自從Google宣佈未來將以https網站為優先,甚至可能會把非https網站排除掉,對於從事SEO研究多年的小弟我,真有如震撼彈一般的打醒了我...

 

=前言很長=

第一次碰SSL已經十多年前了,當時公司花大錢買SSL,其實只為了網站裡的金流機制,

因為信用卡盜刷嚴重,銀行端開始強制網站端必需是https才可串接

金流安全還有很多rule,例如伺服器不能存卡號,至少要留4碼給客戶端key,資料庫內的部份卡號及資料一定要加密過等等...

仔細回想,這些rule是一步步的跟著銀行一起同步調校的,因為當年線上金流才剛起步呀~

 

現在情況卻不太相同,全站SSL是為了什麼?背後利在哪裡?

信用卡被盜用、帳密被側錄等等的問題,透過SSL可以真的保護到嗎?

小弟認為,可以說不,也可以說對,

SSL能保護的只有傳輸加密,其他安全問題根本是無用呀!

近年網路安全的最大痛點在於假網站隱碼攻擊的勒索海盜行為,

因為偷你卡號有何用,信用卡公司可以取消交易及時擋下,

但是勒索電腦資料可就不同了,直接叫你付比特幣然後拍拍屁股走人,

現金交易,銀行完全擋不了!

 

而全面使用SSL是驅使全球的公開網頁走向驗證實名制,

也就是過往任何阿貓阿狗都可以架站的情況雖然還在,

但是全面成為https安全網站後,在被隱碼攻擊之前就多了一層關卡守住,減少瀏覽網頁的漏洞!

 

小弟覺得最大利在此,而非有人說的"想靠SSL賺授權費"

因為SSL也有免費的呀!!!

 

對,終於講到重點了!

為了邁向下一個網路世紀,除了IPv6外,一定要做的,就是取得SSL憑證!

 

=終於是本文=

 

使用Nas架站絕對適合我這種懶人,雖然目前遇到request數的瓶頸

(今天又試了cloudflare的CDN服務,望有改善)

在熟悉LEMP(Linux + Nginx + MariaDB + PHP )架站前,繼續使用Nas的好處就是,連憑證什麼的都可以簡單設定好!

 

免費SSL申請由此去 → sslforfree.com

申請SSL就不多加說明,本文主要是嘗鮮的記錄,使用Synology的Web網頁伺服器導入SSL時要注意的地方

以下為Synology為例,版本為DSM 5.2

 

1.先把router中對外的https的port打開

以免人在外面設定好不能用

http:80

https:443

 

2.將Nas的Firewall裡的https也打開

這是很重要的,因為很常開了服務卻沒開port,把自己擋在外面

 

3.開始匯入憑證

就step by step而已,也沒什麼要注意的

 

 

4.在Nas中開啟網頁服務的HTTPS安全連線

 

5.將你的網站虛擬主機設定改成https

如果你網站已在線上,最好是先跟http並存,讓舊網址用301導到新的https網址,

這步小弟沒看到,試半天都連不進網站,原來是虛擬主機也有https設定的關係

 

 

打完收工

網站本身的程式及所有連結都要改為https就不多說

目前上線皆正常!!

 

看到各瀏覽器上都有個綠色的鎖就有種爽感

 

對於Server苦手的人,用Nas也可以很簡單快速的導入SSL,

(排除申請時間、改網站程式等,實際匯入憑證及啟用https,只花不到10分鐘...)

提升你的網站為https的安全網站,也可以那麼簡單~


發表自: 九五二七九五二七
愛漫畫愛遊戲愛上網愛星爺,小時摸到阿羅士與AppleII後註定宅一輩子,從紅白機玩到PS4,從386打到Xeon,沒日沒夜的打電動;待過所有宅產業,從光華混到NOVA,從遊戲滾到動漫,從攝影器材爬到網路電信,喜愛學習多於睡覺,無時無刻散發一股宅味,但號稱長的像梁朝偉XD

覺得讚想推薦或分享嗎?