Продажа воздуха или как зарабатывать на продажах SSL-сертификатов

В 2017 году Google решил, что интернет нужно сделать безопаснее и предупредил, что сайты без SSL-сертификатов будут помечаться как небезопасные, со всеми вытекающими. Сами сертификаты существовали и ранее, так как сама технология известна и принялась банками для создания защищенных соединений ещё задолго до 2017 года. Но с этого периода продажа SSL-сертификатов приобрела массовый характер.

Что из себя представляет SSL-сертификат и в целом принцип защищенного HTTPS соединения

Когда вы открываете любой сайт, технически это означает что вы через протокол, который так и называется - протокол передачи гипертекста, получаете данные с сервера. И аналогично это работает в обратную сторону, с помощью браузера вы отправляете свои данные на сервер. HTTPS это фактически надстройка над протоколом HTTP, которая означает что данные, что вы отправляете на сервер и забираете с него - зашифрованы.

Зачем это нужно? Есть такое понятие как MITM, означает как “Человек посередине”. Это означает, что весь трафик с вашего компьютера будет сначала проходить через посредника, а уже после отправляться по назначению. А учитывая, что протокол HTTP предоставляет данные в открытом виде, то злоумышленник может без проблем получить важные данные, например, данные ваших банковских карт, логины и пароли к вашим учетным данным, например, к почте, или к банковскому аккаунту. 

SSL-сертификат это два разных ключа, один называется публичным и по сути, он доступен всем, второй называется приватным и он доступен только серверу для которого он выпускается. Метод шифрования который используется называется асинхронным, так как он позволяет зашифровать данные приватным ключом, а расшифровать публичным. Удобство данного метода в том, что если сообщение можно расшифровать публичным ключом, то вы можете быть уверены в отправителе, то есть это как криптографический паспорт источника.

Сам обмен ключами работает не быстро, поэтому браузер для обмена получает от сервера сессионный ключ, который является симметричным (шифруется и расшифровывается тем же ключом), и все данные уже шифруются в рамках этой сессии. При каждой новой сессии ключ обновляется.

Для чего нужны центры сертификации

Статья

Где продавать в 2026 году: сайт или маркетплейс

Ключ SSL можно сгенерировать самостоятельно, для этого достаточно использовать специальную программу, или даже сделать это онлайн, например, здесь https://www.selfsignedcertificate.com/. Такие сертификаты называются самоподписанными, и сложность с ними в том, что хоть данные шифруются, но не понятно, можно ли доверять источнику.

Для этого нужны центры сертификации, по сути их задача, хранить у себя в базе созданные SSL-ключи и сопоставлять их с доменами, которым они были выданы. Это решает две проблемы, во-первых если кто-то украл ваш сертификат и поставил его на сайт, через центр можно проверить (браузер делает это автоматически), не ворованный ли у вас сертификат. Во-вторых сами центры предоставляют дополнительные услуги по валидации владельца сертификата. 

Виды валидации бывают трёх типов:

1. DV - проверен только домен которому принадлежит сертификат

2. OV - проверена организация и домен сертификата

3. EV  - организация проверена с пристрастием и проверен домен

Для простоты можно считать, что сертификаты выдаются с проверкой только домена, или домен + организация.

Так в чем суть продажи воздуха?

С вводной информацией разобрались, теперь к сути темы. Технически сертификат DV не отличается от сертификатов OV и EV. А это значит, что на сертификатах выданных с проверкой организации шифрование работает так же как при проверке домена.

Смысл приобретать сертификат к проверкой организации есть только в случае, когда вам важно показать вашим пользователям, что организация проверена. Но по правде, когда вы в последний раз заглядывали сюда?

Более того, Google отказывается от практики показывания информации о компании для EV-сертификат, что в целом сводит практику их использования на нет. Кому интересно, про это есть статья на Хабр: https://habr.com/ru/company/globalsign/news/t/464159/

Итого мы получаем, что для организации шифрования сайта достаточно использовать DV-сертификат. К тому же он ещё как правило самый дешевый. Но на минуточку, что значит дешевый? За что вообще платят пользователи, когда покупают DV-сертификат? Они платят за хранение информации о выпущенном сертификате в центре.

И сколько стоит хранение строк на сервере? К примеру, смотрим цены на GeoTrust RapidSSL:

Один из крупных хостинг-провайдеров предлагает получить данный сертификат за 38,4 рублей или 19$

Второй за 36 рублей, 18$.

А что за пределами синеокой?

Гуглим - https://www.gogetssl.com/rapidssl/ 7$

https://firstssl.ru/ssl/rapidssl/rapidssl 13$

Можно предположить, что цена на сертификат формируется на основе жадности продавца, так например наши хостинг-провайдеры, продают сертификаты в два раза дороже. При этом технически разницы между сертификатом за 7$ и за 18$ не будет.

А можно вообще не платить?

Да, есть несколько инициатив, которые выпускают DV-сертификаты бесплатно. Я расскажу про Let’s encrypt, так как сам работаю с этими сертификатами.

Let’s Encrypt — центр сертификации который выдаёт бесплатные сертификаты с конца 2015 года.

Процесс получения сертификата очень простой, но требует минимальных знаний консольных команд Linux. Посмотрите сами, чтобы получить сертификат нужно ввести по очереди следующие команды:

1. sudo apt-get update

2. sudo apt-get install software-properties-common

3. sudo add-apt-repository universe

4. sudo add-apt-repository ppa:certbot/certbot

5. sudo apt-get update

6. sudo apt-get install certbot python-certbot-nginx

7. sudo certbot --nginx

Потом выбрать сайт, к которому нужно выпустить сертификат, и нажать пару раз “Да”.

Суммарно это занимает несколько минут и экономит 10-20$ в год. Сертификат выдаётся сроком на три месяца (это сделано специально чтобы постоянно проверять ваш домен) и при установке можно настроить автоматическое продление.

Для популярных панелей управления хостингом, CPanel и ISPpanel предусмотрены модули, которые в пару кликов позволяют получить сертификат на домен. Например, в ISP это так:

Платформа e-commerce на Laravel» Nineseven

Готовая e-commerce-платформа на Laravel для быстрого запуска и роста

Вместо выводов

За некоторые сертификаты наши хостинги просят по 180$, 360$ в год, при этом обычно они не афишируют информацию, описанную в этой статьей, кроме фактов вроде “Защити свой сайт” и т.д. Теперь вы можете принять взвешенное решение, на что тратить деньги.