SSL सर्टिफ़िकेट क्या है और यह कैसे काम करता है?

ब्राउज़र के एड्रेस बार में दिखने वाला पैडलॉक वेब के सबसे जाने-पहचाने निशानों में से एक है। उसे वहाँ SSL सर्टिफ़िकेट लगाता है, और वह असल में जो करता है वह ज़्यादातर विज़िटर की सोच से कहीं आगे जाता है। यह तय करता है कि आपकी साइट से भेजा गया डेटा एन्क्रिप्ट होकर जाएगा या सादे टेक्स्ट में, जिसे कनेक्शन को बीच में पकड़ने वाला कोई भी पढ़ सकता है। SSL कैसे काम करता है और कहाँ कमज़ोर पड़ता है, यह समझने से अपने विज़िटर की रक्षा करने का आपका नज़रिया बदल जाता है।

SSL वह बुनियादी तकनीक है जो HTTPS को संभव बनाती है। जब विज़िटर का ब्राउज़र वैध SSL सर्टिफ़िकेट वाली वेबसाइट से जुड़ता है, तो कोई भी डेटा भेजे जाने से पहले वह एक एन्क्रिप्टेड कनेक्शन बना लेता है। पैडलॉक आइकन, एड्रेस बार में HTTPS प्रीफ़िक्स और ब्राउज़र की "Not secure" चेतावनी का न होना, ये सब उसी सर्टिफ़िकेट के मौजूद और वैध होने से बनते हैं। आपकी पूरी वेबसाइट पर सिक्योरिटी क्यों मायने रखती है, यह समझने के लिए वेबसाइट सिक्योरिटी क्यों ज़रूरी है वाला आर्टिकल देखें।

SSL सर्टिफ़िकेट असल में क्या करता है?

SSL सर्टिफ़िकेट एक साथ दो अलग काम करता है। यह रास्ते में डेटा को एन्क्रिप्ट करता है और वेबसाइट की पहचान की पुष्टि करता है।

एन्क्रिप्शन

• एन्क्रिप्शन का मतलब है कि ब्राउज़र और सर्वर के बीच भेजा गया सारा डेटा ट्रांसमिशन के दौरान ऐसे रूप में उलझा दिया जाता है जो पढ़ा न जा सके
• सिर्फ़ तय प्राप्तकर्ता, यानी ब्राउज़र या सर्वर, के पास उसे सुलझाने की चाबी होती है
• एन्क्रिप्शन के बिना फ़ॉर्म सबमिशन, लॉगिन क्रेडेंशियल और पेमेंट की जानकारी नेटवर्क पर सादे टेक्स्ट की तरह जाती है, जिसे बीच में पकड़े जाने पर पढ़ा जा सकता है

ऑथेंटिकेशन

• SSL सर्टिफ़िकेट एक सर्टिफ़िकेट अथॉरिटी जारी करती है, जो एक स्वतंत्र संस्था है और सर्टिफ़िकेट जारी करने से पहले वेबसाइट की पहचान जाँचती है
• यह जाँच पक्का करती है कि जिस डोमेन को सर्टिफ़िकेट कवर करता है, वह उसी संस्था के कंट्रोल में है जो उसका मालिक होने का दावा करती है
• जब ब्राउज़र सर्टिफ़िकेट जाँचता है, तो वह पुष्टि करता है कि कनेक्शन एन्क्रिप्टेड है और साइट वही है जो होने का दावा करती है, किसी की नक़ल नहीं

SSL एन्क्रिप्शन कैसे काम करता है?

एन्क्रिप्शन की प्रक्रिया उसी पल अपने आप और बिना दिखे होती है जब ब्राउज़र किसी वेबसाइट से जुड़ता है। इसमें कई चरणों का क्रम होता है जिसे TLS हैंडशेक कहते हैं। TLS, यानी Transport Layer Security, उस प्रोटोकॉल का आधुनिक नाम है जिसे पहले SSL कहा जाता था।

कनेक्शन का क्रम

• ब्राउज़र सुरक्षित कनेक्शन माँगता है और सर्वर अपना SSL सर्टिफ़िकेट भेजकर जवाब देता है
• ब्राउज़र उस सर्टिफ़िकेट को जारी करने वाली सर्टिफ़िकेट अथॉरिटी से जाँचता है, और पक्का करता है कि वह वैध है और एक्सपायर नहीं हुआ
• दोनों पक्ष एन्क्रिप्शन का तरीक़ा तय करते हैं और चाबियाँ बदलते हैं, जिससे एक सुरक्षित चैनल बन जाता है
• इसके बाद भेजा गया सारा डेटा सेशन की अवधि तक एन्क्रिप्टेड रहता है

एन्क्रिप्शन किसकी सुरक्षा करता है

• कॉन्टैक्ट फ़ॉर्म का डेटा, जिसमें नाम, ईमेल एड्रेस और संदेश शामिल हैं
• लॉगिन क्रेडेंशियल, जिनमें यूज़रनेम और पासवर्ड शामिल हैं
• पेमेंट कार्ड की जानकारी और बिलिंग की जानकारी
• विज़िटर के आपकी वेबसाइट के ज़रिए भेजी कोई भी दूसरी जानकारी

SSL किसकी सुरक्षा नहीं करता

• SSL रास्ते में डेटा को एन्क्रिप्ट करता है। यह उस डेटा की सुरक्षा नहीं करता जो मिलने के बाद सर्वर पर असुरक्षित तरीक़े से रखा गया हो
• SSL सर्टिफ़िकेट वाली वेबसाइट भी हैक हो सकती है अगर सर्वर में ही सुरक्षा की कमज़ोरियाँ हों
• SSL वेबसाइट सिक्योरिटी की एक परत है, अपने आप में पूरा हल नहीं

SSL सर्टिफ़िकेट के अलग-अलग प्रकार कौन-से हैं?

SSL सर्टिफ़िकेट इस आधार पर अलग होते हैं कि सर्टिफ़िकेट अथॉरिटी उन्हें जारी करने से पहले पहचान की कितनी जाँच करती है।

डोमेन वैलिडेशन

• सर्टिफ़िकेट अथॉरिटी सिर्फ़ यह पुष्टि करती है कि आवेदक का उस डोमेन पर कंट्रोल है
• प्रक्रिया ऑटोमैटिक होती है और सर्टिफ़िकेट जल्दी जारी हो जाते हैं
• डोमेन वैलिडेशन सर्टिफ़िकेट ब्लॉग, जानकारी देने वाली वेबसाइट और ज़्यादातर उन वेबसाइट के लिए काफ़ी हैं जो साइट पर सीधे पेमेंट प्रोसेस नहीं करतीं

ऑर्गनाइज़ेशन वैलिडेशन

• सर्टिफ़िकेट अथॉरिटी डोमेन और सर्टिफ़िकेट के लिए आवेदन करने वाली संस्था के क़ानूनी अस्तित्व, दोनों की जाँच करती है
• ऑर्गनाइज़ेशन वैलिडेशन सर्टिफ़िकेट अक्सर उन बिज़नेस में इस्तेमाल होते हैं जो सर्टिफ़िकेट के साथ वेरिफ़ाई की गई संस्था की जानकारी दिखाना चाहते हैं

एक्सटेंडेड वैलिडेशन

• एक्सटेंडेड वैलिडेशन सर्टिफ़िकेट में पहचान की सबसे गहरी जाँच होती है, जिसमें संस्था की क़ानूनी, भौतिक और संचालन से जुड़ी जाँच शामिल है
• पहले इन्हें ब्राउज़र में हरे एड्रेस बार से जोड़ा जाता था, हालाँकि आधुनिक ब्राउज़र में यह दिखने वाला फ़र्क़ हटा दिया गया है
• एक्सटेंडेड वैलिडेशन सर्टिफ़िकेट आमतौर पर वित्तीय संस्थान और बड़े ई-कॉमर्स प्लेटफ़ॉर्म इस्तेमाल करते हैं

वाइल्डकार्ड और मल्टी-डोमेन सर्टिफ़िकेट

• वाइल्डकार्ड सर्टिफ़िकेट एक ही सर्टिफ़िकेट से एक डोमेन और उसके सभी सबडोमेन को कवर करता है
• मल्टी-डोमेन सर्टिफ़िकेट एक सर्टिफ़िकेट के तहत कई अलग डोमेन को कवर करता है
• ये उन संस्थाओं के लिए व्यावहारिक हैं जो कई साइट या सबडोमेन संभालती हैं और हर एक के लिए अलग सर्टिफ़िकेट जारी नहीं करना चाहतीं

क्या सभी वेबसाइट को SSL सर्टिफ़िकेट चाहिए?

हाँ। HTTPS की ज़रूरत सिर्फ़ पेमेंट लेने वाली या संवेदनशील डेटा संभालने वाली वेबसाइट तक सीमित नहीं है। यह हर सार्वजनिक रूप से खुलने वाली वेबसाइट पर लागू होती है, तीन वजहों से।

ब्राउज़र की चेतावनियाँ

• HTTP पर चलने वाली हर वेबसाइट के लिए ब्राउज़र एड्रेस बार में "Not secure" लेबल दिखाते हैं
• फ़ॉर्म वाले पेजों पर कुछ ब्राउज़र विज़िटर के कुछ भी सबमिट करने से पहले साफ़ चेतावनी दिखाते हैं
• ये चेतावनियाँ भरोसा घटाती हैं और विज़िटर को पेज के साथ जुड़ने से रोकती हैं

सर्च रैंकिंग

• HTTPS एक पक्का रैंकिंग सिग्नल है। HTTPS पर चलने वाली साइट को HTTP पर चलने वाले उसी तरह के पेजों पर रैंकिंग की बढ़त मिलती है
• सर्च इंजन रिज़ल्ट में सक्रिय सुरक्षा चेतावनी वाली साइट की दृश्यता भी घटाते हैं

विज़िटर डेटा की सुरक्षा

• जिस वेबसाइट पर सिर्फ़ कॉन्टैक्ट फ़ॉर्म है, वह भी विज़िटर का डेटा इकट्ठा करती है। HTTPS के बिना वह डेटा बिना एन्क्रिप्शन के भेजा जाता है
• कई क्षेत्रों में डेटा सुरक्षा के नियम माँगते हैं कि निजी डेटा सुरक्षित तरीक़े से संभाला जाए, जिसमें भेजे जाते समय उसकी सुरक्षा भी शामिल है

SSL सर्टिफ़िकेट कैसे पाएँ?

अपने होस्टिंग प्रोवाइडर से

• कई वेबसाइट होस्टिंग प्रोवाइडर अपने होस्टिंग पैकेज के हिस्से के रूप में SSL सर्टिफ़िकेट देते हैं
• ऐसे मामलों में सर्टिफ़िकेट साइट मालिक के कुछ किए बिना अपने आप इंस्टॉल और रिन्यू होता है
• ज़्यादातर वेबसाइट के लिए यह सबसे आसान विकल्प है

सर्टिफ़िकेट अथॉरिटी से

• SSL सर्टिफ़िकेट सीधे सर्टिफ़िकेट अथॉरिटी से लिए जा सकते हैं और सर्वर पर हाथ से इंस्टॉल किए जा सकते हैं
• भरोसेमंद सर्टिफ़िकेट अथॉरिटी से मुफ़्त सर्टिफ़िकेट मिलते हैं और वेरिफ़िकेशन टूल से अपने आप रिन्यू होते हैं
• इस विकल्प में ज़्यादा तकनीकी जानकारी चाहिए और यह उन डेवलपमेंट टीमों में ज़्यादा आम है जो अपने सर्वर ख़ुद संभालती हैं

सर्टिफ़िकेट मिलने के बाद

• सर्टिफ़िकेट इंस्टॉल होने के बाद साइट के सभी अंदरूनी लिंक और एसेट के रेफ़रेंस HTTPS URL पर पॉइंट करने चाहिए, ताकि मिक्स्ड कंटेंट की चेतावनी न आए
• HTTP से HTTPS पर रीडायरेक्ट कॉन्फ़िगर होना चाहिए, ताकि HTTP वर्शन पर पहुँचने वाले विज़िटर अपने आप सुरक्षित वर्शन पर भेज दिए जाएँ

HTTPS का मतलब क्या है और यह आपके विज़िटर और रैंकिंग पर कैसे असर डालता है, इसकी पूरी जानकारी के लिए HTTPS क्या है और यह आपकी वेबसाइट की सुरक्षा कैसे करता है वाला आर्टिकल देखें। सर्टिफ़िकेट के आगे अपनी वेबसाइट को सुरक्षित रखने की पूरी गाइड के लिए अपनी वेबसाइट को हैकर से कैसे बचाएँ वाला आर्टिकल देखें। पूरक सुरक्षा उपाय के रूप में वेबसाइट बैकअप की जानकारी के लिए अपनी वेबसाइट का बैकअप कैसे लें वाला आर्टिकल देखें।

WEMASY SSL सर्टिफ़िकेट को कैसे संभालता है

SSL सर्टिफ़िकेट हर WEMASY प्लान में शामिल है। जब WEMASY प्लेटफ़ॉर्म पर वेबसाइट बनती है, तो सर्टिफ़िकेट अपने आप इंस्टॉल और चालू हो जाता है। सभी पेज डिफ़ॉल्ट रूप से HTTPS पर चलते हैं और साइट मालिक को कोई सेटअप नहीं करना पड़ता।

सर्टिफ़िकेट एक्सपायर होने से पहले अपने आप रिन्यू हो जाते हैं। हाथ से रिन्यू करने की कोई प्रक्रिया नहीं है, और सर्टिफ़िकेट के ख़त्म होकर ब्राउज़र की चेतावनी आने का कोई जोखिम नहीं है। SSL का बुनियादी ढाँचा प्लेटफ़ॉर्म के स्तर पर संभाला जाता है, इसलिए साइट मालिकों को उसे सीधे मैनेज करने की ज़रूरत नहीं।

क्या-क्या शामिल है, यह WEMASY वेबसाइट बिल्डर पर देखें, या प्राइसिंग पेज पर प्लान के विकल्प देखें।

अक्सर पूछे जाने वाले सवाल