SSL/TLS एन्क्रिप्शन: रास्ते में फ़ॉर्म डेटा को सुरक्षित रखना

SSL/TLS एन्क्रिप्शन समझें और जानें कि हर फ़ॉर्म को HTTPS क्यों चाहिए। SSL सर्टिफ़िकेट फ़ॉर्म सबमिशन की सुरक्षा कैसे करते हैं, यह देखें।

ड्राफ़्ट

जब कोई HTTP (HTTPS नहीं) वेबसाइट पर फ़ॉर्म सबमिट करता है, तो उसका डेटा इंटरनेट पर सादे टेक्स्ट में जाता है। उनके और आपके सर्वर के बीच नेटवर्क पर मौजूद कोई भी देख सकता है कि उन्होंने क्या टाइप किया, जिसमें पासवर्ड, क्रेडिट कार्ड नंबर और ईमेल एड्रेस शामिल हैं। यह सिर्फ़ सैद्धांतिक बात नहीं है। पैकेट स्नीफ़िंग टूल मुफ़्त मिलते हैं, और हमलावर बिना एन्क्रिप्ट किए फ़ॉर्म सबमिशन को सक्रिय रूप से बीच में पकड़ते हैं।

SSL/TLS एन्क्रिप्शन वह तकनीक है जो विज़िटर के ब्राउज़र से आपके सर्वर तक जाते समय फ़ॉर्म डेटा की सुरक्षा करती है। यह फ़ॉर्म सुरक्षा का सबसे बुनियादी रूप है, और इस पर कोई समझौता नहीं हो सकता।

आप क्या सीखेंगे: HTTPS एन्क्रिप्शन कैसे काम करता है, SSL और TLS में क्या फ़र्क है, SSL सर्टिफ़िकेट क्या है और आपको उसकी ज़रूरत क्यों है, कैसे जांचें कि आपका फ़ॉर्म ठीक से एन्क्रिप्ट है, और अगर HTTPS काम न करे तो क्या करें।

HTTPS क्या है और यह डेटा को कैसे एन्क्रिप्ट करता है?

HTTPS, HTTP (Hypertext Transfer Protocol) का सुरक्षित रूप है। "S" का मतलब Secure है। HTTPS विज़िटर और आपके सर्वर के बीच भेजे गए सारे डेटा को एन्क्रिप्ट करने के लिए SSL/TLS (Secure Sockets Layer / Transport Layer Security) इस्तेमाल करता है।

जब कोई विज़िटर HTTPS पर फ़ॉर्म सबमिट करता है, तो यह होता है:

  1. विज़िटर फ़ॉर्म भरकर सबमिट करता है। उसका ब्राउज़र डेटा इकट्ठा करता है।
  2. ब्राउज़र एन्क्रिप्टेड कनेक्शन बनाता है। वह आपके सर्वर से संपर्क करता है और SSL सर्टिफ़िकेट जांचता है (इस पर नीचे और बात होगी)।
  3. दोनों पक्ष एन्क्रिप्शन सेटिंग पर सहमत होते हैं। वे सबसे मज़बूत उपलब्ध एन्क्रिप्शन पर बात करते हैं जिसे दोनों सपोर्ट करते हों।
  4. भेजने से पहले सारा डेटा एन्क्रिप्ट होता है। फ़ॉर्म डेटा को तय किए गए एन्क्रिप्शन से उलझा दिया जाता है।
  5. आपके सर्वर को एन्क्रिप्टेड डेटा मिलता है। वह अपनी प्राइवेट की से डेटा को डिक्रिप्ट करता है ताकि उसे पढ़ा जा सके।

नेटवर्क पर छिपकर सुनने वाले किसी के लिए डेटा बेतरतीब अक्षरों जैसा दिखता है। वे एन्क्रिप्शन की के बिना उसे नहीं पढ़ सकते, जो सिर्फ़ आपके सर्वर के पास है।

SSL और TLS में फ़र्क

SSL (Secure Sockets Layer) और TLS (Transport Layer Security) जुड़ी हुई तकनीकें हैं जो एक ही काम करती हैं। SSL मूल मानक था, जो पहली बार 1995 में आया। TLS आधुनिक, बेहतर रूप है जिसने उसकी जगह ली।

  • SSL 3.0: SSL का आखिरी संस्करण, 1996 में जारी। पुराना और अब सुरक्षित नहीं।
  • TLS 1.0: TLS का पहला संस्करण, 1999 में जारी। अब भी चलता है पर पुराना है।
  • TLS 1.2: 2008 में जारी। अब भी बड़े पैमाने पर इस्तेमाल होता है और सुरक्षित माना जाता है।
  • TLS 1.3: 2018 में जारी। मौजूदा मानक, तेज़ और ज़्यादा सुरक्षित।

आधुनिक ब्राउज़र और सर्वर TLS 1.2 या TLS 1.3 इस्तेमाल करते हैं। जब लोग "SSL सर्टिफ़िकेट" कहते हैं, तो उनका मतलब आमतौर पर TLS एन्क्रिप्शन के लिए इस्तेमाल होने वाले सर्टिफ़िकेट से होता है। ये शब्द अक्सर एक-दूसरे की जगह इस्तेमाल होते हैं, पर आज असल में इस्तेमाल होने वाली तकनीक TLS है।

SSL सर्टिफ़िकेट क्या है?

SSL सर्टिफ़िकेट एक डिजिटल फ़ाइल है जिसे आपका वेब सर्वर अपनी पहचान साबित करने और एन्क्रिप्टेड कनेक्शन बनाने के लिए इस्तेमाल करता है। इसमें ये होता है:

  • आपका डोमेन नाम: सर्टिफ़िकेट किस डोमेन के लिए मान्य है (www.example.com)
  • आपके संगठन की जानकारी: कंपनी का नाम, पता, आदि
  • एक पब्लिक की: विज़िटर के ब्राउज़र डेटा एन्क्रिप्ट करने के लिए इस्तेमाल करते हैं
  • एक डिजिटल हस्ताक्षर: सबूत कि किसी भरोसेमंद अथॉरिटी ने इस सर्टिफ़िकेट को सत्यापित किया
  • समाप्ति की तारीख: सर्टिफ़िकेट कब खत्म होता है और उसे नवीनीकृत करना होता है

सर्टिफ़िकेट डिजिटल पहचान पत्र जैसा है जो साबित करता है कि आपका सर्वर असली है।

SSL सर्टिफ़िकेट कैसे सत्यापित होते हैं

जब कोई विज़िटर आपकी HTTPS वेबसाइट पर आता है, तो उसका ब्राउज़र आपका SSL सर्टिफ़िकेट जांचता है कि वह असली है या नहीं:

  1. आपका सर्वर अपना सर्टिफ़िकेट भेजता है। ब्राउज़र उसे पाता है।
  2. ब्राउज़र डिजिटल हस्ताक्षर जांचता है। क्या यह सर्टिफ़िकेट किसी भरोसेमंद सर्टिफ़िकेट अथॉरिटी ने साइन किया है?
  3. ब्राउज़र डोमेन सत्यापित करता है। क्या सर्टिफ़िकेट उसी डोमेन से मेल खाता है जिस पर विज़िटर आया है?
  4. ब्राउज़र समाप्ति की तारीख जांचता है। क्या सर्टिफ़िकेट अब भी मान्य है?

अगर इनमें से कोई भी जांच फ़ेल हो, तो ब्राउज़र चेतावनी दिखाता है। अगर सब कुछ पास हो जाए, तो ब्राउज़र ताले का आइकन (या सुरक्षित का संकेत) दिखाता है जो विज़िटर को बताता है कि कनेक्शन एन्क्रिप्टेड है और साइट असली है।

SSL सर्टिफ़िकेट के प्रकार

डोमेन वैलिडेटेड (DV) सर्टिफ़िकेट

बुनियादी सर्टिफ़िकेट। सर्टिफ़िकेट अथॉरिटी सत्यापित करती है कि डोमेन आपका है, पर आपके संगठन को सत्यापित नहीं करती। सबसे सस्ता विकल्प। ज़्यादातर फ़ॉर्म के लिए अच्छा।

ऑर्गनाइज़ेशन वैलिडेटेड (OV) सर्टिफ़िकेट

अथॉरिटी डोमेन और आपके संगठन के ब्योरे, दोनों सत्यापित करती है। DV से महंगा, ज़्यादा भरोसा देता है। ब्राउज़र सर्टिफ़िकेट के ब्योरे में आपके संगठन का नाम दिखाता है।

एक्सटेंडेड वैलिडेशन (EV) सर्टिफ़िकेट

अथॉरिटी कानूनी जांच समेत व्यापक सत्यापन करती है। सबसे महंगा। संगठन का नाम सीधे ब्राउज़र के एड्रेस बार में दिखाता है। ज़्यादातर वित्तीय संस्थाओं और ज़्यादा सुरक्षा वाली साइट पर इस्तेमाल होता है।

वाइल्डकार्ड सर्टिफ़िकेट

एक डोमेन और उसके सारे सबडोमेन के लिए मान्य (जैसे *.example.com का वाइल्डकार्ड mail.example.com, blog.example.com आदि को कवर करता है)। तब काम का है जब आपके कई सबडोमेन में फ़ॉर्म हों।

मल्टी-डोमेन (SAN) सर्टिफ़िकेट

एक सर्टिफ़िकेट में कई अलग डोमेन के लिए मान्य। तब काम का है जब आप फ़ॉर्म वाली कई वेबसाइट चलाते हैं।

SSL सर्टिफ़िकेट पाना

सर्टिफ़िकेट अथॉरिटी

आप सर्टिफ़िकेट अथॉरिटी (CA) से सर्टिफ़िकेट खरीदते हैं, जैसे:

  • Comodo (अब Sectigo)
  • डोमेन रजिस्ट्रार जो सर्टिफ़िकेट दोबारा बेचते हैं
  • DigiCert
  • Let's Encrypt (मुफ़्त, बड़े पैमाने पर इस्तेमाल)

कीमतें मुफ़्त (Let's Encrypt) से लेकर सालाना सैकड़ों डॉलर (EV सर्टिफ़िकेट) तक होती हैं।

अपने वेब होस्ट के ज़रिए

ज़्यादातर आधुनिक वेब होस्ट SSL सर्टिफ़िकेट अपने आप देते हैं, पर यह होस्ट पर निर्भर है। अपने होस्ट से पूछें कि वह SSL सर्टिफ़िकेट देता है या नहीं और नवीनीकरण कौन संभालता है।

इंस्टॉलेशन और नवीनीकरण

SSL सर्टिफ़िकेट खत्म होते हैं और उन्हें नवीनीकृत करना पड़ता है। ज़्यादातर होस्ट इसे अपने आप संभालते हैं। कभी-कभी अपने सर्टिफ़िकेट की समाप्ति की तारीख जांचें ताकि पक्का हो कि वह अब भी मान्य है। अगर वह खत्म हो जाए, तो आपकी साइट सुरक्षा चेतावनी दिखाती है और विज़िटर उस पर भरोसा नहीं करेंगे।

जांचना कि आपका फ़ॉर्म ठीक से एन्क्रिप्टेड है

URL देखें

आपके फ़ॉर्म पेज को HTTPS इस्तेमाल करना चाहिए, HTTP नहीं। एड्रेस बार देखें।

सही: https://www.example.com/contact

गलत: http://www.example.com/contact

सुरक्षा का संकेत देखें

आधुनिक ब्राउज़र में सुरक्षित HTTPS कनेक्शन एड्रेस बार में ताले का आइकन या "Secure" लेबल दिखाता है। सर्टिफ़िकेट के ब्योरे देखने के लिए उस पर क्लिक करें।

सर्टिफ़िकेट की वैधता जांचें

ताले पर क्लिक करके सर्टिफ़िकेट देखें। ये देखें:

  • क्या वह आपके डोमेन के लिए मान्य है?
  • क्या वह खत्म हो गया है?
  • उसे किसने जारी किया (सर्टिफ़िकेट अथॉरिटी)?

ऑनलाइन SSL चेकर इस्तेमाल करें

ऑनलाइन SSL चेकर टूल में आप अपना डोमेन डालकर अपने SSL कॉन्फ़िगरेशन की विस्तृत रिपोर्ट पा सकते हैं। इससे जांच होती है कि आप नवीनतम एन्क्रिप्शन मानक इस्तेमाल कर रहे हैं या नहीं और कमज़ोरियां पहचानी जाती हैं।

HTTPS और SSL की आम समस्याएं

मिक्स्ड कंटेंट चेतावनी

आपका फ़ॉर्म पेज HTTPS है, पर कुछ रिसोर्स (इमेज, स्क्रिप्ट, स्टाइलशीट) HTTP पर लोड होते हैं। ब्राउज़र विज़िटर को चेतावनी देते हैं कि पेज पूरी तरह सुरक्षित नहीं है। सारे रिसोर्स HTTPS करके इसे ठीक करें।

सर्टिफ़िकेट का बेमेल होना

सर्टिफ़िकेट www.example.com के लिए है पर विज़िटर example.com (बिना www) पर है, या उल्टा। ब्राउज़र सुरक्षा चेतावनी दिखाते हैं। इसे वाइल्डकार्ड सर्टिफ़िकेट से या एक वर्ज़न को दूसरे पर रीडायरेक्ट करके ठीक करें।

खत्म हो चुका सर्टिफ़िकेट

आपका सर्टिफ़िकेट खत्म हो गया और नवीनीकरण चाहिए। ब्राउज़र साफ़ दिखने वाली सुरक्षा चेतावनी दिखाते हैं। विज़िटर आपके फ़ॉर्म पर भरोसा नहीं कर सकते। सर्टिफ़िकेट तुरंत नवीनीकृत करें।

सेल्फ़-साइन्ड सर्टिफ़िकेट

आपका सर्वर भरोसेमंद अथॉरिटी के सर्टिफ़िकेट की जगह खुद बनाया हुआ सर्टिफ़िकेट इस्तेमाल कर रहा है। ब्राउज़र उस पर भरोसा नहीं करते और चेतावनी दिखाते हैं। सार्वजनिक फ़ॉर्म पर सेल्फ़-साइन्ड सर्टिफ़िकेट कभी इस्तेमाल न करें। मान्यता प्राप्त अथॉरिटी का सर्टिफ़िकेट खरीदें या इस्तेमाल करें।

HTTPS सिर्फ़ फ़ॉर्म के लिए नहीं है

आपकी वेबसाइट के हर पेज को HTTPS इस्तेमाल करना चाहिए, सिर्फ़ फ़ॉर्म पेज को नहीं। इससे विज़िटर का सारा डेटा सुरक्षित रहता है और Google को पता चलता है कि आपकी साइट सुरक्षित है। सारा HTTP ट्रैफ़िक HTTPS पर रीडायरेक्ट करें ताकि विज़िटर हमेशा सुरक्षित रहें।

अपने फ़ॉर्म में SSL/TLS एन्क्रिप्शन

पक्का करें कि आपकी वेबसाइट का हर पेज और हर फ़ॉर्म HTTPS पर चले, और सर्टिफ़िकेट का नवीनीकरण समय पर हो। ऊपर की जांचें समय-समय पर दोहराएं।

WEMASY के प्लान और कीमतों के लिए प्राइसिंग पेज देखें।

अक्सर पूछे जाने वाले सवाल

क्या HTTPS मेरी वेबसाइट को धीमा कर देता है?
आधुनिक HTTPS बहुत तेज़ है और कुशल एन्क्रिप्शन इस्तेमाल करता है। यह बहुत कम बोझ डालता है (आमतौर पर पेज लोड समय पर 5% से कम)। सुरक्षा का फ़ायदा किसी भी छोटे प्रदर्शन खर्च से कहीं ज़्यादा है। Google HTTPS साइट को थोड़ा ऊपर भी रैंक करता है, जिससे आपको SEO में फ़ायदा मिलता है। हमेशा HTTPS इस्तेमाल करें। WEMASY के वेबसाइट बिल्डर से आप अपनी वेबसाइट बना सकते हैं।

क्या महंगा EV सर्टिफ़िकेट मुफ़्त Let's Encrypt सर्टिफ़िकेट से बेहतर है?

फ़ॉर्म की सुरक्षा के लिए नहीं। दोनों एक ही मज़बूत एन्क्रिप्शन (TLS 1.2 या 1.3) इस्तेमाल करते हैं। फ़र्क भरोसे के संकेत और संगठन के सत्यापन का है। EV सर्टिफ़िकेट विज़िटर को आपकी कंपनी का नाम दिखाता है और साबित करता है कि आपका संगठन असली है। बिज़नेस साइट पर कॉन्टैक्ट फ़ॉर्म के लिए DV या Let's Encrypt काफ़ी है। EV सिर्फ़ तब इस्तेमाल करें जब आपको ऊंचे भरोसे का संकेत देना हो (जैसे पेमेंट प्रोसेसिंग, बैंक जैसी एप्लिकेशन)।
अगर फ़ॉर्म HTTPS होने पर भी कोई अपना क्रेडिट कार्ड नंबर सबमिट कर दे तो?
HTTPS रास्ते में डेटा की सुरक्षा करता है, स्टोरेज की नहीं। अगर आप क्रेडिट कार्ड नंबर अपने डेटाबेस में सादे टेक्स्ट में स्टोर करते हैं, तो वह अब भी खतरे में है। पेमेंट जानकारी के लिए PCI प्रमाणित पेमेंट प्रोसेसर इस्तेमाल करें। कच्चा क्रेडिट कार्ड डेटा कभी खुद स्टोर न करें।
क्या HTTPS हैक हो सकता है?
HTTPS एन्क्रिप्शन गणित के हिसाब से मज़बूत है और मौजूदा तकनीक से व्यावहारिक रूप से हैक नहीं हो सकता। फिर भी, उसके आसपास का सिस्टम कमज़ोर हो सकता है। अगर आपके सर्वर से छेड़छाड़ हो, या विज़िटर का डिवाइस मैलवेयर से संक्रमित हो, तो हमलावर फिर भी डेटा तक पहुंच सकते हैं। HTTPS रास्ते में डेटा की सुरक्षा करता है, पर स्टोरेज और डिवाइस की सुरक्षा के लिए आपको फिर भी दूसरी सुरक्षाएं चाहिए।
अगर मैं सिर्फ़ नाम और ईमेल ले रहा हूं, तो क्या मुझे HTTPS चाहिए?
हां। ईमेल एड्रेस जैसे दिखने में कम संवेदनशील डेटा का भी किसी को निशाना बनाने या परेशान करने में इस्तेमाल हो सकता है। दूसरे डेटा के साथ मिला ईमेल एड्रेस हमलावरों के लिए ज़्यादा कीमती होता है। आप कोई भी डेटा ले रहे हों, सारे फ़ॉर्म के लिए HTTPS इस्तेमाल करें। यह बुनियादी स्तर है।
यह भी पढ़ें

और पढ़ें: फ़ॉर्म के बारे में सब कुछ

डायनामिक फ़ॉर्म क्या हैं

डायनामिक फ़ॉर्म विज़िटर के भरते समय बदलते हैं। पिछले जवाबों के हिसाब से वे फ़ील्ड दिखाते या छिपाते हैं। स्टैटिक फ़ॉर्म हर यूज़र के लिए एक जैसे रहते…

आगे पढ़ें
ज़्यादा कन्वर्ज़न के लिए पर्सनलाइज़्ड फ़ॉर्म

पर्सनलाइज़्ड फ़ॉर्म विज़िटर को नाम से बुलाते हैं, वे सवाल छोड़ देते हैं जिनका जवाब आपको पहले से पता है, और विज़िटर कहां से आया, इसके हिसाब से कंटेंट…

आगे पढ़ें
बिहेवियरल ट्रिगर क्या हैं

बिहेवियरल ट्रिगर विज़िटर की हरकत के आधार पर सही पल पर फ़ॉर्म दिखाते हैं। जानिए टाइमिंग की वे रणनीतियां जो परेशान किए बिना कन्वर्ज़न बढ़ाती हैं।

आगे पढ़ें

इसे अभी आज़माएँ
अपनी खुद की वेबसाइट पर।

WEMASY के साथ मुफ़्त शुरू करें और कुछ ही मिनटों में अपनी साइट बनाएँ।

मुफ़्त शुरू करें लॉग इन