Sicherheit ist ein entscheidender Faktor für den Erfolg einer Website. Dies gilt insbesondere für Websites, die PIA ("persönlich identifizierbare Informationen") von Besuchern sammeln müssen. Stellen Sie sich eine Site vor, bei der Sie eine Sozialversicherungsnummer eingeben müssen, oder häufiger eine E-Commerce-Site, zu der Sie Kreditkarteninformationen hinzufügen müssen, um Ihren Einkauf abzuschließen. Auf solchen Sites wird Sicherheit nicht nur von diesen Besuchern erwartet, sie ist für den Erfolg unerlässlich.
Wenn Sie eine E-Commerce-Site erstellen, müssen Sie zunächst ein Sicherheitszertifikat einrichten, damit Ihre Serverdaten sicher sind. Wenn Sie dies einrichten, haben Sie die Möglichkeit, ein selbstsigniertes Zertifikat oder ein von einer Zertifizierungsstelle genehmigtes Zertifikat zu erstellen. Sehen wir uns die Unterschiede zwischen diesen beiden Ansätzen für Website-Sicherheitszertifikate an.
Ähnlichkeiten zwischen signierten und selbstsignierten Zertifikaten
Unabhängig davon, ob Sie Ihr Zertifikat von einer Zertifizierungsstelle signieren lassen oder selbst unterschreiben, eines ist auf beiden Seiten identisch:
- Beide Zertifikate erzeugen eine Site, die von Dritten nicht gelesen werden kann. Die Daten werden über eine HTTPS-Verbindung oder SSL gesendet und unabhängig davon, ob das Zertifikat signiert oder selbst signiert ist, verschlüsselt.
Mit anderen Worten, beide Arten von Zertifikaten verschlüsseln die Daten, um eine sichere Website zu erstellen. Aus Sicht der digitalen Sicherheit ist dies Schritt 1 des Prozesses.
Warum Sie eine Zertifizierungsstelle bezahlen würden
Eine Zertifizierungsstelle teilt Ihren Kunden mit, dass diese Serverinformationen von einer vertrauenswürdigen Quelle und nicht nur von dem Unternehmen überprüft wurden, dem die Website gehört. Grundsätzlich gibt es ein Drittunternehmen, das die Sicherheitsinformationen überprüft hat.
Eine häufig verwendete Zertifizierungsstelle ist Verisign. Je nachdem, welche Zertifizierungsstelle verwendet wird, wird die Domäne überprüft und ein Zertifikat ausgestellt. Verisign und andere vertrauenswürdige Zertifizierungsstellen überprüfen das Vorhandensein des fraglichen Unternehmens und den Besitz der Domäne, um ein bisschen mehr Sicherheit zu bieten, als die betreffende Site legitim ist.
Das Problem bei der Verwendung eines selbstsignierten Zertifikats besteht darin, dass nahezu jeder Webbrowser überprüft, ob eine https-Verbindung von einer anerkannten Zertifizierungsstelle signiert ist. Wenn die Verbindung selbstsigniert ist, wird dies als potenziell riskant gekennzeichnet, und es werden Fehlermeldungen angezeigt, die Ihre Kunden dazu anhalten, der Site nicht zu vertrauen, selbst wenn sie tatsächlich sicher ist.
Verwenden eines selbstsignierten Zertifikats
Da sie denselben Schutz bieten, können Sie ein selbstsigniertes Zertifikat überall verwenden, wo Sie ein signiertes Zertifikat verwenden würden, aber einige Bereiche funktionieren besser als andere.
Selbstsignierte Zertifikate eignen sich hervorragend zum Testen von Servern. Wenn Sie eine Website erstellen, die Sie über eine https-Verbindung testen müssen, müssen Sie für diese Entwicklungs-Site (die wahrscheinlich eine interne Ressource ist) kein signiertes Zertifikat bezahlen. Sie müssen Ihren Testern lediglich mitteilen, dass in ihrem Browser Warnmeldungen angezeigt werden.
Sie können auch selbstsignierte Zertifikate für Situationen verwenden, in denen Datenschutz gefordert wird, aber die Benutzer sind nicht so besorgt. Zum Beispiel:
- Benutzername und Passwort
- Sammeln persönlicher, aber nicht finanzieller Informationen von PIA
- Auf Formularen, bei denen die einzigen Benutzer Personen sind, die Sie kennen und denen Sie vertrauen, wie beispielsweise ein Unternehmens-Intranet
Es geht um Vertrauen. Wenn Sie ein selbstsigniertes Zertifikat verwenden, sagen Sie Ihren Kunden "Vertrauen Sie mir - ich bin der, von dem ich sage, dass ich bin" Wenn Sie ein von einer Zertifizierungsstelle signiertes Zertifikat verwenden, sagen Sie: "Vertrauen Sie mir - Verisign stimmt zu, dass ich bin, wer ich sage, dass ich bin." Wenn Ihre Website für die Öffentlichkeit zugänglich ist und Sie versuchen, mit ihnen Geschäfte zu tätigen, ist letzteres ein viel stärkeres Argument.
Wenn Sie E-Commerce betreiben, benötigen Sie ein signiertes Zertifikat
Es ist möglich, dass Ihre Kunden Ihnen ein selbstsigniertes Zertifikat verzeihen, wenn sie sich lediglich auf Ihrer Website anmelden. Wenn Sie jedoch Ihre Kreditkarten- oder Paypal-Informationen eingeben, benötigen Sie ein signiertes Zertifikat Zertifikat. Die meisten Leute vertrauen den signierten Zertifikaten und können ohne HTTPS-Server keine Geschäfte tätigen. Wenn Sie also versuchen, etwas auf Ihrer Website zu verkaufen, investieren Sie in dieses Zertifikat. Dies ist ein Teil der Kosten für die Geschäftstätigkeit und den Online-Verkauf.
