Перед покупкой проверьте, доверяют ли сертификату целевые браузеры и устройства, охватывает ли он основной домен, поддомены и другие отдельные домены, а также определите, кто отвечает за хранение закрытого ключа, оповещения о продлении и устранение сбоев. У сертификатов с подстановочным знаком тоже есть ограничения по охвату: не следует считать, что один сертификат покрывает домены на всех уровнях.

Если эти условия надежно обеспечены платформой для создания сайта или хостингом, выбор бесплатного сертификата не означает снижения требований к безопасности. Если же возможностей для постоянного обслуживания не хватает, услуга с четко определенной ответственностью за эксплуатацию имеет больше смысла, чем покупка одного дорогого сертификата. Бюджет следует направлять на проверяемые требования к идентификации и гарантии стабильной работы, а не на представление о том, что «платное значит более безопасное».