Cu mai puțin de o lună în urmă noi am intrebat părerea dvs. despre HTTPS în DesdeLinux. Mulțumită peterceh De mai bine de o săptămână, blogul are HTTPS activat, adică pot accesa https://blog.desdelinux. Net iar serverul va răspunde.
Motivele pentru care ne-am gândit la HTTPS despre care am vorbit anterior sunt practic:
- Google va lua în considerare site-urile HTTPS pentru SEO în viitor.
- HTTPS este criptarea informațiilor, care se traduce printr-o mai mare securitate pentru informațiile dvs. și a noastră.
După cum puteți vedea, este un punct în favoarea noastră în toate modurile să implementăm corect HTTPS pe site-urile noastre.
În ceea ce privește SEO și GoogleDeși este adevărat că Google NU vă va asocia imediat PageRank-ul cu HTTPS, va fi ceva care, în viitor, va avea o relație directă, haide, care ne va influența SEO-ul. În acest moment putem folosi instrumente pentru a verifica SEO-ul nostru, chiar testez unele Aplicații de poziționare SEO disponibil, care poate avea o versiune pentru Android, ei bine, în viitor implementarea sau nu a HTTPS va fi unul dintre parametrii care trebuie măsurați.
În ceea ce privește securitatea informațiilorEste evident că datele de conectare (utilizator și parolă) care circulă în text simplu pe rețea nu este cel mai indicat lucru, oricine are două degete de frunte ar putea capta o parolă și bine ... să facă ceea ce le permite imaginația lor 🙂
HTTPS activat DesdeLinux
După cum am spus mai înainte, dacă sunt de acord https://blog.desdelinux. Net Serverul nostru le va răspunde, browserul lor le va arăta că site-ul nu este de încredere și așa ... pentru că nu am plătit pentru ca o companie să semneze certificatul nostru ca „valid”. Trebuie doar să facă clic pe Descărcare / Obținere certificat și apoi pe Aprobare, ceea ce le va fi suficient pentru a accesa site-ul.
Prin peterceh Avem un certificat generat de noi înșine, pentru că oricine le scrie știe despre servere și altele, dar ... hehe, nu a trebuit niciodată să lucrez cu SSL, așa că vă recomand să descărcați și să importați CA-ul nostru în browser.
Pentru a-l adăuga aici pașii:
- Deschideți Firefox
- Vizita preferinţe o Configurare
- Să mergem la secțiune avansat, în special fila Certificate
- Facem clic pe buton a importa și căutăm fișierul pe care tocmai l-am descărcat și atât.
Iată o captură de ecran:
Odată ce certificatul este adăugat în browser, vom putea accesa blogul prin HTTPS fără să apară semnul de avertizare 😉
Și acum, ce urmează?
Deocamdată testăm HTTPS, că blogul este afișat bine acolo și verificăm dacă totul este în regulă. Deci, orice eroare ... vă rugăm să o raportați 😉
Apoi, ceva ce intenționăm să facem este că WP-Admin va fi obligatoriu să-l folosim prin HTTPS, deoarece primul lucru pe care trebuie să îl protejăm este utilizatorul și parola tuturor, pentru aceasta este suficient să adăugăm o linie în wp-config.php din WordPress.
Acesta va fi (posibil) următorul pas.
Ei bine, nimic, îl voi lăsa acolo pentru moment. Aștept feedback de la dvs. pentru a vedea dacă totul funcționează așa cum ar trebui să funcționeze
PD: Blogul continuă să funcționeze prin HTTP și HTTPS, nu vă faceți griji 😉
Implementarea testării, între timp, noroc, astfel încât să nu cadă nimic.
1) pentru a face acest lucru în Chrome, accesați setări, afișați opțiuni avansate, gestionați certificate, eliberați fila autorități, importați, selectați certificatul și gata.
2) Cred că îmi amintește de faptul că wordpress-ul eșuează, deoarece după conectare (și terminare în panou), intru pe blog și mă deconectez.
autentificarea este făcută. Nu iti face griji.
În cazul meu, folosesc crom, îmi cere parola care a fost folosită pentru a cripta certificatul ??? ceva foarte ciudat care mă întreabă asta.
În cazul Firefox, acesta a fost importat cu succes.
Putin ajutor??
Bună NauTiluS, tocmai l-am testat pe Chromium 36 și cel mai recent Chrome 37 și nu există nicio problemă.
Se află în fila autorități emitente, nu în certificatul dvs.
Am 37 și aici mi-a dat această problemă
Am uitat, vă dau un videoclip pe care l-am făcut cu pașii pe care îi fac și eșecul comentat.
Vă ofer videoclipul aici, cu pașii parcurși.
https://vimeo.com/105256304
ps: vă rog un moderator să șteargă comentariul anterior, deoarece tasta Enter a fost apăsată din greșeală.
Certificatul trebuie importat în fila cu numele Autorități și nu în certificatele dvs. așa cum faceți în videoclipul dvs. .. Faceți clic pe fila cu numele Autorități :).
Gata petercheco.
Este pentru prima dată când o fac în crom :!
HTTPS într-un blog este absurd, majoritatea oamenilor accesează doar bloguri pentru a le citi și pentru un acces de conectare, nu există nimic altceva decât un nume de utilizator, o parolă și e-mailul. Pe de altă parte, a face acest lucru pentru că Google stipulează că mă face destul de speriată, de atunci dăm deja motivul că Google este guvernul internetului și cine nu trece prin cercul său este lăsat în urmă. În mod similar, schimbarea algoritmului Google este interpretată greșit, deoarece nu se spune că toate site-urile web trebuie să fie HTTPS, dar dacă vor acorda prioritate conținutului care necesită criptare împotriva conținutului care nu este (De exemplu, piețe sau site-uri web în care sunt tratate datele sensibile, cum ar fi cardurile de credit sau informațiile personale). Acesta ca sistem de securitate este foarte bun și sunt de acord că Google face asta, dar acum nu trebuie să cheltuim 30 USD pe an pe certificat și domeniu pentru un site web simplu de informare publică.
Acum, sper să rețineți că un site web cu un certificat auto-semnat ESTE penalizat de Google, deoarece vor exista alerte că site-ul este periculos și nu toată lumea se va deranja să adauge certificatul în browserul lor.
Un salut.
Comentariu interesant. Eu personal nu susțin https și mi-ați dat un motiv întemeiat să îmi reafirm poziția.
…. de ce o stipulează Google ?, ... încetul cu încetul, monopolul google prinde GNU / Linux în capcana sa mercantilistă, iar utilizatorii săi vor fi lăsați la mila intereselor sale negre de marketing. Nu își dau seama că acest monopol Google vrea să pună în intimitatea persoanelor care chiar cer un număr de telefon în ce scop? … Să urmărești și să știi tot ce faci. Acum nu veți mai putea comenta liber în aceste forumuri .... dacă nu sunteți înregistrat pe această pagină? … Și de ce?… Pentru că așa trimite Google.
Cred că exagerăm prea mult ...
că nu se va putea comenta liber DesdeLinux? …pe care nu poți comenta dacă nu ești înregistrat? …asta nu are nimic de-a face, repet, NIMIC cu Google sau cu orice alta companie, ar fi masuri care, daca ar fi aplicate (desi nu vad niciun motiv sa fac asta), ar fi decizia noastra, nu a altora.
HTTPS nu este deținut de Google departe de el, este pur și simplu HTTP, dar informațiile călătoresc criptate (protejate) prin rețea, nimic mai mult.
Nu pune HTTPS să-l pună, cred totuși că datele de conectare călătoresc în text simplu este o idee RĂU, FOARTE RĂU.
Că un hacker printr-un atac MITM știe că citesc un blog pe care îl poate accesa el folosind aceeași adresă de la care accesez, ceea ce mă îngrijorează cel mai puțin, de aceea reafirm că nu toate site-urile web trebuie să aibă HTTPS în mod necesar și cred poziția Google este de a acorda prioritate conținutului criptat al cărui trafic de date sensibile este mai mare decât traficul de vizibilitate publică.
Nu văd bine acum că trebuie să plătim un X pe an pentru un certificat și pentru cei care gestionează un permis de domeniu, dar cei dintre noi care avem mai mult de 3 domenii înregistrate este o cheltuială pe care nu ne putem permite în niciun fel.
Acest lucru nu este în totalitate adevărat, mai ales în cazurile în care utilizatorii sunt suficient de „nevinovați” pentru a utiliza aceeași parolă în e-mail. 🙂
Îmbrăţişare! Paul.
Îți împărtășesc punctul de vedere @usemoslinux, mulți utilizatori „nevinovați” au obiceiul prost de a folosi același nume de utilizator și parolă pentru aproape tot ceea ce fac pe Internet fără a înțelege riscul pe care acest lucru îl implică pentru confidențialitatea lor.
Și vorbind despre subiectul confidențialității, https nu este implementat doar din punct de vedere al securității, ci și pentru a oferi utilizatorului posibilitatea de a avea niveluri mai ridicate de confidențialitate și acest lucru este un aspect pozitiv din orice punct de vedere, fără a fi nevoie să meargă la alte rate pentru această problemă.
Sunt de acord cu ambele :).
Folosirea HTTPS este întotdeauna pozitivă, dar nu înseamnă nici risipa de bani. Implementați-l doar acolo unde este cu adevărat necesar. Pentru ca utilizatorii să folosească aceeași parolă pe toate site-urile, este ca și cum ai face 50 de copii ale cheii casei și le arunci pe stradă, până când cineva știe unde locuiești, apare o nenorocire și trebuie să-ți schimbi pălăria, dar eu nu Nu am un lăcătuș care știe că fac asta și îmi dă o copie. Dacă oamenii nu sunt atenți cu datele lor sensibile, de ce ar trebui să îi ajutăm dacă nu iau în serios ceva care ar trebui tratat cu bun simț. Cel din urmă sună foarte crud, dar cel puțin am învățat prin nenorociri și chiar cu multe informații despre cum ar trebui să ne tratăm datele, majoritatea dintre ei nu iau în serios modul în care ar trebui să trateze datele.
Cheltuind, în cazul meu, cu 30 de euro mai mult pe an pentru a proteja oamenii de ceva ce nu ar trebui să facă din bun simț, nu obțin nimic profitabil.
Certificatul este instalat incorect ...
http://www.sslshopper.com/ssl-checker.html#hostname=blog.desdelinux.net
Da, ai dreptate, ceva nu e în regulă ..
Certificatul nu este instalat incorect .. Totul este corect. Ceea ce informează această pagină este că nu este un certificat semnat de oricare dintre principalele autorități de certificare.
DESDELINUX.NET are propria CA :).
De asemenea, afirmă că este serverul corect cu ip-ul său corect:
blog.desdelinux.net = 69.61.93.35
Ceea ce oferă utilizatorilor securitate că este serverul. desdelinux.net așa cum apare în configurația DNS a domeniului.
Și chiar Firefox / Iceweasel îmi facilitează înțelegerea.
https://filippo.io/Heartbleed/#blog.desdelinux.net
Buna Franco
Vă spun la fel ca @Mstaaravin .. Ceea ce informează această pagină este că nu este un certificat semnat de oricare dintre autoritățile principale de certificare ..
În niciun caz nu este afectat de Heartbleed.
O mică corecție pe server și nu-mi mai arată vulnerabilitatea, mulțumesc pentru informații.
Hei, de ce nu îl semnezi cu CAcert? deci toți cei care am importat certificate CAcert nu ar trebui să facem o excepție de la certificatul dvs. și acesta ar intra automat pe blog 😉
Cât de ciudat, când încerci să te înregistrezi în CAcert, primești pagina că nu este un certificat valid hahahaha
Acolo l-ai cuie Elav hahahaha
Imi cer scuze .. in loc de cuie .. cuie ..
aveți deja puncte în CAcert? dacă nimeni nu v-a aprobat, cred că nu vă vor permite să vă încărcați certificatul = /
Nu vine implicit în browsere, dar CAcert este o entitate recunoscută la nivel global, iar oameni ca mine au încredere în el și importă certificate CAcert. Astfel, dacă blogul desdelinux Este certificat de CAcert, cu atât mai mult motiv am încredere că certificatul său SSL este valabil și nu trebuie să merg prin importul de certificate independente 😉
Nu stiu daca ai fost vreodata certificat de CAcert, dar procesul este ca cel putin 5 persoane (aproximativ) trebuie sa te certifice, iar ei verifica cam 3 identificari fiecare. Am foarte multa incredere in CAcert.. in ceea ce priveste certificatul de desdelinux, am si eu incredere, dar va dau un exemplu, de unde stiu ca certificatul nu a fost schimbat acum o ora de vreun cracker, si accept certificatul fals din start? Nu cred că s-a întâmplat asta, spun pur și simplu că CAcert îți crește puțin încrederea.
Exact aceasta este problema, nu putem încărca certificatul nostru 😀
Ne poate da cineva o mână de ajutor?
Nu are rost să generezi un certificat semnat de CAcert, deoarece această autorizare nu este inclusă implicit în browserele web.
Este la fel ca CA în sine desdelinux. Net
Pentru cei care nu mă cred: http://es.wikipedia.org/wiki/CAcert.org
E amuzant ce spui @biker.. Ai încredere în CAcert, dar nu ai încredere în certificatul și în propriul CA emis de Desde Linux?
De asemenea, @biker, rețineți că site-ul google folosește și un certificat emis de aceștia (google Inc) .. Aveți încredere în el? Pentru că este la fel .. Diferența este că au contactat dezvoltatorii principalelor browsere web și și-au inclus în mod implicit certificatul CA în browserele lor ..
Puteți face același lucru desdelinux.net..
Să vedem @biker,
Pe de o parte, înțeleg ce spui, pe de altă parte, tocmai pentru a împiedica un hacker să schimbe site-ul desdelinux.net într-o altă locație cu un alt certificat, vi se oferă CA pentru a descărca desdelinux.net în care importi și cu care sunt semnate toate certificatele aflate pe server. desdelinux..Dacă cineva se dezabonează de serverul propriu-zis desdelinux.net și îl impune pe al tău cu alt certificat decât cel care va fi generat, acesta nu va fi semnat de autoritatea reală a desdelinux.net și în browser veți primi un mesaj care spune că certificatul serverului nu corespunde certificatelor semnate de CA originală.
Este imposibil să se întâmple ceva .. De aceea am creat atât certificatul serverului, cât și CA care le semnează și nu am folosit direct un certificat autosemnat, deoarece acest lucru ar fi periculos :).
Salut. Vesti foarte bune. Cu certificatele auto-semnate este destul de important. Lucrez cu openvpn și folosesc ssl pentru certificate și nu există probleme. Dar pentru paginile web da, pentru că dacă nu au aceleași formate de o companie în domeniu este mai rău decât să nu folosiți SSL. Și această problemă a certificatelor este o prostie, deoarece vă taxează locuta pentru ei.
Dacă intrați pe web utilizând HTTPS, atunci când introduceți un articol, acesta nu menține protocolul, dar solicitarea la intrare utilizează HTTP. Haide, unele link-uri nu mențin protocolul (în meniul antetului web se întâmplă)
Da, într-adevăr, acest lucru lipsește încă, deoarece trebuie să modificați bucla sau ceva din nucleul WordPress sau cel puțin aceasta este prima soluție pe care o găsesc 🙂
Felicitări KZKG ^ Gaara pentru munca pe care ați făcut-o și sper că totul să meargă bine și că aveți puține rapoarte. Am navigat pe blog folosind https și nu am văzut nimic despre care să raportez: D.
Referitor la certificatul de desdelinux.net.. Certificatul desdelinux.net nu este autosemnat, ci este semnat de o autoritate de securitate (CA). desdelinux.net..
De aceea, acest blog oferă descărcarea acestei autorități ..
Este ca autoritatea CAcert despre care vorbește @biker .. Cred că nu există nicio problemă la importul unui certificat în browser pe care îl au băieții și fetele ..: D.
La rândul meu, este bine să protejez comunicația dintre client și server criptând-o.
Vă mulțumim pentru ajutor.
Să sperăm să rezolvăm detaliile care rămân 🙂
Bine ai venit KZKG ^ Gaara. Mă bucur că pot ajuta puțin :).
Testarea și merge fără probleme.
Raportarea din Underworld: Ei bine, când am accesat prin https, am obținut acel certificat de securitate, apoi am dat Download CA creat de petercheco, am primit o etichetă unde mă întrebam dacă îmi permitea instalarea certificatului respectiv pentru a accesa site-ul, primesc mesaje de la el etc., am acceptat totul și am intrat perfect pe blog prin https. Rezultate: Singurul lucru rău pentru mine este, așa cum mă așteptam, că încărcarea paginilor încetinește puțin, dar hei, asta nu este ca tăierea încheieturilor, dacă mă grăbesc, atunci accesez prin http, punct . Toate eforturile de securitate sunt apreciate.
Deja mă încarcă mai repede, a fost doar o problemă de viteză în bandă largă de aici ... din lumea interlopă.
Funcționează perfect, dar când accesați articolele și vă deplasați între pagini utilizează http în mod implicit, există o modalitate de a utiliza întotdeauna https?
Sunt de acord, același lucru mi se întâmplă și mie.
Îmi dă o eroare și nu pentru că nu provine de la o autoritate de certificare recunoscută
Detaliile tehnice:
blog.desdelinux.net folosește un certificat de securitate nevalid. Certificatul nu este de încredere deoarece nu a fost furnizat niciun lanț emitent. (Cod de eroare: sec_error_unknown_issuer)
Mă întreb: dacă certificatul nu este semnat de o entitate de securitate recunoscută, nu ar fi mai ușor (cel puțin în firefox) să introduceți pur și simplu site-ul prin https și când apare avertismentul, salvați definitiv certificatul, așa cum se face în mod normal cu orice certificat autosemnat?
Ei bine, în Firefox puteți face o excepție permanentă, dar în IE nu cred. Este mai bine ca toată lumea să importe autoritatea în browserul lor și atât.
S-a dovedit așa pentru mine.
Bună ziua, știu că nu este locul, pentru problema mea, dar am o problemă, poate mă puteți ajuta. Experimentez cu Elementary Os, tocmai am instalat driverul proprietar Nvidia care spune (Recomandat). De când am făcut acest lucru, sistemul mă pornește direct ca și cum ar fi în terminal, adică nu încarcă aspectul grafic. Când intru cu a doua opțiune (modul de recuperare) și aleg opțiunea de a continua boot-ul normal, acolo dacă ridică partea grafică. Ne pare rău că am postat aici și sper că mă puteți ajuta. Noroc
Cineva care să mă ghideze:
Am reușit să instalez certificatul atât în Firefox, cât și în Qupzilla. Dar acum, după ce am reinstalat Maxthon, nu mi-am dat seama cum să instalez certificatul. Cineva care a reușit?
Mulțumesc
Tocmai am încercat, dar se pare că, deși se bazează pe Chrome, nu are astfel de opțiuni.
Sfat curios ... Deci nu au administratorul wordpress cu https? Hmmm Se pare că este un restaurant de hacker ... Recomand «Securitate pentru manechine» 😛
Willians, deoarece există încredere și ne cunoaștem de ani de zile, vă spun clar, puteți primi critici non-constructive ... știți unde.
Să te trag și să te deranjezi pentru o altă parte ¬_¬
Fără să mă prefac că intră într-o competiție de ofensă de dicționar pe care ar trebui să mă crezi când îți spun că ai totul de pierdut, aș dori să sugerez să treci dincolo de batjocura cuvintelor mele - sau de vârful nasului.
Există o idee în care, atrăgând intelectul tău (cu siguranță am greșit, îmi pare rău că te-am supraestimat), am presupus că vei fi capabil să te asimilezi într-un mod suficient de constructiv și nu cu perreticul / catharsisul unui an de 9 ani -copil vechi cu care l-ai asumat.
Susținerea neînțelegerilor sociale deoparte, și în cazul în care încă mai citești aceste rânduri (se poate întâmpla ca te-am supraestimat din nou și chiar acum muști un prosop în modul Anger Management), vă spun, ca rezumat al meu idee, mi se pare curios faptul că cineva care a scris atâtea postări care au legătură cu securitatea în sisteme, fie web sau de orice alt tip, menține - după câțiva ani de când a desdelinux- interfața de administrare a blogului folosind http simplu.
Nu am întrebat niciodată și adevărul este că nu m-a interesat să aflu, dar am presupus întotdeauna că administratorul de desdelinux A rulat -ca măsură de securitate primară- peste https (și nu ca opțiune, dar nu ca OPȚIUNE).
Nimic, va trece. În momentul de față își asumă toate acestea ca o singură contribuție, singur. Păstrați piatra de măcinat a „criticii non-constructive” pentru cei care chiar o merită.
Partenerul tău încă vrea
Foarte interesant, mi-a plăcut să citesc. După atâtea comentarii, nu este ușor să adaug ceva, dar am o întrebare.
Din momentul în care utilizatorii vizitează, comentează etc. Pe alte site-uri web, securitatea dvs. este încă expusă. Din acest motiv, nu văd utilitatea acesteia, cu excepția cazului în care se limitează doar la DesdeLinux.
Salutări.
StartSSL oferă certificate valide precum companii plătite, dar total gratuit 🙂
Până acum pare să funcționeze bine. Este un început bun.
Nu au încercat cu https://www.startssl.com/ oferă certificate gratuite, o altă opțiune bună este https://www.cacert.org/, acum câteva zile am citit acest post https://www.sslshopper.com/article-free-ssl-certificates-from-a-free-certificate-authority.html