img

سايت خود را با يک گواهينامه رايگان SSL امن کنيد.

/
/
/

همواره در وب سایت‌های تجارت الکترونیکی رایج بوده است که تمامی ارتباطات را بر روی HTTPS یا HTTP بر روی SSL/TSL قرار می‌دهند. زمانی که شما دارای یک اتصال رمزگشایی شده هستید و آن را بر روی HTTPS قرار داده‌اید، مطمئن باشید که هرگز یک فرد با مهارت متوسط هک نمی تواند با حمله های خود به سایت شما، اطلاعات مهم از قبیل شماره کارت بانکی و پسوردهای شما بدزدد.
با این حال، کار منطقی تر این است که هرگونه ارتباط و تعاملی را که به نوعی بین یک وب سایت و کاربران آن برقرار می‌شود، با استفاده از پروتوکل SSL/TSL که امنیت بالایی دارد، امن کنیم.
در طی چند سال اخیر کمپانی‌های بزرگی شروع به قرار دادن تمامی ترافیک خود بر روی HTTPS کرده اند تا بتوانند در فضای آنلاین کمی امنیت بیشتری داشته باشند. تا جایی که غولی به نام گوگل هم از فناوری SSL استفاده می‌کند و اکثر شبکه های اجتماعی به عنوان یک استاندارد از آن در سیستم خود استفاده کرده‌اند. ما اکنون در دوره ای از زمان زندگی می‌کنیم که امنیت در فضای آنلاین حرف اول را می‌زند.
به طوری که در آگوست سال ۲۰۱۴، گوگل از طریق یک پست در فضای اینترنت اعلام کرد که از SSL encryption به عنوان یک سیگنال رتبه بندی در سیستم خود استفاده می‌کند. خیلی به ندرت مشاهده شده است که گوگل نحوه جستجو کردن رتبه ها را در خود، به این صورت بازگو کند. با این حال، در این مورد، به این نتیجه می‌رسیم که گوگل به شد بر روی امنیت وب در سایت خود تاکید دارد. درحالی که این امر نمی‌تواند در همه جا بر روی کیفیت محتوا تاثیر داشته باشد، ولی ما در جایی قرار گرفته‌ایم که هزینه و زمان استفاده از SSL، این فناوری را تبدیل به یک گزینه کاملاً قابل اعتماد و امن برای ما کرده است.
برای امن کردن یک سایت با استفاده از HTTPS، شما باید یک SSL certificate را نصب کنید. این کار نیازمند تولید یک درخواست ورود بر روی سرور، پرداخت کردن برای دریافت یک گواهی جهت داشتن یک  SSL certificate و درنهایت، نصب این certificate و پیکربندی وب سرور توسط خود شما می باشد.
این پیچیدگی و هزینه اصلی ترین دلایلی بودند که تنها در سایت های مهم از فناوری HTTPS استفاده شده است. با این حال، در سال ۲۰۱۴ به صورت رسمی پروژه Let’s Encrypt را معرفی کردند و هدف از این معرفی این بود که با استفاده از گواهی رایگان SSL بتوانید سایت های خود را امن تر از قبل کنید. پروژه Let’s Encrypt در ماه آوریل نسخه بتای خود را منتشر کرد و از آن زمان تا به حال با کمک گرفتن از نام های بزرگی مانند Mozilla توانسته است ۱۰ میلیون نسخه از این گواهینامه ها را منتشر کند.
در انتها، اگر وب سایت شما از نوعی است که کاربر در آن سهیم است، شما باید یک SSL certificate را نصب کنید. به هرحال، استفاده از این فناوری HTTPS برای رئیس و کارفرمای شما چیزی به غیر از سود نخواهد داشت، پس باهم این کار را انجام می-دهیم.

۱- پیش نیازها
در این جا فرض بر این است که شما از Apache بر روی سیستم عامل Ubuntu 16.04 استفاده می‌کنید و با نحوه استفاده از Terminal آشنایی لازم را دارید. شما باید به سرور خود دسترسی از نوع shell داشته باشید و برای شروع کار با استفاده از SSH به حساب موردنظر وارد (log in) شده باشید. گواهی Let’s Encrypt با اکثر سیستم عامل ها سازگاری دارد اما این فرآیند کمی متفاوت است.

۲- نصب کارخواه (client) مورد نظر
اولین گام، کسب اطمینان از این است که پیش نیازهای سیستم ما برای انجام این کار به روز است و باید کارخواه Let’s Encrypt را، که تمامی کارهای سنگین را برای ما انجام می‌دهد، نصب کنیم.

۳- درخواست یک گواهینامه (certificate) دهید.
حال ما باید برای سایت خود یک گواهی (certificate) را درخواست کنیم. برای این کار باید دستور letsencrypt را با نام دامنه ما و نام زیر دامنه به صورت پرچم‌‌ها فراخوانی کنید. با دامنه ریشه خود شروع کنید. سپس آدرس رایج www.subdomain. را وارد کنید و از زیردامنه های دیگری مانند blog، استفاده می کنید، اطمینان حاصل کنید که آنها را نیز اضافه کرده‌اید.

۴- یک مسیر تماس را تعریف کنید
اولین باری که شما دستور letsencrypt را اجرا کنید، یک سوال از شما پرسیده خواهد شد و آدرس ایمیل شما را طلب می‌کند. این کار به Let’s Encrypt اجازه می‌دهد که اگر مشکلی در هر قسمتی پیش بیاید به شما اطلاع دهد. در این جا ایمیل را وارد کنید و برای ادامه Enter را بزنید.

۵- قوانین و درخواست‌های شروع را بپذیرید.
همچنین در این مرحله از شما درخواست می‌شود که قوانین خدمات Let’s Encrypt را بپذیرید. به صورت پیش فرض گزینه موافقم (Agree) انتخاب شده است، پس بعد از این که این قوانین را مطالعه کردید، Enter را بزنید تا فرآیند درخواست گواهی برای شما شروع شود.
۶- آسان یا امن؟
یک درخواست پایانی از شما درخواست می‌کند که اگر علاقه به دسترسی HTTPS را به صورت گزینه اضافی یا موردنیاز دارید، مشخص کنید. با هدف آموزش دادن ما گزینه پیش فرض یعنی Easy را انتخاب می‌کنیم تا هردوی این گزینه ها را به صورت کنار هم ببینیم. این کار به ما اجازه تست کردن و توسعه آن را می‌دهد. سپس درمواقع نیاز می‌توانیم HTTPS را فراخوانی کنیم.

۷- درخواست پایانی از مشتری
با این فرض که همه چیز به خوبی پیش رفته است، این فرآیند با یک درخواست پایانی به اتمام می‌رسد. OK را بزنید تا پیامی شبیه به پیام زیر را مشاهده کنید:

۸- نصب را تست کنید
حال وقت آن رسیده است که نحوه عملکرد HTTPS را ببینید! به سایت خود بروید، اما با https، برای مثال https://www.gadgetdaily.xyz . سایت شما باید با همان مدت زمان انتظاری که قبلاً باز می‌شد لود شود. این تست به ما کمک می‌کند تا مطمئن شویم که این فناوری می تواند انتظارات ما را برآورده کند.

۹- سایت‌های بیشتر؟ مشکلی نیست
هریک از دامنه‌های منحصر به فرد دارای گواهی مربوط به خود هستند. به اشتراک گذاری یکی از این گواهی‌ها ممکن است کاربران را گیج کند زیرا مشاهده می‌کنند که نام یک دامنه دیگر در کنار نام دامنه‌ای که در حال استفاده از آن هستند لیست شده است. درحالی که رایج است گواهی را در بین زیردامنه به اشتراک می‌گذارند. اما از این ها گذشته، ما گواهی های تکی را توصیه می‌کنیم.
خوشبختانه، فناوری Let’s Encrypt این کار را به شدت ساده و آسان کرده است. تنها از شما می‌خواهد که همان دستور ‘letsencrypt’ را اجرا کنید و پرچم مربوط به دامنه خود را در ادامه ان بزنید. باید توجه داشت که اگر شما نام زیردامنه را از یک گواهی وارد نکنید، قادر خواهید بود که مجدداً همان دستور را اجرا کنید. مطمئن شوید که همانطور که در بار اول وارد کردید، در این جا تمامی دامنه ها را وارد می‌کنید، سپس کافی است نام دامنه گم شده را در پایان وارد کنید. ابزار Let’s Encrypt خواهد دید که یک گواهی از قبل وجود دارد و از شما سوال می‌کند که آیا می-خواهید این گواهی موجود را گسترش دهید. به راحتی گاه های ۳ تا ۸ را تکرار کنید تا بتوانید یک گواهی را به چندین دامنه نسبت بدهید.

۱۰- برپا کردن تازه‌سازی خودکار
گواهی‌های Let’s Encrypt دارای یک طول عمر کوتاه سه ماهه هستند، با این حال، ابزاری به نام auto renewal (تازه سازی خودکار) برای رفع این مشکل وجود دارد که توسط آن این گواهی‌ها را تمدید می‌کنید. برای این که این قابلیت را در حالت خودکار قرار دهید و هیچ تنظیماتی را به صورت دستی وارد نکنید، باید یک CRON را تنظیم کنید. برای انجام این کار، باید ابتدا فایل CRON را با ویرایشگر نانو باز کنیم:

۱۱- اضافه کردن دستور مورد نظر به سربرگ CRON
اکنون ما یک CRON را می‌سازیم که تابع توکار تازه ساز را هر دوشنبه در ساعت ۹ صبح فراخوانی می‌کند. این برنامه به حدی باهوش است که همه گواهی ها را بررسی می‌کند و تنها آنهایی را که تاریخ انقضای تمام شده دارند، تازه می‌کند. در غیراین صورت، آنها را همانگونه که هستند رها خواهد کرد. هر خطایی بر روی یک فایل log نوشته خواهد شد تا در خطایابی کردن آنها به شما کمک کند.

۱۲- ذخیره و خروج
حال به راحتی باید سند ویرایشگر را ذخیره کرده و از آن خارج شوید تا ابزار تازه ساز گواهی‌ها را به صورت خودکار و فعال داشته باشید. برای خروج کلیدهای Ctrl+X را فشار دهید. و در ادامه برای تایید این که قصد ذخیره کردن تغییرات را دارید، کلید Y و سپس Enter را بزنید.

۱۳- کسب اطمینان از نصب شما
این امر مهم است که بررسی کنیم و مطمئن شویم که همه چیز امن است و مراحل نصب به طوری باشد که باید باشد. این کار با استفاده از یک ابزار عالی آنلاین به نام SSL Labs قابل انجام است. به سادگی به لینک مورد نظر بروید، و عبارت example.com را با نام دامنه خود جایگزین کنید.

۱۴- آپدیت کردن لینک‌های سایت
برای اطمینان از این که شما با اخطارها وهشدارهای ناخواسته‌ای مواجه نمی‌شوید، تمامی لینک‌های سایت شما باید به HTTPS آپدیت شوند. این کار شامل لینک‌های مهم به کتابخانه‌های CDN، لینک‌های مسیریابی بین‌المللی، و منابع تصویر به صورت کلی، می باشد. برای مثال:

۱۵- آپدیت کردن سرویس‌های دیگر (خارجی)
جای دیگری که ممکن است نیاز به آپدیت کردن داشته باشد همان ابزارهای خارجی (شخص ثالث) مانند Google Analytics است. این امکان وجود دارد که این ابزار را در درون سایت Google Analytics به عنوان پروتکل ترجیح داده شده بر روی HTTPS قرار دهید. و باید گفت که این کار تصویه شده است.
۱۶- اگر شما به سایت خود بروید، متوجه خواهید شد که به هر دو طریق http:// و https:// می توانید وارد آن شوید. برای اطمینان حاصل کردن از این که سایت شما تنها مسیرهای امن را می‌رود، باید تمامی ترافیک HTTP خود را به صفحه متناظر HTTPS انتقال دهید. ما این کار را در هر سایت می توانیم با برخی کدهای ساده در فایل .htaccess انجام دهیم. پس ابتدا به دنبال پوشه ریشه سایت خود بر روی سرور بگردید و فایل .htaccess را باز کرده یا اینکه ایجاد کنید:

۱۷- اصلاح کردن فایل .htaccess شما
شما باید از mod_rewrite موجود در آپاچی برای این انتقال امن استفاده کنید. این کار تنها با جستجو به دنبال شماره پورت صورت خواهد گرفت. ترافیک های ناامن به صورت پیش فرض در پورت ۸۰ قرار می‌گیرند. پس ما می‌توانیم این پورت را پیدا کرده و آن را به HTTPS به روشی انتقال دهیم که از خطاهای دیوانه کننده ۴۰۴ اجتناب شود. در بالای این فایل، کدهای زیر را کپی و الصاق کنید. سپس گام ۱۲ را تکرار کنید تا همه کارها ذخیره شده و شما خارج شوید.

۱۸- نظارت با استفاده از ابزارهای وب مستر
بعد از همه این آپدیت ها، خیلی مهم است که شما سایت خود را دقیقاً چند روز بعد از آپدیت زیر نظر داشته باشید تا در صورتی که آپدیت کردن یک لینک را فراموش کرده اید، متوجه شوید. اگر سایت شما بر روی ابزارهای Google Webmaster تنظیم شده است، به سادگی به صورت دوره ای، برای چند روز آینده آن را بررسی کنید.

۱۹- حرف آخر
این امرمهم است که بدانید که SSL نمی‌تواند به تنهایی سایت شما را تبدیل به یک محیط امن کند. رمزگذاری ها و امن سازی های پیشرفته تنها وسیله ای برای امن کردن ارتباطات بین سرور و مشتری شما در یک مرورگر می‌باشند. بازهم نیاز به این کار دارید که سرور خود را امن کنید و مطمئن شوید که هر کدی که شما می نویسید، با همان امنیتی که در سر دارید، اجرا خواهد شد. کارهای ساده مانند نصب کردن یک نرم افزار امنیتی، به روز نگه داشتن یک نرم افزار، قرار دادن پسوردها و اطمینان از مجوزهایی که برای فایل ها قرار می‌دهید، همگی از راه هایی هستند که به شما کمک می‌کنند تا سایت خود را برای کاربر خود امن و امان نگه دارید.

نظر بدهید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *

It is main inner container footer text