Guide de l'acheteur des meilleurs certificats SSL

Qu'est-ce qu'un certificat SSL?

Si vous souhaitez célébrer la Semaine nationale de la petite entreprise en créant votre propre entreprise en ligne, vous devez penser à la sécurité de votre site Web, ce qui implique l’achat d’un certificat SSL. Les certificats SSL (Secure Sockets Layer) sont le plus souvent associés à des sites de commerce électronique, tant pour la vente au détail que pour les services, mais il s'agit en réalité d'un élément clé à chaque fois que vous connectez deux ordinateurs. En effet, le cryptage du flux de données exécuté entre ces deux ordinateurs est essentiel. De nos jours, le cryptage est une base pour presque tous les types de transactions sur Internet. Avoir un certificat SSL reconnu gérant le cryptage de votre site Web est également une condition requise pour garantir que Google ne signale pas votre site Web comme constituant une menace potentielle pour les visiteurs.

Sans la possibilité de garantir que les données sont sûres et authentiques, il serait risqué et peu fiable de mener des affaires sur Internet. Si vous ne possédez pas de certificat SSL, votre trafic Web est ouvert à la surveillance des pirates. De plus, en 2014, Google a annoncé que le classement de recherche d'un site Web serait fortement influencé par l'utilisation ou non de SSL, ce qui constitue un facteur important pour se faire remarquer sur le Web. Avec l'initiative "HTTPS Everywhere" de Google pleinement en vigueur, toutes les personnes présentes sur le Web devraient envisager de posséder un certificat SSL, mais il est pratiquement obligatoire pour les marchands de commerce en ligne.

Quelles sont mes options?

Si vous vous demandez comment obtenir un certificat SSL ou si vous décidez lequel vous convient le mieux, il est important de comprendre les trois types de certificats disponibles. De nombreux fournisseurs d’hébergement Web ont des options de certificat qu’ils vous proposeraient ou proposeraient dans le cadre de forfaits uniques, mais très peu d’entre eux vous demandent d’utiliser ces certificats. Alors magasinez parce que vos options doivent rester ouvertes.

Tous les certificats SSL sont utilisés pour chiffrer des données, mais rien ne garantit que le serveur, à l’autre extrémité, est convivial ou même celui avec lequel vous vous attendez à parler. Pour résoudre ce problème, vous avez un tiers de confiance, appelé autorité de certification, qui facture des frais pour enquêter sur la société et émettre le certificat SSL. La logique est que, si vous faites confiance au tiers et que ce dernier fait confiance au certificat SSL, vous pouvez alors faire confiance au certificat et au serveur qui vous l'a montré. Ce qui distingue les certificats SSL est le degré de diligence requis pour établir cette confiance. Pour la plupart, les certificats SSL se divisent en trois catégories:

• Certificat de domaine validé (DV). Ce type de certificat SSL peut être utilisé gratuitement ou à moindre coût, comme l’option QuickSSL Premium de Geotrust ou RapidSSL, mais convient également aux projets internes, mais il n’est pas acceptable pour le Web ouvert. Soyez extrêmement prudent sur les sites Web utilisant ce type de certificat. En fait, il vaut mieux que vous cliquiez dessus aussi vite que possible.
• Certificat validé par l'organisation (OV). Dans la mesure où les entreprises et les organisations disposent déjà d'un certain niveau d'authentification auprès d'un organe directeur, elles peuvent être facilement vérifiées par l'autorité de certification comme étant légitimes. En règle générale, l'organisation mentionnée dans la demande sera contactée et priée de fournir une preuve de sa validité. Il s'agit du niveau minimal de certificat SSL à prendre en compte pour un site Web commercial.
• Certificat de validation étendue (EV) . Il s'agit du troisième niveau de certificat SSL, le plus fiable. Les directives publiées pour les certificats EV sont à la fois strictes et approfondies. Il n’est pas rare de demander et de vérifier des preuves d’identité, de capacité et d’établissement. Avant que le certificat EV ne soit délivré, l'identité de l'entité légale qui contrôle le site Web est déterminée et publiée. En prime, la plupart des navigateurs Web modernes indiqueront qu'un certificat EV est utilisé en affichant une barre verte Uniform Resource Locator (URL).

Chaque niveau de certificat SSL comporte également deux variantes. Un certificat de domaine unique, comme cela puisse paraître, protège un seul site Web. En conséquence, il a tendance à être moins cher. Son cousin, le certificat générique, vous permet de protéger plusieurs sous-domaines et a tendance à être plus cher. Toutefois, si vous souhaitez un certificat EV, la seule option consiste à obtenir un certificat à domaine unique. Cela est dû au contrôle supplémentaire placé sur comment et où il est utilisé. Si vous devez couvrir plusieurs sous-domaines avec des certificats EV, vous pouvez parfois obtenir une remise sur volume, mais cela varie d'un fournisseur à l'autre.

Implémentation du certificat SSL

Il ne suffit pas de cliquer simplement sur "acheter", d'ajouter un certificat SSL à votre panier, puis de passer à la caisse. Le logiciel que vous souhaitez sécuriser aura une procédure de demande de certificat qui devra être suivie à la lettre. Tous les fournisseurs de certificats SSL réputés, y compris GeoTrust, GoDaddy et Symantec, ont des instructions pour générer cette demande. Il est donc utile de les lire attentivement. Cela est particulièrement vrai si vous postulez pour un certificat EV.

Après avoir généré la demande, vous la soumettez à l'autorité de certification SSL pour traitement. Cela pourrait prendre de quelques minutes à quelques semaines. Après avoir passé toutes les demandes de vérification, vous recevrez le certificat SSL complet pouvant être chargé sur votre serveur Web.

TLS contre SSL

Si vous avez récemment acheté un certificat SSL, vous l'avez probablement installé et exploité au quotidien, sachant que votre site Web était plus sécurisé pour vos visiteurs. Cependant, en réalité, le protocole SSL est obsolète depuis des années en raison de problèmes de sécurité spécifiques. Le terme, cependant, a persisté.

À la base, SSL est simplement un protocole de "négociation", c'est-à-dire que c'est la méthode que deux ordinateurs utilisent pour décider en toute sécurité du type de cryptage qu'ils utiliseront pour communiquer l'un avec l'autre et du mot de passe secret qu'ils vont partager. faire ce travail. Mais la poignée de main est une étape critique du processus de communication sécurisée, car si elle est compromise, l’étape de chiffrement qui suit est rendue inutile. Heureusement, le protocole de prise de contact qui supplante SSL de nos jours s'appelle TLS (Transport Layer Security). Bien que TLS soit similaire, c'est toujours une meilleure option.

TLS a été introduit peu de temps après SSL en tant que suite similaire mais plus sécurisée. Les deux ont continué d'évoluer en parallèle jusqu'à ce que SSL soit finalement abandonné en 2015. Depuis, TLS est resté l'option privilégiée, et la plupart des navigateurs actuels ne vous afficheront pas d'icône de cadenas si les protocoles SSL 2.0 ou SSL 3.0 sont utilisés. Mais ce changement a eu lieu beaucoup sous les couvertures proverbiales en dehors des cercles des administrateurs Web inconditionnels, il est donc parfaitement logique de demander "Mes certificats SSL sont-ils compatibles avec TLS?"

Réponse courte: Oui, absolument. La principale conclusion est que la terminologie peut parfois être trompeuse, car elle évolue non seulement comme l’industrie, mais aussi selon les lois de l’usage courant. Vous pouvez cependant être assuré que, si vous avez acheté un certificat auprès d'une autorité de confiance, vous n'avez pas acheté quelque chose de démodé. Rappelez-vous que les protocoles évoluent constamment; TLS est déjà à la version 1.2 et continuera à changer avec le temps. Le certificat est nécessaire, mais ce sont les serveurs Web qui décident à la fois du type de cryptage et des protocoles de négociation.

Ce qu'il faut éviter

Puisqu'il n'est pas rare de dépenser des centaines, voire plusieurs milliers de dollars par an en certificats, la tentation est grande d'utiliser des options avantageuses qui promettent le même niveau de protection à un prix inférieur. En fait, les certificats 2048 bits sont souvent considérés comme un argument de vente. La vérité est que tout ce qui se trouve en dessous n'est pas reconnu par les navigateurs de Microsoft à compter du 1er janvier 2017. Ce n'est qu'une question de temps avant que les autres navigateurs et plates-formes ne fassent de même. Ainsi, s'il est important que votre certificat soit haché avec l'algorithme SHA-2 (Secure Hash Algorithm 2) et prenne en charge le cryptage 256 bits, il est facile de se perdre dans les détails techniques.

L'attribut qui définit réellement est à quel point le monde entier fait confiance à l'organisation qui délivre le certificat. Des autorités telles que Network Solutions et Symantec sont bien connues et acceptées par les développeurs de navigateurs. Les certificats émis par les principaux acteurs sont approuvés par défaut. Bien qu'il soit facile d'obtenir un certificat auprès d'une autorité de bonnes affaires, il existe souvent des obstacles supplémentaires et des obstacles à franchir pour franchir le pas. Ce n'est pas une position dans laquelle vous voulez placer vos clients et, si vous le faites, beaucoup cliqueront probablement de toute façon sur le bouton Précédent. En résumé, magasinez, mais souvenez-vous: vous en avez généralement pour votre argent.

1 GoDaddy

GoDaddy a déployé un produit SSL destiné principalement aux utilisateurs de ses services d’hébergement Web et couvre, à son actif, toutes les options de certificat SSL, à commencer par un certificat de domaine unique qui vous rapportera 55, 99 $ par an. Cependant, alors que le service offre des prix favorables, les utilisateurs signalent une frustration importante à l’égard de la mise en œuvre et de la simplicité d’utilisation.

à



2 Symantec

Symantec est l’une des marques les plus connues en matière de sécurité et les prix de la société en témoignent. Son certificat de base, mono-domaine, commence à 399 USD par an. Ces coûts peuvent atteindre 1 499 USD par an pour l'option de validation étendue haut de gamme. Il faut toutefois savoir que DigiCert a acheté les activités de sécurité Web de Symantec et que le certificat SSL de Symantec faisait partie de cette transaction. Ainsi, lorsque vous achetez un certificat SSL Symantec, vous voyez le logo DigiCert. Cela signifie que, même si les prix n’ont pas changé, le fournisseur de technologie l’a fait. Heureusement, DigiCert est un fournisseur solide, mais vous feriez bien de rechercher ce que la société propose sous son propre surnom en plus de ce qu’elle fournit tout en tirant parti de la marque Symantec.

à



3 Entrac Datacard

Entrust Datacard possède un certificat SSL à domaine unique qui commence à 174 $ par an, mais offre également des options pour les certificats génériques, d’organisation et de validation étendue. Bien que le prix ne soit pas le plus bas que nous ayons vu, la réputation de l'entreprise en matière de performances et de facilité d'utilisation est solide. De plus, il propose une multitude d'offres associées, notamment des outils de gestion, des solutions mobiles et même une offre de passeport électronique.

à



4 solutions de réseau

Network Solutions est un autre fournisseur SSL très abordable qui débute avec un certificat à domaine unique à 54, 99 $ par an. Mais si son prix est attractif, il s'agit d'un autre fournisseur dont les utilisateurs se disent frustrés par le service client et la mise en œuvre dans son ensemble. D'autre part, Network Solutions propose une large gamme d'offres associées, notamment la prise en charge de la configuration de magasins de commerce électronique et diverses initiatives de marketing numérique.

à



5 DigiCert

DigiCert commence ses certificats de domaine unique à 175 USD par an et propose des options de validation générique et étendue. Si cela ne vous suffit pas, consultez les offres de Symantec puisque DigiCert a racheté les activités de sécurité Web de Symantec, y compris les certificats SSL, en 2018. Les deux semblent toutefois fonctionner ensemble, car Symantec continue de vendre des certificats sous sa propre marque avec un clin d'œil à DigiCert.. Toutefois, ce n'est pas une mauvaise affaire pour les clients, car DigiCert dispose également d'une technologie solide et d'une bonne réputation en matière de service à la clientèle. Il dispose également d'un outil de gestion de certificats réputé pour ceux qui gèrent plusieurs certificats.

à



6 Sectigo

Sectigo (anciennement CA Comodo), dont le certificat à domaine unique commence à 92 $ par an, s’emploie à étendre ses offres au-delà de son activité principale de certificats numériques TLS / SSL. Il propose désormais des solutions pour la gestion des certificats, la protection des données sur l'Internet des objets (IoT) ainsi que la maintenance et la sauvegarde de sites Web. La société entretient une bonne réputation auprès de ses clients depuis que son nom a changé et son activité en expansion est une bonne nouvelle pour les clients recherchant plus de flexibilité sous un même toit.

à



7 SSL.com

, SSL.com est une société spécialisée dans la vente et la mise en œuvre rapides de SSL. La société fait un excellent travail, avec d'excellents rapports sur les performances et le service client. Le prix est très sympathique, à partir de 36, 75 $ par an pour un certificat à domaine unique. Toutefois, la société n'offre pas d'option de validation d'organisation, bien qu'elle dispose de nombreux outils, notamment un scanner de serveur gratuit disponible sur le site Web, qui affiche un résumé instantané d'un serveur cible.

à



8 GlobalSign

GlobalSign couvre toute la gamme de produits d’identité, y compris un certificat SSL de base à partir de 249 $ par an. En outre, il propose toutes les autres variétés de certificats SSL disponibles, ainsi que des certificats de signature de document, de signature de code et de sécurité de messagerie. Bien que certains se plaignent de la convivialité de son outil de gestion, la société jouit d'une excellente réputation en matière de performances et de service à la clientèle et propose même des tests de serveurs SSL pratiques et gratuits disponibles gratuitement sur son site web.

à



9 GeoTrust

GeoTrust vend une variété de produits SSL, bien que son produit phare soit probablement la ligne True Business, qui commence à 199 $ par an pour un certificat validé par l'organisation. La société dispose également de certificats de validation étendus à domaine unique (QuickSSL), génériques et premium étendus. Elle propose également un service de signature, une offre orientée entreprise et diverses solutions verticales destinées en particulier aux organisations financières, de santé et gouvernementales, pour n'en nommer que quelques-unes.

à



10 RapidSSL

RapidSSL est en fait une autre offre de GeoTrust, mais la société considère celle-ci comme une division distincte. Son prix est bon, à commencer par un certificat de domaine unique à 59 $ par an. Mais il n'offre pas d'option de validation d'organisation ni, plus important encore, d'option de validation étendue. Le service client est censé être excellent, mais RapidSSL doit bientôt proposer une option de validation étendue, faute de quoi elle deviendra inutile pour ceux qui recherchent la meilleure protection possible.

à