Certificat SSL: què és, per què surt «No és segur» i com evitar-ho

Un certificat SSL és un petit fitxer instal·lat al servidor de la teva web que permet xifrar la connexió entre el navegador del visitant i la web. Quan està ben posat, l'adreça comença per https:// i el navegador no mostra cap avís; quan falta, Chrome i la resta de navegadors marquen la pàgina com a «No és segur» al costat de l'adreça.

Per a un negoci, aquest avís és el que més es nota. Un client que està a punt de deixar el telèfon al teu formulari i veu «No és segur» té un bon motiu per tancar la pestanya.

Què fa un certificat SSL

Fa dues coses. Xifra les dades que viatgen entre el visitant i el servidor, de manera que si algú les intercepta (en una wifi pública, per exemple) no les pot llegir. I acredita que la web a què et connectes correspon al domini que apareix a la barra, perquè una autoritat de certificació ho ha comprovat abans d'emetre'l.

Avui el nom tècnic correcte és TLS, que va substituir l'SSL fa anys, però tothom, proveïdors inclosos, continua dient «certificat SSL». A efectes pràctics parlem del mateix.

HTTP, HTTPS i l'avís de «No és segur»

L'HTTPS és el protocol HTTP de sempre, però per damunt d'aquesta connexió xifrada. Fa uns anys els navegadors van començar a marcar com a «No és segur» les pàgines sense HTTPS, primer les que tenien formularis i després totes, i cada vegada més navegadors avisen amb una pantalla completa abans d'obrir una web que només funciona amb HTTP.

Si la teva web té certificat i tot i així veus l'avís, les causes més habituals són aquestes:

• El certificat ha caducat i ningú no l'ha renovat.
• Està emès per a elteunegoci.cat però no per a www.elteunegoci.cat, o a l'inrevés.
• La web carrega alguna imatge, tipografia o script per http://, cosa que s'anomena contingut mixt, i el cadenat desapareix o surt amb una advertència.
• La web encara s'obre per http:// perquè no hi ha una redirecció automàtica a https://.

Els dos últims casos són molt freqüents en webs que van passar a HTTPS tard i amb pressa, i s'arreglen sense tocar el certificat.

Tipus de certificat SSL

Segons el que comprova l'autoritat abans d'emetre'ls, n'hi ha de tres nivells. El de validació de domini (DV) només verifica que controles el domini, s'emet en minuts i és el més habitual; Let's Encrypt els dona gratis. El de validació d'organització (OV) comprova, a més, que l'empresa existeix, i es veu sobretot en webs corporatives grans. El de validació estesa (EV) és el que fa la verificació més exhaustiva. Abans mostrava el nom de l'empresa en verd a la barra d'adreces, però els navegadors actuals ja no ho fan, així que aquell avantatge visible ha desaparegut.

Segons quants dominis cobreixen, també hi ha certificats per a un sol domini, multidomini i comodí (wildcard), que cobreix tots els subdominis, com ara botiga.elteunegoci.cat o reserves.elteunegoci.cat.

Per a la web d'una pime, un certificat DV gratuït xifra la connexió igual que un de pagament. El que canvia és el nivell de verificació de l'empresa i el suport, i a una perruqueria o a un taller això no li aporta res que el client arribi a veure. Si tot i així en vols un de pagament, de manera orientativa van des d'uns 10 € l'any per a un DV fins a uns quants centenars d'euros per a un EV.

Quant dura i com es renova un certificat SSL

Els certificats caduquen. Els de Let's Encrypt duren 90 dies i estan pensats per renovar-se sols, i els de pagament s'han anat escurçant: el sector ha acordat reduir-ne encara més la vigència màxima els pròxims anys. Amb terminis així, renovar-los a mà vol dir que, tard o d'hora, algú se n'oblidarà.

El que has de confirmar amb el teu proveïdor és que la renovació sigui automàtica i que algú rebi un avís si falla. Quan un certificat caduca, el navegador ja no es conforma amb l'avís discret de la barra: mostra una pantalla de «La connexió no és privada» i molt pocs visitants s'atreveixen a continuar.

Certificat SSL i formularis

Si la teva web té un formulari de contacte, de pressupost o de reserva, a la pràctica necessites HTTPS. Les dades que la gent hi escriu (nom, telèfon i, de vegades, informació sobre la seva salut o el seu habitatge) viatgen des del seu mòbil fins al teu servidor, i l'RGPD exigeix aplicar mesures de seguretat adequades per protegir-les. Xifrar la connexió és la més bàsica. Si tractes dades sensibles, com passa en una clínica, consulta amb un professional quines mesures et corresponen.

El certificat protegeix el trajecte, però no diu res d'on es guarden els missatges, de qui té accés al correu on arriben ni del que diu la teva política de privacitat. Per a aquesta part tens més informació a formularis web i RGPD i a l'article sobre els textos legals obligatoris d'una web.

Com comprovar el certificat de la teva web

1. Escriu l'adreça de la teva web amb http:// al davant. T'hauria de portar automàticament a https://.
2. Prova-ho amb www i sense www. Totes dues versions han d'acabar a la mateixa adreça segura.
3. Fes clic a la icona que hi ha a l'esquerra de l'adreça i entra a la informació del certificat. Mira la data de caducitat i per a quin domini està emès.
4. Navega per unes quantes pàgines, sobretot la de contacte, i fixa't que no aparegui cap avís.

Si alguna cosa falla, passa aquesta llista a qui s'encarrega de la teva web. Són coses que es corregeixen de pressa quan se sap on mirar, i que entren dins de qualsevol manteniment web com cal.

Certificat inclòs i renovat

A Webmensual el certificat SSL va inclòs a la quota, juntament amb l'allotjament (hosting), el domini, el manteniment i el monitoratge, així que no has d'estar pendent de renovar-lo. Si tens una clínica o qualsevol negoci que recull dades delicades, pots veure com plantegem les webs per a clíniques; si no, explica'ns què necessites i t'enviarem una proposta en menys de 24 hores.