Suojattu yhteys (SSL)

Suojattu TLS-yhteys (entiseltä nimeltään SSL-yhteys) tarkoittaa tietoliikenteen salaamista verkkokaupan käyttäjän tietokoneen ja verkkokaupan palvelimen (kotisivutilan) välillä. Suojatulla yhteydellä on verkkokaupankäynnin kannalta useita etuja:

• tilaustiedot, asiakastiedot ja salasanat salataan kumpaankin suuntaan
• hakukonenäkyvyys paranee
• verkkokauppa näyttää luotettavammalta

Clover Shop on yhteensopiva kaikkien nykyisten ja tulevien yhteyksien kanssa. Yhteyden luominen on palvelimen ja verkkoselaimen välinen asia. Toisin sanoen on aivan sama, mitä salausalgoritmia tietoliikenteen salaamisessa käytetään.

Kustannukset

Suojattu yhteys on ollut aiemmin kallis, mutta ei enää. Nykyisin yhä useampi www-palveluntarjoaja tukee ilmaisia Let's Encrypt -sertifikaatteja.

Käyttöönotto

Suojattu yhteys voidaan ottaa käyttöön kotisivutilan www-palveluntarjoajan hallintapaneelista tai www-palveluntarjoajan ohjeita noudattamalla. Tämän jälkeen verkkokaupan hallintaliittymän asetukset / asennus -kohdassa olevat www-osoitteet on päivitettävä https-alkuisiksi.

Suojattu yhteys toimii, kun verkkoselaimen osoiterivin alussa näkyy https:// ja selain näyttää osoiterivin läheisyydessä ehjän lukon kuvan.

Teknisiä vinkkejä (vapaaehtoisia)

Suojattu yhteys kannattaa ottaa käyttöön niin, että palvelimella olevia tiedostoja voidaan kutsua sekä http- että https-yhteydellä ja http-yhteydestä tehdään automaattinen 301-uudelleenohjaus https-yhteyteen.

301-uudelleenohjaus otetaan käyttöön lisäämällä verkkokaupan .htaccess-tiedoston IfModule-osion RewriteEngine On -rivin jälkeen nämä rivit:

# non-SSL to SSL
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Jos uudelleenohjaus ei toimi tai se lähtee kiertämään, kokeile vaihtoehtoista tapaa:

# non-SSL to SSL
RewriteCond %{ENV:HTTPS} !on
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Jos uudelleenohjaus ei vieläkään toimi tai se lähtee jälleen kiertämään, kokeile vaihtoehtoista tapaa:

# non-SSL to SSL
RewriteCond %{HTTP:X-Forwarded-Proto} !https
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Uudelleenohjauksen toimivuus kannattaa varmistaa sulkemalla verkkoselain, avaamalla selain uudelleen ja kokeilemalla Google-hakua. Googlessa on nimittäin vanhastaan http-alkuisia hakutuloksia. Hakutuloksen klikkaamisen jälkeen verkkoselaimen osoiterivin alussa pitää näkyä https://. Google päivittää hakutulokset myöhemmin https-alkuisiksi.

Seuraavaksi kannattaa tarkistaa, ettei verkkoselain varoita suojauksesta, eli että selaimen osoiterivin läheisyydessä näkyvä lukon kuva on ehjä. Jos selain varoittavat suojauksesta, niin syynä voi olla rikkinäinen SSL-sertifikaatti tai suojaamaton sisältö verkkokaupan sivuilla. Suojaamaton sisältö voi tarkoittaa käytännössä esimerkiksi sitä, että verkkokaupan logo ladataan http-yhteydellä. Tarkista, että ensinnäkin selaimen osoiterivillä näkyy täsmälleen verkkokaupan www-osoite eikä jotain sinne päin. Jokin muu osoite voi nimittäin aiheuttaa suojausvaroituksen. Suojaamaton sisältö voidaan muuttaa suojatuksi vaihtamalla http-alkuiset www-osoitteet https-alkuisiksi verkkokaupan hallintaliittymän asetukset / koodit ja ulkoasu -kohdan kautta.

Seuraavaksi kannattaa lisätä Google Search Consoleen sekä http- että https-alkuiset www-osoitteet (esim. http://www.example.com ja https://www.example.com). Näin voidaan seurata ja varmistaa, että Google korvaa http-alkuiset hakutulokset https-alkuisilla hakutuloksilla.

Lopuksi kannattaa harkita HTTP Strict Transport Security (HSTS) -menetelmän käyttöönottoa. Kyseessä on varsin uusi yleistä turvallisuutta parantava menetelmä. Sen on sanottu myös parantavan hakukonenäkyvyyttä. Kun HSTS on käytössä, niin selaimet pakottavat suojaamattoman pyynnön suojatuksi riippumatta siitä, onko edellä mainittu 301-uudelleenohjaus tehty. HSTS voidaan ottaa käyttöön joko kotisivutilan www-palveluntarjoajan hallintapaneelista tai lisäämällä verkkokaupan .htaccess-tiedoston IfModule-osion RewriteEngine On -rivin jälkeen nämä rivit:

Header set Strict-Transport-Security "max-age=2628000" env=HTTPS