פרוטוקול Hypertext Transfer Protocol (HTTP) הוא אוסף של כללים שלפיהם נקבע לדפדפנים איך לקרוא נתונים ולהעביר אותם באינטרנט. כאשר 'http' מופיע בכתובת URL, הדפדפן פועל לפי הפרוטוקול כדי לטעון דף אינטרנט.
פרוטוקול HTTPS כמעט זהה לפרוטוקול HTTP, חוץ מהעובדה שהוא מורה לדפדפן להצפין את תעבורת הנתונים בינו לבין דף האינטרנט. ההצפנה מסווה את הנתונים ומפחיתה את הסיכויים שגורם כלשהו ייחשף למידע שלכם ויערוך בו שינויים. אמצעי האבטחה הזה חשוב במיוחד לאתרים שמכילים מידע אישי רגיש כמו פרטים אישיים או מידע פיננסי.
הגדרת HTTPS
כדי להשתמש ב-HTTPS באמצעות שם הדומיין שלכם, תצטרכו להתקין באתר אישורים של SSL (שכבת שקע מאובטחת) או TLS (אבטחת שכבת התעבורה). יכול להיות שמארח אתרי האינטרנט שלכם (ספק אירוח באינטרנט) מציע אבטחת HTTPS. אם לא, תוכלו לבקש אישורים של SSL או TLS מרשויות האישורים ולהתקין אותם בעצמכם. ייתכן שתצטרכו לחדש את האישורים של SSL או TLS מדי פעם.
יש כל מיני סוגים של שרתי אינטרנט, ולכל אחד מהם יש תהליך נפרד להתקנה ולעדכון של אישורי SSL או TLS. תצטרכו לברר מהו שרת האינטרנט שמשמש את האתר שלכם ולפעול לפי ההוראות להתקנה ולעדכון של האישור.
השירותים הבאים של Google מנפיקים באופן אוטומטי אישורי SSL או TLS, מתקינים ומחדשים אותם ללא עלות נוספת:
יש גם מארחים רבים של אתרי אינטרנט של צדדים שלישיים מנפיקים אישורי SSL או TLS, מתקינים ומחדשים אותם. אפשר להשתמש בכל מארח אתרי אינטרנט (כמו Bluehost, Shopify, Squarespace, Weebly ו-Wix) בשילוב עם Google Domains.
אם מארח אתרי האינטרנט שלכם לא כולל אבטחת HTTPS, אתם יכולים לקבל אישור SSL או TLS לדומיין מרשות אישורים (CA). ל-Google יש CA משלה – Google Trust Services. לקוחות Google Domains יכולים לקבל אישור מ-Google Trust Services. לשם כך יש לפעול לפי ההוראות ב'דף האבטחה' של הדומיין.
רשות אישורים פופולרית נוספת, שמעניקה אישורים כדי שמשתמשים יוכלו ליהנות מחוויית גלישה בטוחה יותר באינטרנט, היא Let’s Encrypt.
אחרי קבלת האישור, פונים למארח אתרי האינטרנט כדי להתקין את האישור. כך מפעילים HTTPS אם אתם מארחים את האתר בשרתים משלכם. אם אתם משתמשים בפרוטוקול ACME (סביבה לניהול אוטומטי של אישורים) כדי לנהל את האישורים, אתם יכולים לפעול לפי השלבים הבאים כדי לנהל אישורים באמצעות ACME ו-DNS.
כדי לקבל אישור מ-Google Trust Services:
- נכנסים ל-Google Domains.
- בוחרים את הדומיין שרוצים להנפיק לו אישור.
- בפינה הימנית העליונה, מקישים על סמל התפריט
אבטחה.
- בקטע 'אישורים של SSL או TLS לדומיין', מרחיבים את הקטע Google Trust Services.
- מקישים על לקבלת מפתח EAB.
- תיפתח תיבת דו-שיח עם 2 ערכים: 'מזהה מפתח EAB' ו'מפתח EAB HMAC'.
- כדי להעתיק את שני הערכים האלה, מקישים על הלחצן העתקה ליד כל אחד מהם.
- משתמשים בשני הערכים האלה כדי לרשום חשבון ברשות האישורים Google Trust Services. האופן שבו מציינים את מפתח ה-EAB הזה משתנה מעט בכל הטמעה של לקוח ACME. יש לעיין במסמכי התיעוד של לקוח ה-ACME שבו רוצים להשתמש.
- דוגמה להגדרה באמצעות לקוח ACME הפופולרי של Certbot:
- כדי לרשום חשבון:
certbot register --email <CONTACT_EMAIL> --no-eff-email --server "https://dv.acme-v02.api.pki.goog/directory" --eab-kid "<EAB_KEY_ID>" --eab-hmac-key "<EAB_HMAC_KEY>"
- אחרי שיוצרים את החשבון, אפשר להנפיק אישורים באמצעות הפקודה:
certbot certonly -d <YOUR_DOMAIN> --server "https://dv.acme-v02.api.pki.goog/directory" --standalone
- כדי לרשום חשבון:
- דוגמה להגדרה באמצעות לקוח ACME הפופולרי של Certbot:
- תיפתח תיבת דו-שיח עם 2 ערכים: 'מזהה מפתח EAB' ו'מפתח EAB HMAC'.
אבטחה.ניהול אישורים באמצעות ACME ו-DNS
ACME (סביבה לניהול אוטומטי של אישורים) הוא פרוטוקול נפוץ המשמש לאוטומציה של ניהול האישורים בין רשות אישורים לבין שרת. האוטומציה מאפשרת למשתמשים רבים להקטין את הסיכויים להפסקות זמניות בשירות שנגרמות בגלל בעיות בחידוש אישורי ה-HTTPS שלהם.
כדי להוכיח שיש לכם שליטה על שם דומיין מסוים, פרוטוקול ACME משתמש באתגרים. ב-Google Domains יש תמיכה באתגרים מסוג DNS-01 בשרתי ה-DNS באמצעות שימוש באסימוני API.
כדי ליצור אסימון API:
- נכנסים ל-Google Domains.
- בוחרים את הדומיין הרצוי.
- בפינה הימנית העליונה, מקישים על סמל התפריט
- בקטע ACME DNS API, מקישים על יצירת אסימון.
חשוב: הערך הזה מוצג רק פעם אחת. אחרי שתיבת הדו-שיח תיסגר, לא תהיה אפשרות למצוא שוב את אסימון ה-API הזה. חשוב לשמור את האסימון במקום בטוח, כי כל מי שיש לו את האסימון יכול לשנות רשומות DNS מסוימות בדומיין.
- תיפתח תיבת דו-שיח עם 'אסימון API'.
- אסימון ה-API הזה נדרש כדי להיכנס ללקוח ה-ACME.
- כדי להעתיק את הערך הזה, מקישים על הלחצן העתקה ליד אסימון ה-API.
- אם לא שמרתם את הערך הזה לפני הסגירה של תיבת הדו-שיח, אתם יכולים למחוק את אסימון ה-API בקלות וליצור אסימון חדש.
- בכל דומיין יכולים להיות עד 10 אסימוני API בו-זמנית.
- כשתיבת הדו-שיח תיסגר, תופיע רשומה ברשימה. כדי לבטל את הגישה של האסימון, אפשר למחוק אותו בכל שלב.
- ניתן להשתמש באסימון ה-API בלקוח ACME שתומך ב-ACME DNS API של Google Domains. האופן שבו מציינים את אסימון ה-API הזה משתנה מעט בכל הטמעה של ACME. יש לעיין במסמכי התיעוד של לקוח ה-ACME שבו רוצים להשתמש.
- תיפתח תיבת דו-שיח עם 'אסימון API'.
הגנה על אישורי SSL ו-TLS
השימוש בפרוטוקול HTTPS עוזר במניעת התקפות 'אדם בתווך' (MitM), אבל הן עדיין אפשריות אם גורם כלשהו מתחזה אליכם ומציג את אישורי SSL או TLS שברשותכם. כדי למנוע אירוע כזה, יש לבדוק את האישורים שהונפקו לכם עבור האתר שאתם לא מזהים. אפשר להגביל את מספר הגורמים שיכולים להנפיק אישורים לדומיין שלכם באמצעות רשומות המשאבים של ההרשאה ברשות האישורים (CAA).
הצגת אישורים שהונפקו לדומיין שלכם
כדי לצפות באישורים שהונפקו לדומיין, אתם יכולים לעיין בכתובת censys.io.