Suojattu TLS-yhteys (entiseltä nimeltään SSL-yhteys) tarkoittaa tietoliikenteen salaamista verkkokaupan käyttäjän tietokoneen ja verkkokaupan palvelimen (kotisivutilan) välillä. Verkkoselaimessa näkyy tällöin lukon kuva ja verkkoselaimen osoiterivin alussa näkyy https:// eikä http://.
Suojattu yhteys on tänä päivänä käytännössä pakollinen. Sillä on verkkokaupankäynnin kannalta useita etuja:
Clover Shop on yhteensopiva kaikkien nykyisten ja tulevien yhteyksien kanssa. Yhteyden luominen on palvelimen ja verkkoselaimen välinen asia. Toisin sanoen on aivan sama, mitä salausalgoritmia tietoliikenteen salaamisessa käytetään.
Suojattu yhteys on ollut aiemmin kallis, mutta ei enää. Nykyisin yhä useampi www-palveluntarjoaja tukee ilmaisia sertifikaatteja, kuten ZeroSSL ja Let's Encrypt.
Voit ottaa suojatun yhteyden käyttöön webhotellisi hallintapaneelista tai webhotellisi ohjeita noudattamalla. Kun suojattu yhteys on otettu käyttöön, niin päivitä verkkokaupan hallintaliittymän asetukset / asennus -kohdassa olevat www-osoitteet https-alkuisiksi.
Suojattu yhteys toimii, kun verkkoselaimen osoiterivin alussa näkyy https:// ja selain näyttää osoiterivin läheisyydessä ehjän lukon kuvan.
Suojattu yhteys kannattaa ottaa käyttöön niin, että palvelimella olevia tiedostoja voidaan kutsua sekä http- että https-yhteydellä ja http-yhteydestä tehdään automaattinen 301-uudelleenohjaus https-yhteyteen.
301-uudelleenohjaus otetaan käyttöön lisäämällä verkkokaupan .htaccess-tiedoston IfModule-osion RewriteEngine On -rivin jälkeen nämä rivit:
# non-SSL to SSL
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
Jos uudelleenohjaus ei toimi tai se lähtee kiertämään, kokeile vaihtoehtoista tapaa:
# non-SSL to SSL
RewriteCond %{ENV:HTTPS} !on
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
Jos uudelleenohjaus ei vieläkään toimi tai se lähtee jälleen kiertämään, kokeile vaihtoehtoista tapaa:
# non-SSL to SSL
RewriteCond %{HTTP:X-Forwarded-Proto} !https
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
Uudelleenohjauksen toimivuus kannattaa varmistaa sulkemalla verkkoselain, avaamalla selain uudelleen ja kokeilemalla Google-hakua. Googlessa on nimittäin vanhastaan http-alkuisia hakutuloksia. Hakutuloksen klikkaamisen jälkeen verkkoselaimen osoiterivin alussa pitää näkyä https://. Google päivittää hakutulokset myöhemmin https-alkuisiksi.
Seuraavaksi kannattaa tarkistaa, ettei verkkoselain varoita suojauksesta, eli että selaimen osoiterivin läheisyydessä näkyvä lukon kuva on ehjä. Jos selain varoittavat suojauksesta, niin syynä voi olla rikkinäinen SSL-sertifikaatti tai suojaamaton sisältö verkkokaupan sivuilla. Suojaamaton sisältö voi tarkoittaa käytännössä esimerkiksi sitä, että verkkokaupan logo ladataan http-yhteydellä. Tarkista, että ensinnäkin selaimen osoiterivillä näkyy täsmälleen verkkokaupan www-osoite eikä jotain sinne päin. Jokin muu osoite voi nimittäin aiheuttaa suojausvaroituksen. Suojaamaton sisältö voidaan muuttaa suojatuksi vaihtamalla http-alkuiset www-osoitteet https-alkuisiksi verkkokaupan hallintaliittymän asetukset / koodit ja ulkoasu -kohdan kautta.
Seuraavaksi kannattaa lisätä Google Search Consoleen sekä http- että https-alkuiset www-osoitteet (esim. http://www.example.com ja https://www.example.com). Näin voit seurata ja varmistaa, että Google korvaa http-alkuiset hakutulokset https-alkuisilla hakutuloksilla. Jos olet lisännyt verkkosivustosi Search Consolen verkkotunnusominaisuutta ↗ käyttämällä, niin tätä lisäystä ei tarvitse tehdä.
Lopuksi kannattaa harkita HTTP Strict Transport Security (HSTS) -menetelmän käyttöönottoa. Kyseessä on yleistä turvallisuutta parantava menetelmä. Sen on sanottu myös parantavan hakukonenäkyvyyttä. Kun HSTS on käytössä, niin selaimet pakottavat suojaamattoman pyynnön suojatuksi riippumatta siitä, onko edellä mainittu 301-uudelleenohjaus tehty. HSTS voidaan ottaa käyttöön joko kotisivutilan www-palveluntarjoajan hallintapaneelista tai lisäämällä verkkokaupan .htaccess-tiedoston IfModule-osion RewriteEngine On -rivin jälkeen nämä rivit:
Header set Strict-Transport-Security "max-age=2628000" env=HTTPS
Asiakaskirjeen tilaajana saat sähköpostitse tärkeitä asiakastiedotteita noin 2-5 kertaa vuodessa. Asiakaskirjeen tilaaminen on tärkeää, jos käytät ohjelmistoa.