אתר מאובטח הוא אתר שהחיבור אליו מוצפן באמצעות HTTPS, כך שמה שהגולש שולח, למשל טופס יצירת קשר, לא עובר ברשת בגלוי. בדפדפן זה מתבטא בכתובת שמתחילה ב-https ובסימן מנעול, ובלי הודעת אזהרה.
זה לא עניין טכני בלבד אלא גם עניין של אמון. גולש שרואה אזהרה לפני שנכנס לאתר שלך עלול לצאת מיד. במדריך נסביר את ההבדל בין HTTP ל-HTTPS, מה זו תעודה, מתי זה חשוב במיוחד, ומה אבטחה לא מכסה.
בקצרה:
- אתר מאובטח משתמש ב-HTTPS: החיבור בין הגולש לאתר מוצפן, והדפדפן מציג זאת.
- תעודת אבטחה היא חלק מהתשתית, ובאתר חדש צריך לדעת מי מחדש אותה ומתי.
- HTTPS הוא בסיס ולא הגנה מלאה: אין בו הבטחת דירוג או הגנה מכל סיכון.
מהו אתר מאובטח ולמה בעל עסק צריך להכיר אותו
אתר מאובטח הוא אתר שהחיבור אליו מוצפן ב-HTTPS. זה אומר שהמידע שעובר בין הגולש לבין האתר לא קריא למי שמיירט אותו בדרך. מי שבונה אתר לעסק, וחשוב לו שהאתר ייבנה נכון, יכול להשתמש בשיטה הזו כבסיס, והיא חלק מבניית אתרים לעסקים מסודרת.
מה הגולש רואה
בשורת הכתובת של הדפדפן מופיע סימן מנעול או סימן דומה, והכתובת מתחילה ב-https. אם יש בעיה, הדפדפן מציג אזהרה או מסך אדום. הגולש לא צריך להבין את הטכנולוגיה כדי להבין את המסר: כאן בטוח, או כאן עדיף להיזהר.
למה זה נוגע גם לאתר תדמית
יש מי שחושב שאתר שרק מציג מידע, בלי חנות ובלי התחברות, לא צריך אבטחה. בפועל גם אתר כזה כולל לרוב טופס יצירת קשר, כפתור וואטסאפ או מספר טלפון, ומוטב שהחיבור אליו יהיה מוצפן. בנוסף, דפדפנים עלולים להציג אזהרה באתר שאינו מוצפן, גם אם הוא רק מציג מידע, וזה פוגע באמון.
דוגמה להמחשה בלבד
נניח בעל עסק קטן שבנה אתר תדמית עם טופס יצירת קשר. גולשת נכנסת מהטלפון, מזינה שם ומספר ולוחצת על שליחה. אם החיבור מוצפן, הפרטים שלה עוברים לשרת כשהם מוסתרים מעיני מי שמחובר לאותה רשת. אם לא, הדפדפן עלול להציג לה אזהרה כבר לפני השליחה, והיא תסגור את הדף. העסק לא ידע שבכלל הייתה פנייה פוטנציאלית. זו הסיבה שהנושא נוגע לא רק לטכנולוגיה אלא גם לפניות שמגיעות או לא מגיעות.
מה זה לא אומר
חשוב להבין את הגבולות. חיבור מוצפן לא אומר שהעסק עצמו אמין, ולא אומר שהאתר מוגן מכל איום. הוא מגן על הדרך, לא על כל מה שקורה בקצה. גם אתר מאובטח יכול להכיל טעות, תוכן מטעה או תוסף ישן.
מילון קצר
- HTTP: הפרוטוקול הבסיסי להעברת דפי אינטרנט, בלי הצפנה.
- HTTPS: אותו פרוטוקול עם הצפנה.
- SSL ו-TLS: שמות של טכנולוגיית ההצפנה. SSL ותיק יותר, TLS מעודכן, ובשיחה מקובל לומר SSL.
- תעודה: אישור דיגיטלי שמאפשר לדפדפן לוודא שהדומיין שייך למי שמפעיל את האתר.
ההבדל בין HTTP ל-HTTPS: מה הגולש רואה ומה לא
HTTP שולח את המידע בגלוי, ו-HTTPS שולח אותו מוצפן. הדימוי הפשוט ביותר הוא גלויה פתוחה לעומת מכתב חתום במעטפה: את הגלויה כל מי שמחזיק אותה בדרך יכול לקרוא, ואת המכתב רק מי שפותח את המעטפה.
מה עובר בחיבור
כשגולש ממלא טופס באתר, השם, הטלפון וההודעה נשלחים לשרת. באתר ב-HTTP המידע הזה עובר בצורה שניתן לקרוא. באתר ב-HTTPS הוא מוצפן. זה חשוב במיוחד כשהגולש מתחבר מרשת ציבורית, למשל בבית קפה או בתחנה, שבה יותר סביר שמישהו אחר נמצא באותה רשת.
מה הדפדפן מציג
דפדפנים משנים את אופן התצוגה של סימני האבטחה מדי פעם. לכן לא מתייחסים לצורה המדויקת של הסימן, אלא לעיקרון: חיבור מוצפן מקבל סימון חיובי או ניטרלי, וחיבור לא מוצפן עלול לקבל אזהרה. מה שהיה סימן מקובל לפני זמן עשוי להיראות אחרת היום, וכדאי לבדוק במכשיר שלך.
מה HTTPS לא מצפין
HTTPS מגן על המידע בדרך, אבל לא על מה שהמשתמש עושה בעצמו. אם מישהו שולח לאחר את אותם פרטים בהודעה רגילה, או שומר סיסמה בפתק, ההצפנה לא תעזור. ההצפנה גם לא בודקת את תוכן האתר, ולא מחליפה מדיניות פרטיות.
פרטיות והערה כללית
כשאתר אוסף פרטים אישיים, יש לכך השלכות של פרטיות, עוגיות ואחסון מידע. זה תחום שמשתנה, והמדריך הזה נותן הסבר כללי בלבד. כדאי להתייעץ עם איש מקצוע לגבי מה נדרש בעסק שלך.
איך עובדת תעודת אבטחה, בשפה פשוטה
תעודת אבטחה היא אישור שהדומיין שייך למי שמפעיל את האתר, ושמאפשר ליצור חיבור מוצפן. הדפדפן בודק את התעודה בכל כניסה לאתר, ואם היא תקינה, החיבור נפתח בלי הודעה. אם לא, מוצגת אזהרה.
מי מנפיק ולמי פונים
את התעודה מנפיק גורם שמורשה לכך, והוא בודק שמי שמבקש אותה אכן שולט בדומיין. בפועל, ברוב המקרים ספק האחסון או הבונה מטפלים בזה, וגם בעל האתר לא תמיד צריך לעשות משהו בעצמו. כדאי לשאול מי עושה זאת, ולא להניח שזה מתקיים.
חידוש: מה קורה כשהתעודה פגה
לתעודה יש תוקף. כשהתוקף מסתיים, אם לא חודשה, הדפדפן יציג אזהרה והגולשים יראו שהאתר "לא מאובטח". לכן החידוש חשוב, ובדרך כלל הוא אוטומטי. הבעיה מתחילה כשהחידוש נכשל בשקט, ובעל האתר מגלה אותה רק מגולש שמתקשר ושואל. מה עושים באזהרה כזו מוסבר במדריך נפרד על אזהרות של הדפדפן, שאליו נפנה בהמשך.
מה קורה מאחורי הקלעים, בקצרה
כשגולש נכנס לאתר, הדפדפן והשרת מתחילים בלחיצת יד קצרה. השרת מציג את התעודה שלו, הדפדפן בודק שהיא תקפה ושהיא שייכת לדומיין שהגולש ביקש, ואז שני הצדדים מסכימים על מפתח הצפנה משותף. מאותו רגע כל מה שעובר ביניהם מוצפן. כל זה קורה בשבריר שנייה, והגולש לא צריך לעשות כלום. הוא רק רואה, אם הכול תקין, שהכתובת נפתחת בלי אזהרה.
מי אחראי בפועל
האחריות יכולה להיות של ספק האחסון, של בונה האתר או של בעל האתר, וזה תלוי בהסכם. הכלל הפשוט: לפני שמתחילים, לשאול ולקבל תשובה ברורה.
תעודה ומהירות
תעודה תקינה אינה אמורה להאט את האתר באופן משמעותי. אתר מהיר ומאובטח משתלבים, ומדריך בניית אתר שנטען מהר מסביר מה עוד משפיע על הטעינה. לבדיקה ולמדריכים כלליים בנושא ביצועים, אפשר לעיין ב-web.dev.
אתר מאובטח מול אתר לא מאובטח: מה משתנה
הטבלה מסכמת את ההבדלים העיקריים בין אתר שעובד ב-HTTPS לבין אתר שעובד ב-HTTP. היא כללית, ובלי מספרים והבטחות.
| נושא | אתר מאובטח (HTTPS) | אתר לא מאובטח (HTTP) |
|---|---|---|
| הצפנת החיבור | המידע בדרך מוצפן | המידע בדרך גלוי |
| הודעת הדפדפן | סימן חיבור מאובטח | אזהרה, או היעדר סימן |
| טפסים | פרטי הטופס עוברים מוצפנים | פרטי הטופס עוברים בגלוי |
| אמון הגולש | נעים יותר להמשיך באתר | גולשים רבים נרתעים |
| תחזוקה | צריך לחדש תעודה בזמן | אין תעודה, אבל יש סיכון |
| מה צריך לבדוק | תוקף התעודה והפניות | להעביר ל-HTTPS בהקדם |
איך לקרוא את הטבלה
הטבלה לא אומרת שאתר ב-HTTPS מושלם, ושאתר ב-HTTP בהכרח רע. היא מראה שהבחירה הנכונה לעסק היא להשתמש בחיבור מוצפן, כי הוא מקטין את הסיכון ומונע אזהרות שפוגעות באמון. אם נתקלת באזהרה על אתר שלך או של אחרים, ההסבר המלא נמצא במדריך על אזהרות דפדפן ומה עושים בהן.
מה לעשות עם זה
אם האתר שלך עדיין ב-HTTP, כדאי להעביר אותו ל-HTTPS. אם הוא כבר ב-HTTPS, כדאי לבדוק את תוקף התעודה ואת ההפניות מהכתובת הישנה לחדשה. שני צעדים פשוטים שמונעים רוב הבעיות.
למי זה חשוב במיוחד: טפסים, תשלומים ופרטים אישיים
חיבור מוצפן חשוב לכל אתר, ובמיוחד לאתר שמבקש מהגולש להזין פרטים: טופס יצירת קשר, הרשמה לניוזלטר, קביעת תור או כל שדה שבו מוקלד מידע אישי.
טפסים ופרטי קשר
גולש שמזין שם וטלפון מצפה שהמידע יטופל בזהירות. חיבור מוצפן הוא התנאי הבסיסי לכך. אם הטופס נשלח בחיבור שאינו מוצפן, הדפדפן עלול להזהיר את הגולש לפני השליחה, ורוב הגולשים לא ימשיכו.
משרדי שירות מקצועי
אתרים של משרדי שירות, למשל משרד עורכי דין, מקבלים פניות שיכולות לכלול מידע רגיש. עליהם לשים לב במיוחד לשאלה אם החיבור מוצפן, איך הפניות נשמרות ומי יכול לגשת אליהן. מידע נוסף על השיקולים בתחום מופיע במדריך על אתר למשרד עורכי דין. כללי הפרסום והפרטיות משתנים, כדאי לבדוק את הנוסח העדכני אצל הגוף המקצועי או עם איש מקצוע.
בלי הבטחות משפטיות
המדריך לא קובע מה חובה ומה אסור לפי החוק, ואין בו טענות משפטיות. הדרישות משתנות מתחום לתחום ומעסק לעסק. מי שאוסף מידע אישי באתר, שומר אותו או משתמש בעוגיות, כדאי שיתייעץ עם איש מקצוע בנוגע לפרטיות ולתקנון.
מתי זה הופך לדחוף
אתר שבו הגולש מזין סיסמה, מספר כרטיס או מידע בריאותי נמצא בקטגוריה אחרת מאתר תדמית רגיל. במקרים כאלה ההצפנה היא תנאי בסיס, ולא תוספת נחמדה, וכדאי להתייעץ עם איש מקצוע על כל הנושאים הנלווים. אנחנו לא בונים חנות מקוונת כשירות, ולכן המדריך מתמקד באתרים שמציגים מידע ומקבלים פניות.
מה כדאי לבדוק באתר קיים
- האם הכתובת מתחילה ב-https בכל הדפים, ולא רק בדף הבית?
- האם הטופס שולח את הפרטים בחיבור מוצפן?
- האם תוקף התעודה מתחדש בזמן, ומי אחראי לכך?
- האם יש הפניה אוטומטית מכתובת ה-HTTP לכתובת ה-HTTPS?
גוגל וחיבור מאובטח: מה ידוע ומה אינו בטוח
לפי תיעוד גוגל לבעלי אתרים, כדאי לבדוק את הנוסח העדכני, ומומלץ להסתמך על המקור הרשמי ולא על שמועות. מה שאפשר לומר בבטחה הוא שאין הבטחה שחיבור מאובטח לבדו ישפר את הדירוג.
מה כן
חיבור מאובטח מקנה לגולש חוויה ברורה יותר: אין אזהרות, הטפסים נשלחים מוצפנים, והאתר נראה אמין יותר. זה יתרון בפני עצמו, גם בלי קשר לדירוג. גולש שנשאר באתר ופונה אליך שווה יותר מכל הבטחה על מקום בתוצאות.
מה לא בטוח
דירוג בגוגל תלוי בגורמים רבים: התוכן, המבנה, המהירות, הקישורים והתחרות. HTTPS הוא אחד מהם לכל היותר, ואף אחד לא יכול להבטיח מקום מסוים. מי שמבטיח אחרת לא אומר את האמת.
איך לחשוב על זה נכון
כדאי להפריד בין שני דברים: מה שגוגל אומר רשמית, ומה שמסתובב כשמועה בקבוצות ובפורומים. שמועות משתנות כל הזמן, ולעיתים הן מבוססות על מקרה אחד. כשמנסים להחליט על השקעה באתר, עדיף לבסס את ההחלטה על דברים שאפשר לבדוק: האם החיבור מוצפן, האם הגולש רואה אזהרה, האם האתר נטען מהר. אלה עניינים מעשיים שתשפיע עליהם ישירות, בלי תלות בהסברים על אלגוריתם.
איפה לקרוא עוד
התיעוד של גוגל לבעלי אתרים מתעדכן, ולכן הוא המקור המומלץ. אפשר להתחיל מהדף הראשי של חיפוש בגוגל ולחפש משם את הנושא הרלוונטי. הדרישות והנוסח הרשמי מתעדכנים, כדאי לבדוק נוסח עדכני ולהתייעץ עם איש מקצוע.
אבטחה אינה רק מנעול: מה עוד כדאי לבדוק
המנעול בדפדפן הוא רק חלק מהתמונה. אבטחה של אתר כוללת עוד כמה דברים בסיסיים שכדאי להכיר, גם בלי להיות מומחה.
עדכונים
באתרים שבנויים על מערכת ניהול עם תוספים, חשוב לעדכן את המערכת והתוספים באופן קבוע. גרסה ישנה היא נקודת תורפה נפוצה. באתר שבנוי מדפים מוכנים, ללא מערכת ניהול ותוספים, יש פחות חלקים שצריך לעדכן, ופחות מקומות שבהם משהו יכול להתיישן. אנחנו בונים ב-Astro בדיוק מהסיבה הזו: פחות חלקים נעים.
סיסמאות וגישה
סיסמאות חזקות, שונות בכל שירות, וגישה רק למי שצריך אותה. אם עובד או ספק עזב, מבטלים את הגישה שלו. אלה הרגלים פשוטים, אבל הם מונעים את רוב הבעיות.
גיבויים
ברמה כללית, כדאי שיהיה עותק של האתר ושל התוכן במקום אחר. כך אם משהו משתבש, אפשר להחזיר מצב קודם. אין צורך להיכנס לפרטים טכניים כדי לשאול את הספק אם יש גיבוי ומי אחראי עליו.
אבטחה ונגישות הן בדיקות נפרדות
אבטחה עוסקת בהגנה על החיבור ועל המידע, ונגישות עוסקת באפשרות של כל אחד להשתמש באתר. שני נושאים חשובים, אבל שונים. הסבר על ההבדלים בין אתר בפלטפורמה לבין אתר מאפס בנושא הנגישות נמצא במדריך על נגישות בפלטפורמה ובאתר מאפס.
אבטחה בשפה של בעל עסק
לא צריך להבין הצפנה כדי לשאול שאלות טובות. אפשר לשאול: מי יכול להיכנס לאתר ולשנות בו דברים? מה קורה אם הסיסמה נחשפת? כמה זמן ייקח לשחזר גרסה קודמת? אם אין תשובות ברורות, זה סימן שכדאי לבדוק עוד. בעל עסק לא חייב להיות מומחה, אבל הוא חייב לדעת למי לפנות.
אין הגנה מושלמת
לא מבטיחים הגנה מושלמת, כי אין דבר כזה. מה שאפשר לעשות הוא לצמצם סיכונים, לבדוק בקביעות ולדעת מה עושים כשמשהו משתבש.
מי מטפל בתעודה באתר חדש: שאלות לשאול לפני שמתחילים
לפני שמתחילים לבנות אתר חדש, כדאי לשאול כמה שאלות פשוטות ולקבל תשובות ברורות. שאלות אלה חוסכות הפתעות, ואפשר לשאול אותן כל בונה אתרים.
שאלות לשאול
- מי מנפיק את התעודה, ועל שם מי היא רשומה?
- מי מחדש אותה, ומה קורה אם החידוש נכשל?
- האם יש עלות נפרדת לתעודה או לחידוש שלה?
- האם הגישות לאתר ולחשבון האחסון נמצאות אצלי?
מה כלול אצלנו
אצל SZ כל הגישות והשליטה נמצאות אצל הלקוח, ואין דמי אחסון. אנחנו נותנים 3 חודשי אחריות לתיקונים טכניים, אם הציון יורד בגלל תקלה שלא נגרמה משינוי של הלקוח בקוד. ללקוח יש איש קשר אחד לאורך כל הדרך. פרטים נוספים על הגישה שלנו אפשר לראות בעמוד הבית של SZ.
למה כדאי לברר את זה מראש
הרבה בעיות של אתרים נולדות מכך שאף אחד לא ידע מי אחראי. הבונה סבר שהספק מטפל, הספק סבר שהבעלים מטפל, והבעלים לא ידע שיש מה לטפל. כשמבררים מראש וכותבים את התשובות, אין צורך להתווכח כשהתעודה פגה. זה פשוט כמו לדעת מי מחזיק מפתח לדלת: חשוב שיהיה ברור, ושיהיה גם עותק אחד אצלך.
רשימת בדיקה קצרה לפני השקה
- הכתובת נפתחת ב-https בכל הדפים.
- אין הודעת אזהרה בדפדפן.
- הטופס שולח את הפרטים בחיבור מוצפן.
- ברור מי מחדש את התעודה ומתי.
- הגישות נמצאות אצל בעל האתר.
רוצה לוודא שהאתר שלך נבנה נכון מהיסוד?
אם אתה שוקל לבנות אתר חדש או לבנות מחדש אתר ישן, כדאי לדבר על הדברים האלה כבר בהתחלה. חיבור מאובטח, תעודה שמתחדשת בזמן וגישות שנמצאות אצלך הם חלק מהבסיס. דבר איתנו, ונבין יחד מה העסק שלך צריך.
המאמר נכתב בעזרת בינה מלאכותית, ונערך ואושר על ידי סלבה זמסקי, המייסד של SZ.