Центр сертификации

Шифрование само по себе не отвечает на вопрос, с тем ли сайтом вы соединились. Злоумышленник может создать собственный ключ для чужого домена, и соединение будет зашифровано — но с ним. Центр сертификации решает эту проблему: он заверяет своей подписью, что ключ принадлежит владельцу домена. Браузер проверяет подпись и, если она ведёт к доверенному корню, показывает сайт без предупреждений.

Цепочка доверия

Корневые сертификаты центров встроены в хранилища доверия операционных систем и браузеров — у Mozilla, Google, Apple и Microsoft свои списки и требования. Корневым ключом подписывают промежуточные сертификаты, а уже ими — сертификаты сайтов. Сервер должен отдавать браузеру и свой сертификат, и промежуточный; если промежуточный забыли, часть устройств покажет ошибку.

Правила для публичных центров вырабатывает CA/Browser Forum, а все выпущенные сертификаты записываются в открытые журналы Certificate Transparency. Владелец домена может посмотреть в них, кто и когда выпускал сертификаты на его имя.

Как центр проверяет заявку

• DV — проверка только контроля над доменом: файл на сайте, TXT-запись в DNS или письмо на служебный адрес. Выпуск занимает минуты, так работает Let's Encrypt через протокол ACME.
• OV — дополнительно проверяется существование организации.
• EV — расширенная проверка документов компании. Особого значка в адресной строке браузеры давно не показывают.

Сертификат начинается с запроса CSR, в котором передаётся открытый ключ. Сроки жизни сертификатов поэтапно сокращают: решение CA/Browser Forum ведёт к максимуму в 47 дней к 2029 году, поэтому ручное продление уступает место автоматическому.

Как проверить, кто выдал сертификат

openssl s_client -connect example.com:443 -servername example.com </dev/null \
  | openssl x509 -noout -issuer -dates

example.com.  IN  CAA  0 issue "letsencrypt.org"

Первая команда показывает издателя и срок действия. Вторая строка — запись CAA в зоне домена: она разрешает выпуск сертификатов только указанному центру. Российский национальный удостоверяющий центр Минцифры выдаёт сертификаты, которым доверяют не все браузеры, поэтому сайты обычно держат и сертификат международного центра. Как перевести сайт на HTTPS без потерь, разобрано в статье о переходе сайта на HTTPS.