SSL

Co je to SSL?

SSL (Secure Sockets Layer) je bezpečnostní protokol, který šifruje komunikaci mezi webovým serverem a prohlížečem návštevníka. Zajišťuje, že data přenášená po internetu – hesla, platební údaje, osobní informace – jsou chráněná před odposloucháváním a nemohou být zachycena útočníky. Když vidíte v adresním řádku zelenou ikonku zámku nebo HTTPS místo HTTP, znamená to, že web využívá SSL certifikát a komunikace je šifrovaná. SSL je dnes absolutním standardem pro všechny moderní weby – Google ji vyžaduje, prohlížeče bez ní zobrazují varování a návštevníci očekávají bezpečné připojení. Bez SSL certifikátu váš web působí nedůvěryhodně a riskujete ztrátu zákazníků ještě předtím, než si přečtou obsah. Technicky vzato je SSL starší název – moderní verze protokolu se nazývá TLS (Transport Layer Security), ale termín SSL se běžně používá pro obojí. Pro majitele webu je podstatné, že SSL certifikát chrání důvěrnost dat, buduje důvěru návštevníků a je nutností pro profesionální online prezentaci.

Jak SSL funguje?

Když návštevník otevře HTTPS web, proběhne v pozadí složitý, ale bleskurychlý proces nazývaný SSL handshake (rukování). Prohlížeč požádá server o ověření identity, server pošle zpět SSL certifikát obsahující veřejný klíč. Prohlížeč zkontroluje platnost certifikátu u certifikační autority (CA) a pokud je vše v pořádku, vytvoří se šifrovaný komunikační kanál. Od tohoto okamžiku jsou veškerá data přenášená mezi prohlížečem a serverem šifrovaná – i kdyby je někdo zachytil, vypadají jako nečitelná změť znaků bez dešifrovacího klíče. Proces využívá asymetrické šifrování – existuje pár klíčů (veřejný a soukromý). Veřejný klíč je dostupný všem a slouží k šifrování, soukromý klíč zůstává tajný na serveru a slouží k dešifrování. Po navázání spojení se často přechází na rychlejší symetrické šifrování pro samotný přenos dat. Pro běžného uživatele je celý proces neviditelný a trvá zlomek sekundy – poznají jen zelený zámek v prohlížeči a HTTPS v adrese. Pro majitele webu je důležité, že SSL certifikát musí být platný, správně nainstalovaný a pravidelně obnovovaný, aby nedošlo k výpadku zabezpečení.

Proč je SSL důležité?

Bezpečnost dat dnes není volitelná funkce, ale základní požadavek uživatelů, prohlížečů i vyhledávačů.

• Ochrana citlivých dat

Každá komunikace na webu může obsahovat citlivé informace – přihlašovací údaje, osobní data z kontaktních formulářů, platební karty při nákupu. Bez SSL je tato komunikace přenášená v čitelné podobě a může být snadno zachycena na cestě mezi návštevníkem a serverem. Útočníci mohou odposlouchávat veřejné WiFi sítě v kavárnách a krást hesla z nezabezpečených webů. SSL šifrování zajišťuje, že i kdyby někdo komunikaci zachytil, data jsou nepoužitelná bez dešifrovacího klíče.

• Důvěra návštevníků

Moderní prohlížeče (Chrome, Firefox, Safari) výrazně varují před návštěvou webu bez SSL certifikátu – zobrazují "Nezabezpečené" v adresním řádku nebo blokují načtení. Návštevníci jsou dnes vzdělání a absence zeleného zámku znamená nedůvěru. Pro e-shopy a weby vyžadující registraci je SSL absolutní nutnost – nikdo nebude dobrovolně zadávat citlivé údaje na nezabezpečeném webu.

• SEO a Google ranking

Google od roku 2014 považuje HTTPS za ranking faktor. Weby s SSL certifikátem mají mírnou výhodu v pořadí vyhledávání oproti nezabezpečeným verzím. Navíc Chrome prohlížeč od roku 2018 označuje všechny HTTP weby jako nezabezpečené, což snižuje míru prokliků z vyhledávání. Pokud provozujete web bez SSL, dobrovolně si škodíte v SEO a ztrácíte potenciální návštěvníky.

Typy SSL certifikátů

Ne všechny SSL certifikáty jsou stejné. Liší se úrovní ověření identity majitele webu a rozsahem pokrytí.

• Domain Validation (DV)

Domain Validation certifikáty jsou nejjednodušší a nejrychleji vydávané. Certifikační autorita ověří pouze to, že máte kontrolu nad doménou (obvykle pomocí emailu nebo DNS záznamu). Vydání trvá minuty až hodiny a certifikát je často zdarma (Let's Encrypt). DV certifikáty poskytují plné šifrování, ale neověřují identitu majitele. Jsou ideální pro blogy, portfolia, menší firemní weby – všude, kde nepřenášíte platební údaje.

• Organization Validation (OV)

Organization Validation certifikáty vyžadují ověření nejen domény, ale i existence a identity organizace. Certifikační autorita kontroluje oficiální registry firem, kontaktuje organizaci telefonicky a ověřuje legitimitu podnikání. Vydání trvá dny až týden a certifikát stojí od stovek korun ročně. OV certifikáty zobrazují v detailech certifikátu ověřené údaje o firmě, což buduje vyšší důvěru. Jsou vhodné pro firemní weby, B2B aplikace a profesionální služby.

• Extended Validation (EV)

Extended Validation certifikáty představují nejvyšší úroveň ověření. Certifikační autorita provádí důkladnou kontrolu právní existence firmy, fyzické adresy, telefonních čísel a oprávněnosti žadatele. Proces může trvat týdny a certifikát stojí tisíce korun ročně. Výhodou je nejvyšší důvěryhodnost – dříve se zobrazoval zelený řádek s názvem firmy přímo v adresním řádku. EV certifikáty používají banky, e-shopy s vysokými obraty a weby, kde je důvěra kritická.

• Wildcard certifikát

Wildcard certifikát zabezpečuje hlavní doménu a všechny její subdomény pod jedním certifikátem. Například certifikát pro *.webouky.cz pokryje webouky.cz, www.webouky.cz, blog.webouky.cz i obchod.webouky.cz. Je to praktické a často levnější řešení než pořizovat certifikát pro každou subdoménu zvlášť.

Let's Encrypt – bezplatné SSL

Let's Encrypt je nezisková certifikační autorita, která od roku 2016 poskytuje SSL certifikáty zcela zdarma s cílem zašifrovat celý internet.

• Co je Let's Encrypt?

Let's Encrypt vydává plně funkční DV SSL certifikáty automaticky a zdarma s platností 90 dní. Certifikáty jsou důvěryhodné ve všech hlavních prohlížečích a poskytují stejnou úroveň šifrování jako placené DV certifikáty. Automatická obnova zajišťuje, že certifikát nikdy nevyprší, pokud je správně nakonfigurovaná. Díky Let's Encrypt se SSL stala standardem – dnes není důvod nemít HTTPS na jakémkoliv webu.

• Výhody a nevýhody

Hlavní výhoda je samozřejmě cena – nula korun. Instalace je automatizovaná, obnova také, a pro většinu běžných webů je Let's Encrypt naprosto dostačující. Nevýhodou je absence vyššího ověření identity (OV nebo EV), kratší platnost vyžadující častější obnovu a omezená technická podpora. Pro profesionální e-shopy nebo firemní weby někdy stojí za zvážení placený certifikát s podporou a pojištěním.

Instalace a správa SSL certifikátu

Získat SSL certifikát je jen začátek – musíte ho správně nainstalovat a udržovat funkční.

• Získání certifikátu

SSL certifikát získáte od certifikační autority (Let's Encrypt, Sectigo, DigiCert, GlobalSign) nebo přímo u vašeho poskytovatele hostingu, který často nabízí SSL jako součást balíčku. U většiny moderních hostingů se Let's Encrypt aktivuje jedním kliknutím v administračním panelu (cPanel, Plesk). Po získání certifikátu ho nainstalujete na server a nastavíte přesměrování z HTTP na HTTPS.

• Přechod z HTTP na HTTPS

Když aktivujete SSL na existujícím webu, musíte zajistit, že všichni návštevníci budou automaticky přesměrováni z HTTP na HTTPS. Nastavíte 301 redirect (trvalé přesměrování) obvykle pomocí .htaccess souboru nebo v konfiguraci serveru. Dále aktualizujete odkazy v obsahu webu (obrázky, CSS, skripty) aby používaly HTTPS, jinak prohlížeč zobrazí varování o smíšeném obsahu (mixed content).

• Obnova certifikátu

Let's Encrypt certifikáty mají platnost 90 dní a vyžadují pravidelnou obnovu. Moderní hostingy a Certbot (nástroj pro Let's Encrypt) obnovují certifikát automaticky asi 30 dní před vypršením. U placených certifikátů (platnost 1–2 roky) musíte sledovat datum expirace a obnovit certifikát ručně nebo nastavit automatické upomínky. Vypršení certifikátu znamená, že web přestane být dostupný s chybovým hlášením, což je velký problém.

Časté problémy s SSL

I když je SSL dnes standardní technologie, můžete narazit na několik typických problémů.

• Mixed content (smíšený obsah)

Mixed content nastává, když HTTPS stránka načítá některé zdroje (obrázky, CSS, JavaScript) přes nezabezpečené HTTP. Prohlížeče zobrazují varování a mohou blokovat načítání. Řešením je aktualizovat všechny odkazy na HTTPS nebo použít relativní cesty.

• Chyby platnosti certifikátu

Pokud certifikát vyprší, neodpovídá doméně (certifikát pro jinou doménu) nebo není důvěryhodný (sebepodepsaný certifikát), prohlížeč zobrazí výrazné varování a většina návštevníků opustí web. Pravidelně kontrolujte datum expirace a ujistěte se, že certifikát odpovídá vaší doméně včetně www nebo bez www.

SSL a výkon webu

Existuje mýtus, že SSL zpomaluje web. Realita je dnes jiná.

• Vliv šifrování na rychlost

Šifrování vyžaduje výpočetní výkon serveru a přidává SSL handshake na začátku spojení. V minulosti to mohlo způsobit znatelné zpomalení, ale moderní servery s výkonnými procesory a optimalizovanými TLS knihovnami zpracovávají šifrování s minimálním dopadem na rychlost. HTTP/2 protokol (který vyžaduje HTTPS) navíc přináší výkonnostní výhody, které často převažují nad náklady na šifrování.

• HTTP/2 a HTTPS

HTTP/2 je modernější verze HTTP protokolu, která umožňuje paralelní načítání více zdrojů najednou, kompresi hlaviček a další optimalizace. Většina prohlížečů podporuje HTTP/2 pouze přes HTTPS. Takže aktivace SSL vám může paradoxně web zrychlit díky přístupu k HTTP/2 výhodám a lepšímu výkonu.

SSL pro e-shopy a platební brány

Pokud provozujete e-shop nebo přijímáte platby, SSL není volitelné – je to zákonný a bezpečnostní požadavek.

• PCI DSS compliance

PCI DSS (Payment Card Industry Data Security Standard) jsou bezpečnostní standardy pro nakládání s platebními kartami. Pokud přijímáte platby kartou, musíte dodržovat PCI DSS – a SSL šifrování je jedním ze základních požadavků. Bez SSL nemůžete legálně zpracovávat platební údaje.

• Integrace platebních bran

Moderní platební brány (GoPay, ComGate, Stripe) vyžadují, aby váš web používal HTTPS. Jinak odmítnou navázat spojení nebo zobrazí varování zákazníkům. SSL není překážka pro integraci plateb, ale nutný předpoklad.

Související pojmy