เจ้าของเว็บหรือไม่ก็ตาม เรารู้ว่า WordPress เป็น CMS ยอดนิยม ขับเคลื่อน 60%+ ของเว็บโลก จัดการเนื้อหาเยอะขนาดนี้ ความปลอดภัยจึงเป็นเรื่องสำคัญ Automattic (บริษัทหลัง WordPress) ประกาศร่วมมือกับโครงการ Let's Encrypt ให้ SSL (Secure Socket Layer) ฟรี สำหรับทุกเว็บ WordPress.com
สำหรับคนไม่รู้ SSL: มันเพิ่มความปลอดภัยเว็บ ใส่ "s" หลัง "http" ใน URL (กลายเป็น https) และเห็น ไอคอนล็อกปิด บนเบราว์เซอร์ตอนเปิดเว็บ
แต่เว็บ WordPress ที่โฮสต์เอง (self-hosted) ล่ะ? เจ้าของเว็บจะเพิ่มความปลอดภัยยังไง? มีวิธีง่ายไหม?
ทำไมต้องใช้ SSL?
สมัยที่ SSL/HTTPS ใช้แค่เว็บอีคอมเมิร์ส ลบเลยแล้ว แม้ยังต้องการความปลอดภัย แต่วันนี้ภัยคุกคามเพิ่มขึ้น ทุกเว็บต้องการSSL คนรู้จักเทคนิคสามารถ攔截, แก้ไข, เปลี่ยนเส้นทางトラฟฟิกของเว็บที่ไม่เข้ารหัสได้
ผู้อ่านก็รู้จักและระวังเว็บที่ไม่เข้ารหัสมากขึ้น เรื่องโดนไวรัส/แฮ็กหลังเข้าเว็บน่าสงสัยเยอะมาก การมี "https" ใน URL ให้ความน่าเชื่อถือ และทั้งคุณและผู้อ่านก็มีความสุขใจ
อีกเหตุผล: Google และเครื่องมือค้นหาอื่น ให้คะแนนหน้าเว็บ (page rank) สูงกว่าให้เว็บที่มี https หมายถึง เว็บปลอดภัยจะอันดับสูงกว่า ได้トラฟฟิกมากขึ้นโดยธรรมชาติ
วิธีขอ SSL ฟรีสำหรับเว็บของคุณ
ก่อนหน้านี้ ต้องจ่ายเงินซื้อ SSL และตั้งค่ายุ่งยากมาก: หลายขั้นตอน โค้ด การอนุมัติซ้ำซ้อน ยังต้องปรับเว็บให้เข้ากับการตั้งค่าใหม่ (รวมถึงเปลี่ยน URL) ไม่แปลกที่คนจ่ายเงินมากให้คนอื่นตั้งค่าให้
ตอนนี้ดีกว่ามาก มีหลายวิธีได้ SSL ฟรีและง่าย นี่คือทางเลือก:
1. ใช้โฮสต์ที่มี SSL ฟรีในตัว
ง่ายที่สุด: ใช้บริการโฮสต์ที่มี SSL built-in แค่ติดต่อฝ่ายช่วยเหลือ เปิดใช้งานให้ หรือทำเองผ่าน cPanel ก็ง่าย
2. ใช้บริการ Cloud DNS
ทางเลือกอื่น: ใช้ Cloud DNS service ส่วนใหญ่รวม SSL ไปด้วย ตัวอย่าง: CloudFlare แผนฟรี ใครก็ใช้ได้ นอกจากความปลอดภัย ยังเพิ่มประสิทธิภาพเว็บอีกด้วย
3. ใช้ Let's Encrypt Free SSL Certificate
ใช้ Let's Encrypt คล้าย WordPress.com แต่ตั้งค่าเองยุ่งยาก คนไม่รู้เทคนิคจะหนีไป โอ๊ย ใบรับรอง Let's Encrypt ใช้ได้แค่ 90 วัน แม้ต่ออายุได้ตลอด แต่ทำทุก 90 วันก็ไม่น่าสนุก
โชคดีที่มีปลั๊กอินช่วย!
ทริโอเก๋ๆ 3 ตัว (The Terrific Trio)
ปัญหา 2 จุดของการตั้ง SSL เอง: 1) ขอใบรับรอง 2) ปรับเว็บหลังได้รับรอง เราจะใช้ 3 ปลั๊กอิน WordPress ฟรี แก้ทั้งคู่
1. WP Encrypt
WP Encrypt เป็น WordPress client สำหรับ Let's Encrypt ช่วยขอ SSL ฟรี และ ต่ออายุอัตโนมัติทุก 90 วัน ก่อนหมดอายุ — หน้าที่น้อยลง 1 อย่าง
เริ่มต้น: ใส่ข้อมูล ทิกตัวเลือกในหน้า Settings > กด "Save Changes → Register Account → Generate Certificate"
ถึงขั้นนี้ ได้ SSL ฟรีแล้ว (เป้าหมายบทความ) แต่ไปต่ออีกนิด
2. Remove HTTP
SSL ทำให้ "http" กลายเป็น "https" แต่เนื้อหาเว็บอาจยังอ้างอิงลิงก์ "http" (รูป, JS, CSS) ทำให้เกิด Mixed Content Warning Remove HTTP จะตัด "https://" และ "https://" ออกจากลิงก์ทั้งหมด โดยไม่เปลี่ยนข้อมูลในฐานข้อมูลถาวร
ไม่ต้องตั้งค่า ติดตั้งเสร็จทำงานอัตโนมัติ ลิงก์จะกลายเป็น protocol-relative URLs (ขึ้นต้นด้วย "//" ไม่มี "http:" หรือ "https:")
3. Really Simple SSL
หลังได้ใบรับรองจาก WP Encrypt เปิดใช้ Really Simple SSL จัดการส่วนที่เหลือ:
- แก้ปัญหา SSL ของ WordPress (เช่น load balancer, ไม่มี server variables)
- รีไดเรกต์ทุกคำขอไป https ผ่าน .htaccess หรือ JavaScript
- เปลี่ยน Site URL และ Home URL เป็น https (ไม่เปลี่ยนลิงก์ไปโดเมนอื่น)
- ไม่แก้ฐานข้อมูล ยกเว้น siteurl และ homeurl
บางกรณียังต้องตั้งค่าเองบ้าง
หมายเหตุสำคัญ: อาจติดตั้ง Remove HTTP และ Simple SSL แล้วเว็บยังไม่ถูกต้อง หรือตั้งค่าไม่ได้ ตัวเลือก: 1) ตั้งค่าเองตามคำแนะนำในหน้า Settings ของ WP Encrypt (กดแท็บ Help มุมขวาบน) 2) ใช้ Really Simple SSL Pro (ตั้งค่าให้อัตโนมัติ) 3) ใช้วิธีอื่น 2 ทางข้างต้น
คุณได้ติดตั้ง SSL แล้วไหม? ประสบการณ์เป็นไงบ้าง? แชร์ในความคิดเห็นได้เลยครับ
