Co je TLS? TLS je technologie, která šifruje spojení mezi prohlížečem návštěvníka a serverem, aby po cestě nikdo nemohl číst ani měnit přenášená data. Je to přesně to, co stojí za zámečkem v adresním řádku a za písmenem S ve zkratce HTTPS.
Bez TLS putují data internetem jako pohlednice: každý, kdo je má cestou v ruce, si je může přečíst. S TLS jde o zapečetěnou obálku, kterou navíc nikdo nepozná otevřít bez toho, aby to bylo vidět. Chrání se tak hesla, čísla karet, obsah objednávek i běžné vyplněné formuláře.
TLS dělá při každém spojení tři věci najednou:
- Ověří totožnost serveru pomocí SSL certifikátu, tedy potvrzení vydaného důvěryhodnou autoritou, že server opravdu patří k dané doméně.
- Domluví tajný klíč, kterým se bude komunikace šifrovat. Klíč platí jen pro dané spojení.
- Hlídá neporušenost dat, takže pokus o změnu obsahu cestou se pozná. K tomu slouží kontrolní součty.
Jaký je rozdíl mezi SSL a TLS? Prakticky žádný v tom, co pro Vás dělají. SSL je starší název technologie, která se později přejmenovala na TLS a od té doby se dál vyvíjí. Slovo SSL zůstalo v běžné mluvě, proto se dodnes říká SSL certifikát, i když spojení chrání TLS. Staré verze jsou dnes vypnuté jako nebezpečné, používá se TLS ve verzích 1.2 a 1.3.
Jak je to u nás? Ke každé doméně na webhostingu vydáváme certifikát Let's Encrypt zdarma a automaticky ho obnovujeme, takže Vám nevyprší. Server OpenLiteSpeed komunikuje po moderních verzích TLS a podporuje i protokol QUIC. Zbývá už jen vynutit, aby se web otevíral výhradně přes HTTPS, což popisuje návod níže.
Musí mít TLS i malý web bez plateb? Ano. Bez něj prohlížeče stránku označí jako nezabezpečenou, což návštěvníky odradí, a vyhledávače ji hodnotí hůř, jak vysvětluje heslo SEO. Šifrování ale neznamená, že je web sám o sobě bezpečný. Nechrání před zastaralými pluginy, slabým heslem ani před phishingem, protože zámeček má dnes i podvodná stránka.