什么是SSL证书？从原理到部署安装的完整指南

Ketika kita mengakses sebuah laman web, ikon “kunci kecil” yang muncul di bar alamat pelayar, serta alamat web yang bermula dengan “https” dan bukan “http”, semuanya berkat sijil SSL (Secure Sockets Layer). Komponen teknologi yang kelihatan kecil ini merupakan asas komunikasi yang selamat di internet moden, kerana ia memastikan bahawa kata laluan yang kita masukkan, butiran transaksi, dan maklumat peribadi yang kita lihat tidak akan digodam atau dicuri oleh pihak ketiga. Panduan ini akan menerangkan dengan jelas proses pembuatan dan penggunaan sijil SSL, daripada prinsip asas hingga kaedah pemasangannya yang praktikal.

Prinsip asas sijil SSL

Fungsi utama sijil SSL adalah untuk mengimplementasikan komunikasi yang dienkripsi dan pengesahan identiti. Prinsip kerjanya berdasarkan teknologi pengesanan kriptografi tidak simetri, dan proses ini biasanya dikenali sebagai “SSL/TLS handshake”.

Sistem Penyulitan Kunci Awam dan Kunci Peribadi

Sijil SSL menggunakan infrastruktur pengesanan kriptografi kunci awam. Sijil tersebut mengandungi sebuah “kunci awam” yang boleh diakses oleh umum, manakala “kunci persendirian” disimpan secara rahsia oleh pelayan web. Apabila pengguna mengakses laman web melalui pelayar, pelayan akan menghantar sijil SSLnya (yang mengandungi kunci awam) ke pelayar tersebut. Pelayar kemudian menggunakan kunci awam ini untuk mengenkripsi sebuah kunci sesi yang dijana secara rawak, dan menghantar kunci sesi yang telah dienkripsi kembali ke pelayan. Hanya pelayan yang memiliki kunci persendirian yang sepadan sahaja yang boleh mendekripsi kunci sesi tersebut. Dengan ini, sebuah saluran komunikasi yang selamat terbentuk, dan semua data yang dihantar selepas ini akan dienkripsi secara simetri menggunakan kunci sesi yang efisien ini.

Diperoleh daripada WEB\nDisyorkan untuk membaca. Panduan Pemula untuk Sijil SSL: Panduan Langkah demi Langkah untuk Permohonan dan Pemasangan。

Mekanisme pengesahan tandatangan digital

Sijil SSL bukan sahaja berfungsi sebagai pembawa kunci awam, tetapi juga merupakan “kad pengenalan digital” yang dikeluarkan oleh badan pengesahan yang berwibawa. Sijil tersebut mengandungi maklumat penting seperti nama domain laman web, maklumat pemilik, kunci awam, dan tempoh sahnya. Semua maklumat ini akan disahkan secara digital menggunakan kunci persendirian badan pengesahan tersebut.

Sijil SSL Bluehost.

Sijil SSL BlueHost menawarkan pilihan tempoh perpanjangan selama 1-2 tahun, menyokong algoritma RSA atau ECC, dengan panjang kunci sehingga 4096 bit, dan menyediakan jumlah perlindungan sehingga $1.75 juta.

Bermula dari $7.49 USD sebulan.

Kunjungi sijil SSL Bluehost →

Sijil SSL Hosting.com

Sijil SSL DV, OV, EV yang berharga mampu milik, dengan enkripsi sehingga 256-bit, perlindungan sehingga $5 juta hingga $1 juta, dan sokongan 24 jam sehari.

Bermula dari $2.5 USD sebulan.

Kunjungi hosting.com Sijil SSL →

Pelayar mempunyai senarai pihak berkuasa pengeluaran sijil akar (root certificate authorities) yang dipercayai terbina dalamnya. Apabila menerima sijil dari pelayan, pelayar menggunakan sijil akar CA yang terbina untuk mengesahkan sama ada tandatangan pada sijil pelayan itu sah dan boleh dipercayai. Proses ini mengesahkan dua aspek yang sangat penting: pertama, laman web yang diakses oleh pengguna adalah laman web sebenar yang dikatakan, bukan laman web penipuan (phishing); kedua, kunci awam yang digunakan dalam komunikasi itu memang milik laman web tersebut, dan tidak telah diubah oleh pihak ketiga.

Jenis utama sijil SSL dan perbezaan antaranya:

Berhadapan dengan pelbagai sijil SSL di pasaran, ia boleh diklasifikasikan berdasarkan tahap pengesahan dan jumlah domain yang diliputinya, untuk memenuhi keperluan pelbagai senario aplikasi.

Dikelaskan mengikut tahap pengesahan

Sijil pengesahan domain name (Domain Name Validation Certificate) merupakan jenis sijil yang paling asas, di mana pihak CA (Certificate Authority) hanya mengesahkan hak milik pemohon terhadap domain name tersebut (contohnya melalui penyelesaian DNS atau pengunggahan fail pengesahan di lokasi yang ditentukan). Sijil ini dikeluarkan dengan cepat dan biasanya digunakan untuk laman web blog, laman web peribadi, atau situasi lain di mana keperluan pengesahan identiti tidak tinggi.

Sijil pengesahan organisasi, berdasarkan proses pengesahan DV (Domain Validation), juga akan disemak secara manual oleh pihak CA (Certificate Authority) untuk memastikan kewujudan sebenar organisasi yang memohon, seperti dengan mengesahkan maklumat pendaftaran perniagaan. Nama syarikat akan dipaparkan di bar alamat pelayar, yang membantu meningkatkan keyakinan pengguna. Ini sangat sesuai untuk laman web syarikat dan kerajaan.

Diperoleh daripada WEB\nDisyorkan untuk membaca. Penguraian lengkap sijil SSL: Dari prinsip asas hingga pelaksanaan, untuk melindungi keselamatan laman web anda。

Sijil pengesahan yang diperluas (Extended Validation Certificate) merupakan sijil yang mempunyai proses pengesahan yang paling ketat dan tahap kepercayaan yang paling tinggi. Pemohon perlu melalui proses semakan yang ketat sebelum mendapatkannya. Apabila pengguna mengakses laman web yang menggunakan sijil EV SSL, bar alamat pada pelayar web utama akan berubah menjadi warna hijau yang menonjol, dan nama syarikat tersebut akan dipaparkan secara langsung, yang merupakan tanda laman web yang sangat dipercayai, seperti bank, institusi kewangan, dan platform e-dagang.

Klasifikasi mengikut bilangan domain name

Sijil domain tunggal hanya melindungi satu domain tertentu sahaja.

Sijil penunjuk (wildcard certificate) dapat melindungi satu domain utama dan semua subdomain pada tahap yang sama di bawahnya, contohnya… *.example.com Boleh dilindungi pada masa yang sama. www.example.com、mail.example.com、shop.example.comSangat fleksibel dan berbaloi dari segi harga.

Sijil SSL UltaHost

Sijil DV, EV, OV, menyokong jumlah jaminan maksimum $1,750,000 USD, menyokong domain tambahan tanpa had, menyokong aplikasi iOS dan Android, dengan harga istimewa 20% mulai daripada USD 15.95 sebulan, jaminan pulangan wang dalam tempoh 30 hari.

Kunjungi UltaHost.

Sijil domain pelbagai (multi-domain certificate) membenarkan perlindungan untuk beberapa domain yang berbeza sepenuhnya dalam satu sijil yang sama.

Bagaimana untuk memohon dan mendapatkan sijil SSL?

Proses untuk mendapatkan sijil SSL tidaklah rumit, dan ia terdiri daripada beberapa langkah utama.

Pilih sijil yang sesuai untuk anda.

Pertama sekali, anda perlu memilih jenis sijil yang sesuai dengan keperluan anda. Untuk laman web promosi syarikat biasa, sijil OV merupakan pilihan yang baik; jika terdapat beberapa subdomain, sijil wildcard dapat memudahkan pengurusan; syarikat e-dagang besar atau institusi kewangan perlu mempertimbangkan sijil EV untuk memberikan tahap kepercayaan yang tertinggi. Anda boleh membelinya daripada organisasi pengesahan sijil (CA) yang terkenal di seluruh dunia atau daripada pengedar yang diberi kuasa oleh mereka.

Diperoleh daripada WEB\nDisyorkan untuk membaca. Penguraian menyeluruh sijil SSL: Asas pengesanan yang melindungi keselamatan data laman web dan kepercayaan pengguna。

Mengehasilkan permintaan tandatangan sijil.

Selepas pembelian, anda perlu menjana permintaan tandatangan sijil pada pelayan. Proses ini akan mencipta sepasang kunci awam dan peribadi, serta menghasilkan fail CSR (Certificate Signing Request) yang mengandungi kunci awam anda dan maklumat laman web. Yang penting, “Nama Umum” (Common Name) yang ditetapkan semasa proses ini mesti sama dengan nama domain yang ingin dilindungi.

Setelah itu, anda perlu menghantar fail CSR (Certificate Signing Request) kepada CA (Certificate Authority). CA akan mengaudit maklumat yang anda hantar berdasarkan tahap pengesahan yang anda pilih. Pengesahan DV (Domain Validation) biasanya dilakukan secara automatik dan boleh diselesaikan dalam beberapa minit; manakala pengesahan OV (Organization Validation) dan EV (Extended Validation) memerlukan pengauditan manual dan mungkin mengambil masa beberapa hari bekerja.

Mengatur dan memasang sijil SSL

Setelah anda memperoleh fail sijil yang dikeluarkan oleh CA (Certificate Authority), langkah seterusnya adalah memasangnya pada pelayan anda dan mengkonfigurasi laman web anda untuk mengaktifkan HTTPS.

Langkah-langkah pemasangan server

Proses pemasangan berbeza bergantung pada perisian pelayan yang digunakan. Sebagai contoh, pada pelayan Apache, anda perlu mengkonfigurasi beberapa tetapan terlebih dahulu.SSLCertificateFile和SSLCertificateKeyFileArahan tersebut merujuk kepada fail sijil (certificate file) dan fail kunci peribadi (private key file) masing-masing. Pada pelayan Nginx, konfigurasi perlu dilakukan dalam blok pelayan (server block).ssl_certificate和ssl_certificate_keyArahan: Selepas pemasangan, pastikan anda memulakan semula pelayan web untuk memastikan konfigurasi berkuat kuasa.

Lakukan pemindahan paksa ke HTTPS (HTTP Strict Transport Security).

Hanya memasang sijil sahaja tidak cukup. Untuk memastikan semua laluan data melalui sambungan yang dienkripsi, anda perlu mengatur pengalihan halaman (301 redirect) dari HTTP ke HTTPS dalam konfigurasi pelayan. Dengan cara ini, walaupun pengguna memasukkan alamat web yang menggunakan protokol HTTP, mereka akan diarahkan ke versi HTTPS yang selamat.http://Alamat web yang terdapat di awal juga akan dialihkan secara automatik dan kekal (tidak boleh diubah) ke alamat lain.https://Versi yang lebih selamat.

Pengesahan dan Penyelenggaraan Berikutnya

Setelah pemasangan selesai, gunakan alat pemeriksaan SSL dalam talian untuk mengesahkan bahawa sijil tersebut telah dipasang dengan betul, dikonfigurasi dengan tepat, dan tiada kelemahan keselamatan. Sijil SSL mempunyai tempoh sah yang ditentukan, dan sijil moden biasanya mempunyai tempoh sah tidak melebihi setahun. Anda mesti menetapkan peringatan untuk mengemas kini dan mengganti sijil tersebut sebelum ia tamat tempoh, kerana jika tidak, laman web akan menerima amaran keselamatan dan perkhidmatan akan terganggu akibat sijil yang telah luput tempoh.

RINGKASAN

Sijil SSL telah berkembang dari pilihan keselamatan tinggi menjadi konfigurasi standard untuk laman web. Ia bukan sahaja merupakan penghalang penting untuk melindungi privasi data pengguna, tetapi juga alat yang berkuasa untuk membina kredibiliti laman web dan memperoleh kepercayaan pengguna, serta faktor positif untuk meningkatkan kedudukan dalam enjin carian. Memahami prinsipnya, memilih jenis yang sesuai, dan menggunakannya dengan betul adalah kemahiran asas yang perlu dimiliki oleh setiap pengurus laman web. Mengamalkan penggunaan HTTPS bukan sahaja merupakan tindakan untuk memenuhi tanggungjawab keselamatan, tetapi juga merupakan usaha untuk membina masa depan internet yang lebih boleh dipercayai.

FAQ - Soalan Lazim

Apa yang akan berlaku kepada laman web yang tidak mempunyai sijil SSL?

Apabila pengguna mengakses laman web tersebut, pelayar moden akan menandakan laman web itu sebagai “tidak selamat”, yang menyebabkan kehilangan banyak pengguna. Pada masa yang sama, kedudukan laman web dalam hasil carian juga akan terjejas secara negatif. Semua data yang dihantar akan terdedah dalam bentuk teks biasa, menjadikannya mudah untuk digodam dan diubah suai oleh pihak yang tidak berkenaan.

Adakah sijil SSL perlu dibeli dengan bayaran?

Terdapat pilihan percuma, tetapi biasanya fungsi dan jaminan yang disediakan adalah terhad. Bagi aplikasi peringkat korporat, sijil berbayar menawarkan tahap pengesahan identiti yang lebih tinggi, jaminan yang lebih boleh dipercayai, serta sokongan perkhidmatan teknikal. Sijil pengganti (wildcard) atau sijil untuk beberapa domain boleh memudahkan pengurusan beberapa domain dengan ketara.

Apa yang perlu dilakukan jika laman web menjadi perlahan selepas mengatur sijil SSL?

Proses persetujuan (handshake) SSL/TLS akan menyebabkan sedikit kelewatan. Kelajuan proses persetujuan dapat ditingkatkan dengan mengaktifkan protokol TLS 1.3, dan penggunaan teknik seperti penggunaan semula sesi (session reuse) dapat membantu mengurangkan keperluan untuk proses persetujuan yang berulang. Menggabungkan HTTP/2 atau HTTP/3 dengan HTTPS dapat meningkatkan dengan ketara prestasi pemuatan halaman web.

Apa akibatnya jika sijil itu tamat tempoh?

Sebaik sahaja sijil tersebut tamat tempoh, pelayar akan memaparkan halaman amaran yang jelas kepada pengguna, memberitahu bahawa sambungan tersebut tidak selamat, yang akan menghalang kebanyakan pengguna daripada meneruskan akses. Perkhidmatan laman web akan terputus sehingga sijil yang sah diperbaharui. Pastikan anda menetapkan notifikasi penggantian (renewal reminder) lebih awal.

Bagaimana untuk mengkonfigurasi SSL untuk beberapa domain name pada sebuah server?

Jika domain name tersebut termasuk dalam sub-domain yang berbeza di bawah domain utama yang sama, cara yang paling ekonomik dan efisien adalah dengan memohon sijil wildcard. Jika domain name tersebut benar-benar berbeza, maka anda harus memilih sijil pelbagai domain yang menyokong beberapa nama sandaran (alternate names).