เนื่องจากการเพิ่มขึ้นของการใช้งานการเข้ารหัสทั่วเว็บ ทำให้คนเริ่มเชื่อมโยงมันกับความไว้วिशวาส สิ่งนี้สร้างเอฟเฟกต์ลูกตุ้ม (snowball effect) ที่เว็บไซต์มากขึ้นรู้สึกแรงจูงใจให้ใช้การเข้ารหัส SSL/TLS เพื่อไม่ให้ตามหลัง เว็บไซต์อีคอมเมิร์ซ โดยเฉพาะ อยู่กลุ่มแรกที่รู้สึกกดดันนี้ เนื่องจากลูกค้าระมัดระวังการทำธุรกรรมออนไลน์โดยไม่มีการเข้ารหัส
เมื่อมาถึงเว็บไซต์ที่เป็นของหน่วยงาน/องค์กร การเข้ารหักลงกลายเป็นเรื่องที่ซับซ้อนกว่ามแค่อัลกอริทึมบางอย่างที่ใช้รักษาความปลอดภยกระบวนการออนไลน์ มันเป็นเรื่องที่ซับซ้อนกว่า พร้อม Certificate Authorities (CAs) และระดับการอนุมัติที่แตกต่างกัน ตอนนี้ ด้วยการปรากฏของ CAs ฟรีอย่าง Let's Encrypt คนๆ กำลังถามตัวเองว่าทำไมตัวเลือกพาณิชย์จึงยังคงมีอยู่ พวกเขา "ดีกว่า" ไหม? หรือมีเรื่องราวมากกว่านี้?
การเข้าใจ CAs และความสำคัญของพวกเขา
การใช้ HTTPS และให้เว็บไซต์ของคุณถูกยอมรับว่า "ปลอดภย" (หมายถึงแถบ URL กลายเป็นสีเขียวเมื่อผู้ใช้เยี่ยมชมเว็บไซต์ของคุณ) ต้องการรูปแบบการอนุมัติบางรูปแบบ คุณต้องการใบรับรอง SSL ที่ออกโดย Certificate Authority ใบรับรองจะ "ยืนยัน" (validate) ความปรากฏตัวออนไลน์ของคุณเป็นสิ่งที่ "จริง" มีการยืนยันหลายประเภท:
- Domain Validation (DV) - พิสูจน์อย่างไม่สามารถปฏิเสธได้ว่าคุณคือคุณ และคุณเป็นเจ้าของโดเมนที่คุณต้องการรักษาความปลอดภย
- Organizational Validation (OV) - พิสูจน์ว่าคุณเป็นเจ้าของโดเมน และยืนยันบางสิ่งเกี่ยวกับองค์กรที่อยู่เบื้องหลังเว็บไซต์ของคุณ
- Extended Validation (EV) - ดำเนินการวิเคราะห์อย่างละเอียดและเข้มงวดของโดเมน องค์กร และสถานะทางกฎหมายของมัน
กระบวนการรับรองสำหรับ DV ชัดเจนว่าง่ายกว่ามาก เพราะคุณต้องทำแค่ส่งหลักฐานว่าคุณเป็นเจ้าของโดเมนของคุณ ในความเป็นจริง สิ่งนี้สามารถทำให้อัตโนมัติได้
มาดู Free CAs
Certificate Authorities อย่าง Let's Encrypt ออกใบรับรอง DV โดยไม่มีค่าใช้จ่าย พวกเขาจัดการกระบวนการตรวจสอบการเป็นเจ้าของโดเมนให้อัตโนมัติในระดับที่ใช้ต้นทุนเกือบศูนย์ในการยืนยันคุณ สิ่งนี้โอเคถ้าคุณมีเว็บไซต์ธรรมดาที่ไม่ต้องการให้ผู้ใช้แชร์ข้อมูลละเอียดอ่อน (เช่น หมายเลขบัตรเครดิต รายละเอียดบัญชีธนาคาร หมายเลขพาสปอร์ต ฯลฯ)
หากคุณกำลังดำเนินเว็บไซต์อีคอมเมิร์ซ คุณควรพิจารณาไปหา Certificate Authority แบบพาณิชย์ ระดับความไว้วिशวาสที่ Extended Validation ให้จะทำให้องค์กรของคุณถูกต้องตามกฎหมายมากกว่ารูปแบบการรับรองอื่นๆ 少なくとも ให้รับรอง OV หากคุณไม่อยากยุ่งกับกระบวนการยุ่งยากด้านหลังการรับ EV
หากคุณเป็นเจ้าของเอนทิตีเว็บขนาดใหญ่ที่โฮสต์เว็บไซต์บนซับโดเมนหลายๆ ตัว คุณอาจผิดหวังที่จะพบว่าไม่สามารถรับใบรับรอง Wildcard ฟรีได้ (ไม่ได้จาก Let's Encrypt แม้แต่นั้น) ใบรับรองนี้จะอนุญาตให้คุณยืนยันทุกซับโดเมนที่คุณสร้างภายใต้ชื่อโดเมนหลักของคุณ
ข้อสรุปที่นี่เรียบง่าย: หากคุณดำเนินเว็บไซต์เรียบง่ายที่ไม่ต้องการแลกเปลี่ยนข้อมูลละเอียดอ่อน ใบรับรอง Domain Validation อย่างที่ Let's Encrypt เสนอ จะพอดีแล้ว คุณไม่ต้องการอะไรหรูหรา!
มิฉะนั้น คุณควรอยู่กับ Certificate Authorities แบบพาณิชย์ ในบางประเทศ คุณอาจเจอปัญหาทางกฎหมาย เพราะคุณไม่ได้ใช้ใบรับรอง Extended Validation สำหรับข้อตกลงที่ผูกพันทางกฎหมาย
คุณคิดว่าเราอาจทำให้การยืนยันใบรับรองทั้งหมดเป็นอัตโนมัติได้ในที่สุดไหม? หรือนั่นแค่การกระโดดที่ใหญ่เกินไปสำหรับมนุษยชาติ? บอกเราในความคิดเห็น!
