Guia do comprador dos principais certificados SSL

O que é um certificado SSL?

Se você deseja celebrar a National Small Business Week iniciando seu próprio negócio on-line, deve estar pensando na segurança do site, e isso significa comprar um certificado SSL. Os certificados Secure Sockets Layer (SSL) costumam ser associados a sites de comércio eletrônico, tanto de varejo quanto orientados a serviços, mas, na verdade, é um componente essencial sempre que você conecta dois computadores. Isso ocorre porque é fundamental para criptografar o fluxo de dados em execução entre essas duas máquinas e, atualmente, a criptografia é uma linha de base para quase qualquer tipo de transação na Internet. Ter um certificado SSL reconhecido gerenciando a criptografia do seu site também é um requisito para garantir que o Google não sinalize seu site como uma ameaça potencial aos visitantes.

Sem a capacidade de garantir que os dados sejam seguros e autênticos, conduzir negócios pela Web seria arriscado e não confiável. Se você não possui um certificado SSL, seu tráfego na Web está aberto para espionagem por hackers. Além disso, em 2014, o Google anunciou que a classificação de pesquisa de um site seria fortemente influenciada pelo uso ou não de SSL, por isso é um grande fator para ser notado na web. Com a iniciativa "HTTPS Everywhere" do Google com força total, todos com presença na web devem considerar ter um certificado SSL, mas é praticamente obrigatório para os comerciantes de comércio eletrônico.

Quais são minhas opções?

Se você está querendo saber como obter um certificado SSL ou decidir qual é o melhor para você, é importante entender os três tipos de certificados disponíveis. Muitos provedores de hospedagem na web têm opções de certificado que oferecem ou oferecem como parte de pacotes únicos, mas muito poucos exigem que você use esses certificados. Portanto, compre ao redor porque suas opções devem permanecer abertas.

Todos os certificados SSL são usados ​​para criptografar dados, mas não há garantia de que o servidor do outro lado seja amigável ou mesmo aquele com o qual você espera conversar. Para resolver esse problema, você tem um terceiro confiável, conhecido como autoridade de certificação, que cobra uma taxa para investigar a empresa e emitir o certificado SSL. A lógica é que, se você confia no terceiro e o terceiro confia no certificado SSL, você pode confiar no certificado e no servidor que o está mostrando. O que separa os certificados SSL é a quantidade de devida diligência no sentido de estabelecer essa confiança. Na maior parte, os certificados SSL são divididos em três categorias:

• Certificado validado por domínio (DV). Com custos variando de gratuitos a baratos, como a opção QuickSSL Premium da Geotrust ou a oferta do RapidSSL, esse tipo de certificado SSL é adequado para projetos internos, mas não é aceitável para a web aberta. Tenha muito cuidado em sites que usam esse tipo de certificado. Na verdade, é melhor você clicar longe deles o mais rápido possível.
• Certificado validado pela organização (OV). Como as empresas e organizações já possuem algum nível de autenticação com um órgão de administração, elas podem ser facilmente verificadas pela autoridade de certificação como legítimas. Geralmente, a organização listada na solicitação será contatada e solicitada a fornecer alguma prova de que é válida. Este é o nível mínimo básico de certificado SSL que deve ser considerado para um site comercial.
• Certificado de Validação Estendida (EV) . Este é o terceiro e mais confiável nível de certificados SSL. As diretrizes publicadas para certificados EV são rigorosas e completas. Não é incomum que a prova de identidade, capacidade e local de negócios sejam solicitadas e verificadas. Antes da emissão do certificado EV, a identidade da entidade legal que controla o site é determinada e publicada. Como bônus, os navegadores mais modernos indicam que um certificado EV está sendo usado, mostrando uma barra verde (URL).

Cada nível de certificado SSL também possui duas variações. Um certificado de domínio único, como parece, protege um único site. Como resultado, tende a ser mais barato. Seu primo, o certificado curinga, permite proteger vários subdomínios e tende a ser mais caro. No entanto, se você deseja um certificado EV, a única opção é obter um certificado de domínio único. Isso se deve ao exame extra de como e onde é usado. Se você precisar cobrir vários subdomínios com certificados EV, às vezes poderá obter um desconto por volume, mas isso variará de provedor para provedor.

Implementação de certificado SSL

Não basta clicar em "comprar", adicionar um certificado SSL ao seu carrinho e fazer check-out. O software que você deseja proteger terá um procedimento de solicitação de certificado que precisará ser seguido à risca. Todos os fornecedores respeitáveis ​​de certificados SSL, incluindo GeoTrust, GoDaddy e Symantec, têm instruções para gerar essa solicitação, portanto vale a pena ler atentamente essas informações. Isso é especialmente verdadeiro se você estiver solicitando um certificado EV.

Após gerar a solicitação, você a enviará à autoridade de certificação SSL para processamento. Isso pode levar de alguns minutos a algumas semanas. Depois de passar qualquer solicitação de verificação, você receberá o certificado SSL completo que pode ser carregado no seu servidor da web.

TLS vs. SSL

Se você comprou recentemente um certificado SSL, provavelmente o instalou e prosseguiu com seus negócios diários, sabendo que seu site era mais seguro para seus visitantes. No entanto, a realidade é que o protocolo SSL foi descontinuado por anos devido a alguns problemas específicos de segurança. O termo, no entanto, persistiu.

Na essência, o SSL é simplesmente um protocolo de "handshake", o que significa que é o método que dois computadores usam para decidir com segurança sobre que tipo de criptografia eles usarão ao se comunicar e qual senha secreta eles compartilharão. faça esse trabalho. Mas o aperto de mão é um estágio crítico no processo de comunicação segura porque, se for comprometido, a etapa de criptografia a seguir será inutilizada. Felizmente, o protocolo de handshake que substitui o SSL atualmente é chamado Transport Layer Security (TLS). Embora o TLS seja semelhante, ainda é uma opção significativamente melhor.

O TLS foi introduzido apenas um pouco após o SSL como um acompanhamento semelhante, mas mais seguro. Os dois continuaram a evoluir em paralelo até que o SSL foi desativado em 2015. Desde então, o TLS continuou sendo a opção preferida, e a maioria dos navegadores atualmente não mostra um ícone de cadeado se os protocolos SSL 2.0 ou SSL 3.0 estiverem sendo usados. Mas essa mudança aconteceu muito abaixo das proverbiais coberturas fora dos círculos de administradores da web, por isso é perfeitamente lógico perguntar "Meus certificados SSL são compatíveis com TLS?"

Resposta curta: Sim, eles são absolutamente. O principal argumento é que a terminologia às vezes pode ser enganosa porque evolui não apenas como a indústria, mas também de acordo com as leis de uso comum. No entanto, você pode ter certeza de que, se você comprou um certificado de uma autoridade confiável, não comprou algo desatualizado. Lembre-se de que os protocolos estão sempre evoluindo; O TLS já está na versão 1.2 e continuará a mudar com o passar do tempo. O certificado é necessário, mas são os servidores da Web que decidem o tipo de criptografia e os protocolos de handshake.

O que evitar

Como não é incomum gastar centenas ou até milhares de dólares por ano em certificados, há uma forte tentação de usar opções de barganha que prometem o mesmo nível de proteção por um preço mais baixo. De fato, os certificados de 2048 bits geralmente são enviados como um ponto de venda. A pura verdade é que qualquer coisa abaixo que nem seja reconhecida pelos navegadores da Microsoft a partir de 1º de janeiro de 2017. É apenas uma questão de tempo até que outros navegadores e plataformas sigam o exemplo. Portanto, embora seja importante que seu certificado seja hash com o Secure Hash Algorithm 2 (SHA-2) e suporte à criptografia de 256 bits, é fácil se perder nos detalhes técnicos.

O verdadeiro atributo definidor é o quanto o mundo confia na organização que emite o certificado. Autoridades como a Network Solutions e a Symantec são bem conhecidas e aceitas pelos desenvolvedores de navegadores. Certificados emitidos pelos principais players são confiáveis ​​por padrão. Embora seja fácil obter um certificado de uma autoridade de barganha, muitas vezes existem obstáculos e obstáculos adicionais pelos quais pular para reconhecê-lo. Esta não é uma posição em que você deseja colocar seus clientes e, se o fizer, muitos provavelmente clicarão no botão Voltar de qualquer maneira. Em resumo, compre, mas lembre-se: você normalmente recebe o que paga.

1 GoDaddy

A GoDaddy lançou um produto SSL destinado principalmente aos usuários de seus serviços de hospedagem na web e, para seu crédito, abrange todas as opções de certificado SSL, começando com um certificado de domínio único que custa US $ 55, 99 por ano. No entanto, embora o serviço tenha preços acessíveis, os usuários relatam frustração significativa com a implementação e a facilidade geral de uso.

às



2 Symantec

A Symantec é uma das marcas mais conhecidas em segurança e os preços da empresa refletem isso. Seu certificado básico de domínio único começa em US $ 399 por ano, e esses custos podem subir para US $ 1.499 por ano para a opção de validação estendida de ponta. Uma coisa a ter em atenção, no entanto, é que o DigiCert comprou os negócios de segurança na Web da Symantec e que o certificado SSL da Symantec fazia parte desse acordo. Portanto, quando você compra um certificado SSL da Symantec, verá o logotipo DigiCert. Isso significa que, embora o preço não tenha mudado, o fornecedor da tecnologia mudou. Felizmente, o DigiCert é um fornecedor sólido, embora você faça bem em investigar o que a empresa oferece sob o seu próprio nome, além do que ela fornece, enquanto aproveita a marca Symantec.

às



3 Entrust Datacard

O Entrust Datacard possui um certificado SSL de domínio único que começa em US $ 174 por ano, mas também oferece opções para curinga, organização e certificados de validação estendida. Embora o preço não seja o mais baixo que já vimos, a reputação da empresa por desempenho e facilidade de uso é sólida. Além disso, possui diversas ofertas relacionadas, incluindo ferramentas de gerenciamento, soluções móveis e até uma oferta de passaporte eletrônico.

às



4 Soluções de rede

A Network Solutions é outro provedor SSL com bom preço que começa com um certificado de domínio único por US $ 54, 99 por ano. Embora o preço seja atraente, esse é outro fornecedor cujos usuários relatam frustração com o atendimento ao cliente e a implementação em geral. Por outro lado, a Network Solutions possui uma ampla variedade de ofertas relacionadas, incluindo suporte para a configuração de lojas de comércio eletrônico e várias iniciativas de marketing digital.

às



5 DigiCert

O DigiCert inicia seus certificados de domínio único a US $ 175 por ano e há opções de validação curinga e estendida. Se isso não for suficiente, confira as ofertas da Symantec, pois a DigiCert comprou os negócios de segurança na Web da Symantec, incluindo certificados SSL, em 2018. Os dois parecem funcionar juntos, no entanto, enquanto a Symantec continua a vender certificados sob sua própria marca, acenando para o DigiCert. No entanto, isso não é um mau negócio para os clientes, pois o DigiCert também possui uma tecnologia sólida e uma boa reputação no atendimento ao cliente. Também possui uma ferramenta de gerenciamento de certificados bem conceituada para quem gerenciará vários certificados.

às



6 Sectigo

A Sectigo (anteriormente Comodo CA), que começa em US $ 92 por ano por seu certificado de domínio único, está trabalhando para expandir suas ofertas além do negócio principal de certificados digitais TLS / SSL. Agora também possui soluções para gerenciamento de certificados, proteção de dados da Internet das Coisas (IoT), bem como manutenção e backup de sites. A empresa mantém uma boa reputação com os clientes desde a mudança do nome, e seus negócios em expansão são boas notícias para os clientes que buscam mais flexibilidade sob um guarda-chuva de um único fornecedor.

às



7 SSL.com

, SSL.com é uma empresa focada apenas em vendas e implementação rápidas de SSL. A empresa faz um ótimo trabalho, com excelentes relatórios de usuários sobre desempenho e atendimento ao cliente. O preço é muito amigável, a partir de US $ 36, 75 por ano para um certificado de domínio único. Mas a empresa não oferece uma opção de validação da organização, embora tenha uma variedade de ferramentas, incluindo um scanner de servidor gratuito disponível no site, que mostra um resumo instantâneo de um servidor de destino.

às



8 GlobalSign

A GlobalSign abrange toda a gama de produtos de identidade, incluindo um certificado SSL básico que começa em US $ 249 por ano. Além disso, possui todas as outras variedades de certificados SSL disponíveis, bem como certificados de assinatura de documentos, assinatura de código e segurança de e-mail. Enquanto alguns se queixam da usabilidade de sua ferramenta de gerenciamento, a empresa tem uma ótima reputação de desempenho e atendimento ao cliente, e ainda possui testes úteis do servidor SSL disponíveis gratuitamente em seu site.

às



9 GeoTrust

A GeoTrust vende uma variedade de produtos SSL, embora seu principal carro-chefe seja a linha True Business, que começa em US $ 199 por ano para um certificado validado pela organização. A empresa também possui certificados de validação estendida de domínio único (QuickSSL), curinga e premium, disponíveis. Ele também oferece um serviço de assinatura, uma oferta orientada para a empresa e várias soluções verticais destinadas especificamente a organizações financeiras, de saúde e governamentais, para citar algumas.

às



10 RapidSSL

O RapidSSL é na verdade outra oferta da GeoTrust, mas a empresa trata como uma divisão separada. Tem bons preços, começando com um certificado de domínio único por US $ 59 por ano. Mas ele não oferece uma opção de validação da organização ou, mais importante, uma opção de validação estendida. O atendimento ao cliente deve ser ótimo, mas o RapidSSL precisa oferecer uma opção de validação estendida em breve, ou isso se tornará irrelevante para quem procura a melhor proteção possível.

às