Komma igång med HTTPS in DesdeLinux

För mindre än en månad sedan vi frågade su opinión con respecto a HTTPS en DesdeLinux. Tack till Petercheco I mer än en vecka har bloggen HTTPS aktiverat, det vill säga de kan komma åt httpS://blog.desdelinux. Net och servern kommer att svara.

Anledningarna till att tänka på HTTPS som vi pratade om tidigare är i grund och botten:

  1. Google kommer att överväga HTTPS-webbplatser för SEO i framtiden.
  2. HTTPS är informationskryptering, vilket översätter till större säkerhet för din information och vår.

Som du kan se är det en punkt till vår fördel på alla sätt att korrekt implementera HTTPS på våra webbplatser.

När det gäller SEO och GoogleÄven om det är sant att Google INTE omedelbart associerar din PageRank med HTTPS, kommer det att vara något som i framtiden kommer att ha en direkt relation, kom igen, som kommer att påverka vår SEO. Just nu kan vi använda verktyg för att kontrollera vår SEO, jag testar till och med några SEO-positioneringsapplikationer tillgängligt som kan ha en version för Android, ja, i framtiden kommer implementeringen av HTTPS att vara en av parametrarna som ska mätas.

När det gäller informationssäkerhet, är det uppenbart att inloggningar (användare och lösenord) som cirkulerar i klartext i nätverket inte är det mest tillrådliga, vem som helst med två fingrar i pannan kan fånga ett lösenord och väl ... gör vad din fantasi tillåter 🙂

HTTPS en DesdeLinux

Som jag sa tidigare, om de går med på det httpS://blog.desdelinux. Net Vår server kommer att svara på dem, deras webbläsare visar dem att webbplatsen inte är pålitlig och sådant ... eftersom vi inte har betalat för att ett företag ska underteckna vårt certifikat som "giltigt". De måste bara klicka på Ladda ner / få certifikat och sedan på Godkänn det, det räcker för att de ska komma åt webbplatsen.

Genom Petercheco Vi har ett certifikat genererat av oss själva, för den som skriver dem vet om servrar och andra men ... hehe, jag hade aldrig haft att arbeta med SSL, så jag rekommenderar att du laddar ner och importerar vår CA i din webbläsare.

Descargar CA de DesdeLinux

För att lägga till det här stegen:

  1. Öppna Firefox
  2. Det finns en preferenser o Konfiguration
  3. Låt oss gå till avsnittet advanced, särskilt fliken Certifikat
  4. Vi klickar på knappen att importera och vi letar efter filen som vi just laddade ner, och det är det.

Här är en skärmdump:

certifikat-firefox

När certifikatet har lagts till i webbläsaren kommer vi att kunna komma åt bloggen via HTTPS utan att varningsskylten visas 😉

Och nu, vad är nästa?

För närvarande testar vi HTTPS, att bloggen visas bra där och kontrollerar att allt är bra. Så, eventuella fel ... snälla rapportera det 😉

Sedan är något vi planerar att göra att WP-Admin kommer att vara obligatoriskt att använda den via HTTPS, för det första vi måste skydda är användaren och lösenordet för oss alla, för det räcker det att lägga till en rad i WordPress wp-config.php.

Detta kommer (möjligen) att vara nästa steg.

Nåväl ingenting, jag lämnar det där för tillfället. Jag väntar på feedback från dig för att se om allt fungerar som det ska fungera

PD: Bloggen fortsätter att arbeta över HTTP och HTTPS, oroa dig inte 😉


67 kommentarer, lämna din

Lämna din kommentar

Din e-postadress kommer inte att publiceras. Obligatoriska fält är markerade med *

*

*

  1. Ansvarig för uppgifterna: Miguel Ángel Gatón
  2. Syftet med uppgifterna: Kontrollera skräppost, kommentarhantering.
  3. Legitimering: Ditt samtycke
  4. Kommunikation av uppgifterna: Uppgifterna kommer inte att kommuniceras till tredje part förutom enligt laglig skyldighet.
  5. Datalagring: databas värd för Occentus Networks (EU)
  6. Rättigheter: När som helst kan du begränsa, återställa och radera din information.

  1.   5ull1v4n sade

    Testar implementering, lycka till så att ingenting faller.

  2.   diazepam sade

    1) för att göra det i krom, gå till inställningar, visa avancerade alternativ, hantera certifikat, fliken utfärdande myndigheter, importera, välj certifikatet och det är det.

    2) Jag tror att han påminner mig om att WordPress-inloggningen misslyckas, för efter att jag loggat in (och slutat i panelen), går jag in i bloggen och loggar ut.

    1.    diazepam sade

      inloggningen är klar. oroa dig inte.

    2.    NauTiluS sade

      I mitt fall använder jag krom, ber det mig om lösenordet som användes för att kryptera certifikatet ??? något väldigt konstigt som frågar mig det.

      När det gäller Firefox importerades den framgångsrikt.

      Lite hjälp??

      1.    Petercheco sade

        Hej NauTiluS, jag testade det bara på Chromium 36 och den senaste Chrome 37 och det finns inga problem.

      2.    diazepam sade

        Det finns på fliken utfärdande myndigheter, inte i ett av dina certifikat

      3.    NauTiluS sade

        Jag har 37 och det var här det gav mig det problemet

      4.    NauTiluS sade

        Jag glömde, jag ger dig en video som jag gjorde med de steg jag tar och det kommenterade misslyckandet.

      5.    NauTiluS sade

        Jag ger dig videon här, med de steg som tagits.
        https://vimeo.com/105256304

        ps: vänligen moderator för att radera den tidigare kommentaren, eftersom Enter-tangenten trycktes av misstag.

      6.    Petercheco sade

        Certifikatet måste importeras i fliken med namnet Behörigheter och inte i dina certifikat som du gör i din video .. Klicka på fliken med namnet Behörigheter :).

      7.    NauTiluS sade

        Färdig petercheco.

        Det är första gången jag gör det i krom :!

  3.   Pes sade

    HTTPS i en blogg är absurt, de flesta har endast tillgång till bloggar för att läsa dem och för inloggningsåtkomst finns inget annat än användarnamn, lösenord och e-post. Å andra sidan gör jag det för att Google föreskriver att det gör mig ganska rädd, eftersom vi redan ger anledningen till att Google är internetregeringen och den som inte går igenom bågen är kvar. På samma sätt tolkas förändringen i Googles algoritm felaktigt eftersom den inte säger att alla webbplatser måste vara HTTPS men om de kommer att prioritera innehåll som kräver att krypteras mot innehåll som inte är (Till exempel marknader eller webbplatser där data hanteras känsliga såsom kreditkort eller personlig information). Detta som ett säkerhetssystem är mycket bra och jag håller med om att Google gör det, men nu behöver vi inte spendera 30 dollar per år per certifikat och domän för en enkel webbplats för allmän information.

    Nu hoppas jag att du tar hänsyn till att en webbplats med ett självsignerat certifikat straffas av Google, eftersom det kommer att vara varningar om att webbplatsen är farlig och inte alla kommer att bry sig om att lägga till certifikatet i sin webbläsare.

    En hälsning.

    1.    livlig sade

      Intressant kommentar. Jag personligen stöder inte https, och du har gett mig goda skäl att bekräfta min ståndpunkt.

    2.    Robet sade

      .... varför föreskriver Google det ?, ... småningom fångar google-monopolet GNU / Linux i sin merkantilistiska fälla, och dess användare kommer att överlåtas till sina mörka marknadsintressen. De inser inte att detta monopol Google vill sätta i privatlivet för människor som till och med ber om ett telefonnummer för vilket ändamål? ... Att spåra och veta allt du gör. Nu kommer du inte längre att kunna kommentera fritt i dessa forum ... om du inte är registrerad på den här sidan? .... Och allt varför? ... För det är så Google skickar.

      1.    KZKG ^ Gaara sade

        Jag tror att vi överdriver för mycket ...

        ¿que no se podrá comentar libremente en DesdeLinux? … ¿que no se podrá comentar si no se está registrado? … esto nada, repito, NADA tiene que ver con Google o cualquier otra empresa, serían medidas que en caso de aplicar (aunque no veo motivos para hacerlo), serían decisión nuestra, no de otros.

        HTTPS ägs inte av Google långt ifrån, det är helt enkelt HTTP men informationen reser krypterad (skyddad) genom nätverket, inget mer.

    3.    KZKG ^ Gaara sade

      Det sätter inte HTTPS för att uttrycka det, jag tror fortfarande att inloggningsuppgifterna går i klartext är en DÅLIG, MYCKET DÅLIG idé.

      1.    Pes sade

        Att en hackare genom en MITM-attack vet att jag läser en blogg om att han kan komma åt sig själv med samma adress som jag får åtkomst till är det som oroar mig minst, det är därför jag bekräftar att inte alla webbplatser nödvändigtvis måste ha HTTPS och jag tror att Googles position är att prioritera krypterat innehåll vars känsliga datatrafik är högre än allmänhetens synlighetstrafik.

        Jag ser det inte bra nu att behöva betala X per år för ett certifikat och för dem som hanterar ett domänpass, men de av oss som har mer än 3 registrerade domäner är en kostnad som vi inte har råd med på något sätt.

    4.    låt oss använda Linux sade

      Detta är inte helt sant, särskilt i fall där användare är "oskyldiga" nog att använda samma lösenord i sin e-post. 🙂
      Kram! Paul.

      1.    yukiteru sade

        Jag delar din åsikt @usemoslinux, många "oskyldiga" användare har dålig vana att använda samma användarnamn och lösenord för nästan allt de gör på Internet utan att förstå risken för detta för deras integritet.

        Och när det gäller sekretess är https inte bara implementerat för säkerhet utan också för att ge användaren möjlighet att ha högre nivåer av integritet och det är positivt ur alla synvinklar, utan att behöva gå in i andra rants. för den frågan.

      2.    Petercheco sade

        Jag håller med båda :).

      3.    Pes sade

        Att använda HTTPS är alltid positivt men det är inte heller att slösa bort pengar. Implementera det bara där det verkligen behövs. För användare att använda samma lösenord på alla webbplatser är som att göra 50 kopior av din husnyckel och slänga ut dem på gatan, tills någon vet var du bor, en olycka inträffar och du måste byta bowlerhatt, men jag vet inte ' Jag har en låssmed som vet att jag gör det och ger mig en kopia. Om människor inte är försiktiga med sina känsliga uppgifter, varför ska vi hjälpa dem om de inte tar något som bör behandlas med sunt förnuft på allvar. Det senare låter väldigt grymt men jag har åtminstone lärt mig genom olyckor och till och med med mycket information om hur vi ska behandla våra uppgifter, de flesta av dem tar inte på allvar hur de ska behandla data.

        Att spendera, i mitt fall, 30 euro mer per år för att skydda människor från något som de inte borde göra av sunt förnuft, är inte lönsamt för mig.

  4.   mstaaravin sade
    1.    livlig sade

      Ja, du har rätt, något är fel ..

    2.    Petercheco sade

      Certifikatet är inte installerat fel. Allt är korrekt. Vad den här sidan informerar om är att det inte är ett certifikat undertecknat av någon av de viktigaste certifieringsmyndigheterna.

      DESDELINUX.NET tiene su propia CA :).

      1.    Petercheco sade

        Det anges också att det är rätt server med rätt ip:

        blogg.desdelinux.net = 69.61.93.35

        Lo cual le da seguridad a los usuarios de que se trata del servidor de desdelinux.net tal i como figura en la configuracion DNS del dominio.

      2.    eliotime3000 sade

        Och även Firefox / Iceweasel gör det lätt för mig att förstå.

      1.    Petercheco sade

        Hej Franco
        Jag säger samma sak som @Mstaaravin .. Vad den här sidan informerar om är att det inte är ett certifikat undertecknat av någon av de viktigaste certifieringsmyndigheterna ..

        I inget fall påverkas han av Heartbleed.

      2.    KZKG ^ Gaara sade

        En liten fix på servern och det visar mig inte längre sårbarheten, tack för informationen.

  5.   mc sade

    Hej, varför skriver du inte med CAcert? så vi alla som har importerat CAcert-certifikat behöver inte göra ett undantag från ditt certifikat, och det kommer automatiskt in i bloggen 😉

    1.    livlig sade

      Hur konstigt, när du försöker registrera dig i CAcert får du sidan att det inte är ett giltigt certifikat hahahaha

      1.    Petercheco sade

        Där spikade du det Elav hahaha

      2.    Petercheco sade

        Jag ber om ursäkt .. istället för spikat .. spikat ..

      3.    mc sade

        har du redan poäng i CAcert? om ingen har godkänt dig tror jag att de inte låter dig ladda upp ditt certifikat = /

      4.    mc sade

        no viene por defecto en los navegadores, pero CAcert es una entidad reconocida mundialmente, y gente como yo confiamos en ella e importamos los certificados de CAcert. Así, si el blog de desdelinux está certificado por CAcert, con más razón confio en que su certificado SSL es válido, y a parte no tengo que andar importando certificados independientes 😉

      5.    mc sade

        no se si alguna vez te han certificado por CAcert, pero el proceso es que te tienen que certificar mínimo unas 5 personas (aprox), y te checan como 3 identificaciones cada uno. Confío mucho en CAcert.. en cuanto al certificado de desdelinux, también confío en él, pero te daré un ejemplo, cómo se que el certificado no fue cambiado hace una hora por algún cracker, y estoy aceptando de inicio el certificado falso? no creo que esto haya pasado, simplemente digo que CAcert te sube un poco la confianza

      6.    KZKG ^ Gaara sade

        Exakt det är problemet, vi kan inte ladda upp vårt certifikat 😀

        Kan någon ge oss en hand?

      7.    Petercheco sade

        Det är ingen mening att generera ett certifikat signerat av CAcert, eftersom denna auktoritet inte ingår som standard i webbläsare.

        Es lo mismo que la CA propia de desdelinux. Net

      8.    Petercheco sade

        För dem som inte tror mig: http://es.wikipedia.org/wiki/CAcert.org

      9.    Petercheco sade

        Es curioso lo que dices @biker.. ¿Confias en CAcert, pero no confias en el certificado y su propia CA emitidos por Desde Linux?

      10.    Petercheco sade

        Också @biker, kom ihåg att google-webbplatsen också använder ett certifikat utfärdat av dem (google Inc) .. Litar du på det? Eftersom det är samma .. Skillnaden är att de har kontaktat utvecklarna av de viktigaste webbläsarna och de har inkluderat sitt CA-certifikat som standard i sina webbläsare ..

        Lo mismo lo puede hacer desdelinux.net..

      11.    Petercheco sade

        Låt oss se @biker,
        por un lado entiendo lo que dices.. Por otro lado precisamente para evitar que un hacker cambie la web de desdelinux.net a otra ubicacion con un certificado diferente, se os da para descarga la CA de desdelinux.net a la cual importas y con la cual estan firmados todos los certificados que se ubican en el servidor de desdelinux.. Si alguien hecha de baja el servidor real de desdelinux.net y impone el suyo con un certificado diferente al cual se habrá generado, este no será firmado por la autoridad real de desdelinux.net y a ti en el navegador te saldrá un mensaje diciendo que el certificado del servidor no corresponde con los certificados firmados por la CA original..

        Det är omöjligt för något att hända .. Det är därför jag skapade både servercertifikatet och CA som signerar dem och jag använde inte direkt ett självsignerat certifikat eftersom det skulle vara farligt :).

  6.   Luciano Lagassa sade

    Hej. Väldigt goda nyheter. Med självsignerade certifikat är det ganska angeläget. Jag arbetar med openvpn och det använder ssl för certifikaten och det finns inga problem. Men för webben, om de inte har samma som bildas av ett företag i fältet, är det värre än att inte använda ssl. Och det här numret på certifikaten är skit eftersom de tar ut locutas för dem.

  7.   utmaning sade

    Om du går in på webben med HTTPS behåller inte protokollet när du går in i en artikel, men begäran till ingången använder HTTP. Kom igen, vissa länkar upprätthåller inte protokollet (i webbhuvudmenyn gör det det)

    1.    KZKG ^ Gaara sade

      Ja, det saknas fortfarande eftersom du måste ändra slingan eller något i WordPress-kärnan, eller åtminstone är det den första lösningen jag hittar

  8.   Petercheco sade

    Grattis KZKG ^ Gaara för det arbete du har gjort och jag hoppas att allt går bra och att du har få rapporter. Jag har bläddrat i bloggen med https och jag såg inget som jag har att rapportera: D.

    En cuanto al certificado de desdelinux.net.. El certificado de desdelinux.net no es autofirmado si no que lo firma una autoridad (CA) de desdelinux.net..

    Det är därför den här bloggen erbjuder att ladda ner denna myndighet ..

    Det är som CAcert-myndigheten @biker pratar om .. Jag tror att det inte är något problem att importera ett certifikat i webbläsaren som pojkar och tjejer har ..: D.

    För min del är det bra att skydda kommunikationen mellan klienten och servern genom att kryptera den.

    1.    KZKG ^ Gaara sade

      Tack till dig för hjälpen.

      Låt oss hoppas lösa de detaljer som fortfarande finns kvar 🙂

      1.    Petercheco sade

        Du är välkommen KZKG ^ Gaara. Glad att kunna hjälpa lite :).

  9.   yukiteru sade

    Testning och det går smidigt.

  10.   linuXgirl sade

    Rapportering från Underworld: Tja, när jag öppnade via https fick jag certifikatsäkerheten, sedan gav jag Ladda ner CA skapad av petercheco, jag fick en etikett där jag frågade om det var tillåtet att installera certifikatet för att komma åt webbplatsen, för att ta emot meddelanden från honom osv. Jag accepterade allt och gick perfekt in i bloggen via https. Resultat: Det enda dåliga för mig är, som jag förväntade mig, att laddningen av sidorna saktar ner lite, men hej, det är inte som att skära i handlederna, om jag har bråttom kommer jag in via http, punkt. Alla säkerhetsinsatser uppskattas.

    1.    linuXgirl sade

      Det laddar mig redan snabbare, det var bara ett bredbandshastighetsproblem härifrån ... från underjorden.

  11.   santiago alessio sade

    Det fungerar perfekt men när det går åt artiklarna och flyttar mellan sidor använder det http som standard, finns det ett sätt att alltid använda https?

    1.    Joaquin sade

      Jag håller med, samma sak händer mig.

  12.   Problem sade

    Det ger mig ett fel och det beror inte på att det inte kommer från en erkänd certifieringsmyndighet

    Tekniska detaljer:
    blogg.desdelinux.net uses an invalid security certificate. The certificate is not trusted because no issuer chain was provided. (Error code: sec_error_unknown_issuer)

  13.   Hugo sade

    Jag undrar: om certifikatet inte är undertecknat av en erkänd säkerhetsenhet, skulle det inte vara enklare (åtminstone i Firefox) att helt enkelt komma in på webbplatsen via https och när varningen visas sparar du certifikatet permanent, som normalt görs med alla självsignerat certifikat?

    1.    Petercheco sade

      Tja i Firefox kan du göra ett permanent undantag, men i IE tror jag inte det. Det är bättre att alla importerar auktoriteten i sin webbläsare och det är det.

  14.   linuXgirl sade

    Det visade sig så här för mig.

  15.   salvipablo sade

    Hej, jag vet att det inte är platsen, för mitt problem men jag har ett problem, kanske du kan hjälpa mig. Jag experimenterar med Elementary Os, jag har just installerat den egna Nvidia-drivrutinen som säger (rekommenderas). Eftersom jag gjorde detta startar systemet mig direkt som om det vore i terminalen, det vill säga det laddar inte den grafiska aspekten. När jag går in med det andra alternativet (återställningsläge) och jag väljer alternativet för att fortsätta den normala studsan, där om den lyfter den grafiska delen. Från och med nu är jag ledsen för att jag publicerade detta här och jag hoppas att du kan hjälpa mig. Hälsningar

  16.   mat1986 sade

    Någon som guidar mig:
    Jag har lyckats installera certifikatet i både Firefox och Qupzilla. Men nu när jag har installerat om Maxthon har jag inte fått reda på hur certifikatet ska installeras. Någon som har gjort det?
    Tack

    1.    Petercheco sade

      Jag försökte bara, men uppenbarligen även om det är baserat på Chrome har det inte sådana alternativ.

  17.   Yeretic sade

    Nyfiken tips ... Så de har inte WordPress-admin med https? Hmmm Det ser ut som en hackares restaurang ... Jag rekommenderar «Säkerhet för dummies» 😛

    1.    KZKG ^ Gaara sade

      Willians, eftersom det finns förtroende och vi har känt varandra i flera år kommer jag att säga er tydligt, du kan få icke-konstruktiv kritik ... du vet var.
      Att knulla och bry sig om en annan del ¬_¬

      1.    Yeretic sade

        Utan att låtsas att falla in i en ordbokskonkurrens om att du ska tro mig när jag säger till dig att du har allt att förlora, skulle jag vilja föreslå att du går bortom hånen på mina ord - eller näsan.

        Det finns en tanke i dem att jag, tilltalande till ditt intellekt (jag hade definitivt fel, ledsen för att jag överskattade dig), antog att du skulle kunna assimileras på ett tillräckligt konstruktivt sätt och inte med den perretiska / katarsis som en 9-årig -gammalt barn som du har antagit det med.

        Soporte de incomprensión social aparte, y por si aún estás leyendo estas líneas (puede darse el caso de que te haya sobreestimado otra vez y ahora mismo estés mordiendo una toalla en modo Anger Management), te comento, a modo de resumen de mi idea, que se me hace curioso el punto de que alguien que ha escrito tantas entradas que tienen que ver con seguridad en sistemas, ya sea web, o de cualquier otra índole, mantenga -luego de los varios años ya que tiene desdelinux- la interfaz de administración del blog en usando http plano.

        Nunca pregunté y la verdad es que no me interesó averiguarlo, pero siempre asumí que el admin de desdelinux corría -como medida primera de seguridad- sobre https (y no como una opción, sino no como LA OPCIÓN).

        Ingenting, det kommer att passera. För närvarande antar han allt detta som ytterligare ett bidrag, ensam. Spara slipstenen "icke-konstruktiv kritik" för dem som verkligen förtjänar det.

        Din partner är fortfarande willians

  18.   José Miguel sade

    Mycket intressant, jag har haft läsning. Efter så många kommentarer är det inte lätt att lägga till något, men en fråga uppstår.

    Desde el momento en el que los usuarios visiten, comenten, etc. en otras webs, su seguridad sigue expuesta. Por ese motivo no le veo la utilidad, al no ser que se limiten solo a DesdeLinux.

    Hälsningar.

  19.   johnk sade

    StartSSL ger giltiga certifikat som betalda företag men helt gratis 🙂

  20.   auroszx sade

    Hittills verkar det fungera bra. Det är en bra start.

  21.   Mario Tello sade

    De har inte försökt med https://www.startssl.com/ erbjuder gratis certifikat, ett annat bra alternativ är https://www.cacert.org/för några dagar sedan läste jag det här inlägget https://www.sslshopper.com/article-free-ssl-certificates-from-a-free-certificate-authority.html