https ja sertifikaat

Moodul 3: Aadress, https ja kasutajad · Lugemisaeg: 8 minutit

Õpieesmärk: pärast seda õppetundi oskad viia WordPressi saidi täielikult https-ile ning tead, mida teevad WordPressi aadress ja saidi aadress.

Põhimõisted: TLS, sertifikaat, Let's Encrypt, automaatne pikendamine, WordPressi aadress (siteurl), saidi aadress (home), WP_HOME ja WP_SITEURL, HSTS, enda välja lukustamine

Mida https teeb

Kasutades https-i, on kõik brauseri ja serveri vaheline liiklus krüpteeritud: paroolid, vormid, küpsised, ka tavalised lehed. Ilma https-ita saab igaüks samas võrgus (avalik wifi, ülevõetud ruuter) kaasa lugeda ja isegi lehte muuta. Brauserid näitavad https-ita saiti kui "ei ole turvaline" ning mõned funktsioonid (näiteks asukoht või kaamera) töötavad ainult https-iga.

Krüpteerimist nimetatakse TLS-iks. Et tõestada brauserile, et ta räägib tõesti domeeniga example.com ja mitte vahendajaga, on serveril sertifikaat: digitaalne tõend, mille on allkirjastanud väljaandja, keda brauserid usaldavad. Sertifikaadil on kirjas nimed, mille jaoks see kehtib, ja kuni millise kuupäevani.

Tasuta sertifikaadid ja pikendamine

Let's Encrypt väljastab tasuta sertifikaate. Peaaegu iga majutaja taotleb neid automaatselt ja pikendab neid ka automaatselt. Let's Encrypti sertifikaat kehtib praegu 90 päeva ning Let's Encrypt on teatanud, et lühendab seda kehtivusaega samm-sammult 45 päevani. Seetõttu ei ole käsitsi pikendamine mõistlik variant: see peab toimuma automaatselt.

Tasuline sertifikaat ei krüpteeri paremini. Erinevus seisneb organisatsiooni lisakontrollis (ja mõnikord garantiis). Enamiku saitide jaoks on tasuta sertifikaat igati piisav.

Millele tähelepanu pöörata:

Sertifikaat peab katma iga nime, mida külastaja võib sisestada: example.com ja www.example.com. Ka see nimi, mis ainult suunab edasi, sest brauser kontrollib sertifikaati enne ümbersuunamist.
Automaatne pikendamine õnnestub ainult siis, kui DNS osutab sinu serverile. Kui oled DNS-i kolinud või pannud ette proksi (näiteks Cloudflare), kontrolli, kas pikendamine ikka töötab.
CAA-kirje DNS-is võib määrata, millised väljaandjad tohivad sertifikaate väljastada. Kui Let's Encrypt seal kirjas ei ole, siis taotlus ebaõnnestub (DNS-kursus, õppetund 5.2).

Kaks aadressi WordPressis

Jaotises Sätted > Üldine on kaks aadressi. Need tunduvad asjatult kattuvat, kuid tähendavad erinevaid asju:

Väli	Andmebaasis	Tähendus
WordPressi aadress (URL)	`siteurl`	Kus asuvad WordPressi failid (wp-admin, wp-includes)
Saidi aadress (URL)	`home`	Aadress, mida külastajad kasutavad

Enamasti on need samad, näiteks mõlemad https://example.com. Need erinevad ainult siis, kui WordPress asub alamkaustas, kuid sait peab kuvama põhikaustas.

Nende aadresside põhjal koostab WordPress kõik lingid: lehtedele, stiililehtedele, piltidele, halduspaneelile. Kui siin on kirjas http://, loob WordPress lehti http://-linkidega, ka siis, kui külastaja tuleb https kaudu. See tekitab segasisu (õppetund 3.2) ja edasi-tagasi ümbersuunamisi.

Saidi viimine https-ile

Kui sul on olemasolev sait http-l, siis need on sammud:

Taotle sertifikaat mõlemale nimele ja kontrolli, et https://example.com töötab (näed siis WordPressi lehte, võib-olla veel ilma vormistuseta).
Tee varukoopia (õppetund 8.1).
Sea mõlemad aadressid jaotises Sätted > Üldine väärtusele https:// ja salvesta. Sind logitakse välja, logi uuesti sisse https kaudu.
Teisenda vanad lingid sisus kujult http://example.com kujule https://example.com. Tee seda tööriistaga, mis mõistab serialiseeritud andmeid, näiteks wp search-replace või otsi-ja-asenda pluginaga (õppetund 3.2), mitte kunagi lihtsa SQL-käsuga.
Ümbersuunamine: lase veebiserveril suunata kõik http-päringud 301 koodiga https-ile (õppetund 3.2). Paljudel majutajatel on selle jaoks linnuke; muidu lisa paar rida faili .htaccess.
Kontrolli selle õppetunni ülesande ja õppetunni 3.2 ülesandega.

Enda välja lukustamine: kui aadress on valesti seatud

Kui teed aadressidesse kirjavea (htps://, vale domeen), suunab WordPress sind pärast salvestamist sellele valele aadressile. Halduspaneeli pole enam võimalik avada. Ära muretse, on kaks väljapääsu:

Faili wp-config.php kaudu. Lisa enne rida "Stop editing":

define( 'WP_HOME', 'https://example.com' );
define( 'WP_SITEURL', 'https://example.com' );

Need read on olulisemad kui andmebaasis olevad väärtused. Väljad jaotises Sätted > Üldine muutuvad siis halliks. Logi sisse, sea õiged väärtused andmebaasis ja eemalda read uuesti (või jäta need teadlikult alles, siis ei saa keegi kogemata muuta aadresse halduspaneeli kaudu).

phpMyAdmini kaudu. Ava tabel wp_options ja muuda väärtusi siteurl ja home.

HSTS: lase brauseril meelde jätta

Päisega HSTS (Strict-Transport-Security) ütleb server brauserile: "tule siia lähiajal ainult https kaudu." Brauser teisendab seejärel ise iga http:// aadressi kujule https://, ilma et ta enne saadaks turvamata päringut.

Strict-Transport-Security: max-age=31536000; includeSubDomains

HSTS on hea lisasamm, kuid sellel on hoiatus: brauser, kes on HSTS-i näinud, keeldub hiljem saiti avamast ilma kehtiva sertifikaadita, isegi mitte nupuga "jätka ikkagi". Koos atribuudiga includeSubDomains kehtib see igale alamdomeenile. Kui sul on alamdomeen ilma sertifikaadita (näiteks vana sisemine süsteem), siis pärast HSTS-i rakendamist muutub see kättesaamatuks. Alusta seetõttu lühikese max-age väärtusega (näiteks üks päev, 86400), kontrolli kõike ja pikenda alles siis.

Praktikas: nii näeb see välja haldurpaneelis

Näitena kasutame DirectAdminit. cPanelis kannab see osa nime SSL/TLS Status (AutoSSL), Pleskis SSL/TLS Certificates.

Ava oma domeeni juures SSL-sertifikaadid ja vali Tasuta ja automaatne Let's Encrypti sertifikaat.
Märgista example.com ja www.example.com ning taotle sertifikaat.
Lülita domeeniseadetes sisse linnuke, mis saadab külastajad alati https-ile (DirectAdminis: Forceer SSL met https omleiding). Kasuta ainult üht ümbersuunamise viisi: kaks erinevat korraga võivad tekitada ringi ("liiga palju ümbersuunamisi").
Mine WordPressis jaotisesse Sätted > Üldine ja sea mõlemad aadressid väärtusele https://.

Kokkuvõte

https krüpteerib kogu liikluse brauseri ja serveri vahel; sertifikaat tõendab, kes server on.
Let's Encrypti tasuta sertifikaadid kehtivad lühikest aega ja neid pikendatakse automaatselt; need peavad katma iga nime, mida külastaja sisestab.
WordPressi aadress (siteurl) ja saidi aadress (home) peavad mõlemad olema seatud väärtusele https://.
Kui oled vale aadressi tõttu enda välja lukustanud, paranda see WP_HOME ja WP_SITEURL abil failis wp-config.php või phpMyAdminis.
HSTS on hea lisasamm; alusta lühikese kehtivusajaga.

Test (quiz)

Ülesanne

Ülesanne A3.1: Kas sinu sertifikaat on korras? Sisesta oma saidi aadress. Programm loob TLS-ühenduse domeeniga ilma www-ta ja www-ga (kui see olemas on) ning kontrollib: kas sertifikaat on kehtiv ja usaldusväärne, kas see katab mõlemad nimed, kas see kehtib kauem kui 14 päeva, ja kas sait saadab HSTS-päist? Kui HSTS puudub, siis on see oranž koos selgitusega, mitte viga.

Lisalugemist

Need artiklid kirjeldavad samme WebOké halduspaneelides; teistes paneelides toimivad need sarnaselt.

Küpsised WebOké lehel

Küpsiste seaded

Vajalikud

Turundus