SSL (https)

SSL กับ TLS และ https คือสิ่งเดียวกันไหม

ใช้ในความหมายเกือบเดียวกัน SSL เป็นชื่อของเทคโนโลยีรุ่นเก่า ส่วนที่ใช้จริงในปัจจุบันคือ TLS ซึ่งเป็นรุ่นถัดมา แต่คนยังเรียกด้วยชื่อ SSL ที่คุ้นเคยกันต่อไป

https คือรูปแบบที่อยู่เว็บไซต์ (http) ที่เพิ่มการเข้ารหัสนี้เข้าไป เมื่อติด “ใบรับรอง SSL” ให้เว็บไซต์ ที่อยู่จะเปิดเป็น https

ใบรับรองเป็นทั้งกุญแจเข้ารหัส และเป็นตราประทับยืนยันว่า “เป็นเจ้าของที่อยู่นี้จริง” เบราว์เซอร์ของลูกค้าจะดูใบรับรองเพื่อยืนยันว่าที่อยู่เป็นของจริง แล้วจึงสร้างการเชื่อมต่อที่เข้ารหัส

ดังนั้นเวลาบริษัทรับทำเว็บไซต์พูดว่า “ติดตั้ง SSL” “ตั้งค่า TLS” หรือ “เปลี่ยนเป็น https” ให้เข้าใจได้เลยว่าส่วนใหญ่หมายถึงงานเดียวกัน สิ่งที่คุณควรตรวจไม่ใช่ชื่อเทคโนโลยี แต่คือเมื่อลูกค้าเปิดที่อยู่แล้วขึ้นเป็น https โดยไม่มีคำเตือนหรือไม่

ใบรับรอง SSL แบบฟรีกับแบบเสียเงินต่างกันอย่างไร

ระดับการเข้ารหัสเท่ากันทั้งแบบฟรีและแบบเสียเงิน ความต่างอยู่ที่ตอนออกใบรับรองว่า “ตรวจสอบถึงระดับไหน” ใบรับรองฟรีจะตรวจอัตโนมัติแค่ว่าเป็นเจ้าของที่อยู่หรือไม่ ส่วนใบรับรองราคาแพงจะตรวจเอกสารไปถึงว่าบริษัทมีอยู่จริงหรือไม่

สมัยก่อน ถ้าใช้ใบรับรองที่ผ่านการตรวจบริษัทแล้ว ชื่อบริษัทจะแสดงเป็นสีเขียวตัวใหญ่ในแถบที่อยู่ แต่ตอนนี้เบราว์เซอร์หลัก ๆ แทบเลิกแสดงสัญลักษณ์พิเศษแบบนั้นไปแล้ว ร้านในละแวกบ้านหรือร้านค้าออนไลน์ทั่วไปส่วนใหญ่จึงใช้ใบรับรองฟรีก็เพียงพอ

ผู้ออกใบรับรองฟรีที่เป็นที่รู้จักคือ Let’s Encrypt บริษัทโฮสติ้งและแพลตฟอร์มดีพลอยจำนวนมากจะติดตั้งและต่ออายุใบรับรองฟรีแบบนี้ให้อัตโนมัติ

กรณีที่ควรพิจารณาใบรับรองแบบเสียเงินมีแค่ตอนที่คู่ค้าหรือเอกสารประมูลกำหนดให้ใช้ใบรับรองบางประเภท ถ้าไม่มีข้อกำหนดแบบนั้น การต่ออายุอัตโนมัติที่ทำงานแน่นอนสำคัญต่อประสบการณ์ของลูกค้ามากกว่าใบรับรองราคาแพง

ใบรับรอง SSL มีอายุนานแค่ไหน และทำไมถึงหมดอายุ

ใบรับรองใช้ได้แค่ช่วงเวลาหลายเดือนไปจนถึงไม่ถึง 1 ปี และมีแนวโน้มสั้นลงเรื่อย ๆ ตั้งใจทำให้สั้นเพื่อลดระยะเวลาความเสียหายหากกุญแจรั่วไหล

เช่น ปัจจุบัน Let’s Encrypt ออกใบรับรองอายุ 90 วัน และประกาศแผนลดเหลือ 64 วันตั้งแต่เดือน 2 ปี 2027 และเหลือ 45 วันตั้งแต่เดือน 2 ปี 2028 เป็นรอบที่คนจะต่ออายุเองด้วยมือทุกครั้งได้ยาก การต่ออายุอัตโนมัติจึงแทบเป็นสิ่งจำเป็น

ดังนั้นการตรวจว่า “กำลังต่ออายุอัตโนมัติอยู่หรือไม่” สำคัญกว่า “ซื้อใบรับรองแล้วหรือยัง” ถ้าการต่ออายุอัตโนมัติหยุดไปด้วยเหตุผลใดก็ตาม วันถัดจากวันหมดอายุ หน้าจอของลูกค้าจะขึ้นคำเตือนทันที

ปกติโฮสติ้งหรือแพลตฟอร์มดีพลอยจะต่ออายุอัตโนมัติให้เอง แต่หลังเปลี่ยนการตั้งค่าการเชื่อมโดเมนหรือย้ายบริษัท บางครั้งการต่ออายุก็หยุดไปเงียบ ๆ หลังมีการเปลี่ยนแปลงใหญ่ ลองตรวจสักครั้งว่าวันหมดอายุของใบรับรองขยายออกไปใหม่แล้ว จะได้สบายใจ

มี SSL แล้วป้องกันการแฮ็กได้ด้วยไหม

ไม่ได้ SSL ปกป้องเฉพาะ “เส้นทางที่รับส่งข้อมูล” ระหว่างลูกค้ากับเว็บไซต์ เป็นกลไกที่ป้องกันไม่ให้ชื่อและเบอร์โทรที่ลูกค้ากรอกในฟอร์มติดต่อถูกแอบดูหรือถูกแก้ไขระหว่างทาง แต่ไม่ได้ปกป้องตัวเซิร์ฟเวอร์เว็บไซต์หรือบัญชีผู้ดูแล

ดังนั้นแม้จะเป็นเว็บไซต์ https ถ้ารหัสผ่านผู้ดูแลรั่วไหล หรือโปรแกรมเก่ายังมีช่องโหว่ค้างอยู่ ก็ยังถูกแฮ็กได้ ความปลอดภัยของเซิร์ฟเวอร์และหน้าผู้ดูแลต้องดูแลแยกด้วยการอัปเดต การจัดการรหัสผ่าน และการสำรองข้อมูล

ในมุมของลูกค้าเอง ก็ไม่ใช่ว่า “เป็น https แล้วเชื่อถือได้เสมอ” เว็บไซต์ปลอมก็ขอใบรับรองฟรีได้ จึงต้องดูด้วยว่าที่อยู่ถูกต้องไหม เวลาร้านส่งลิงก์ชำระเงินหรือลิงก์จองทาง SMS ถ้าใช้ที่อยู่หลักเดิมเสมอ ลูกค้าจะไม่สับสน

เปลี่ยนเว็บไซต์จาก http เป็น https ทำอย่างไร

แค่ติดใบรับรองยังไม่จบ ต้องจัดการให้ลูกค้าและเครื่องมือค้นหาที่เข้ามาทางที่อยู่ http เดิมย้ายไปยัง https อย่างราบรื่นด้วย ถ้าลืมขั้นตอนนี้ หน้าเดียวกันอาจแยกเป็น 2 ที่อยู่ หรือมีคำเตือนปะปนขึ้นมา

ถ้าย้ายอย่างถูกต้อง การแสดงผลในการค้นหาเดิมส่วนใหญ่จะยังคงอยู่ Google แจ้งว่าถ้าเนื้อหาเดียวกันเปิดได้ทั้งทาง http และ https โดยทั่วไปจะเลือกที่อยู่ https เป็นที่อยู่หลัก ขอแค่ตั้งการเชื่อมแบบ 301 ไว้ครบ ผลการค้นหาก็จะย้ายไปที่อยู่ https เองอย่างเป็นธรรมชาติ

1. 01ขอให้โฮสติ้งหรือบริษัทรับทำเว็บไซต์ออกใบรับรองและตั้งค่าการต่ออายุอัตโนมัติ
2. 02ตรวจว่าทั้งที่อยู่หลักและที่อยู่ www เปิดเป็น https
3. 03ตั้งให้การเข้ามาทาง http เชื่อมไปยัง https อัตโนมัติ (รีไดเรกต์ 301)
4. 04เปลี่ยนที่อยู่ของรูปภาพ · วิดีโอ · ลิงก์ภายในหน้าเป็น https ด้วย ถ้าเหลือ http แม้แต่จุดเดียว จะเกิดคำเตือน “เนื้อหาแบบผสม (Mixed content)”
5. 05ตรวจว่าที่อยู่เว็บไซต์ที่ลงทะเบียนไว้ใน Google Search Console และ Naver Search Advisor เป็น https
6. 06เปลี่ยนลิงก์ใน QR บนนามบัตร · โฆษณา · โปรไฟล์โซเชียลมีเดียเป็นที่อยู่ https

ทำไมถึงขึ้นคำเตือน “ไม่ปลอดภัย”

ส่วนใหญ่ขึ้นเมื่อใบรับรองหมดอายุ ที่อยู่ในใบรับรองไม่ตรงกับที่อยู่จริง หรือในหน้ามีไฟล์ที่โหลดผ่าน http ปนอยู่ ถ้าวันที่และเวลาในอุปกรณ์ของลูกค้าคลาดเคลื่อน ก็อาจขึ้นคำเตือนคล้าย ๆ กัน

แต่ละเบราว์เซอร์ยังแสดงผลต่างกันด้วย เช่น Chrome บางครั้งแสดงไอคอนรูปอื่นแทนแม่กุญแจแม้เป็นที่อยู่ที่ปลอดภัย ไม่เห็นแม่กุญแจจึงไม่ได้แปลว่ามีปัญหาเสมอไป วิธีที่ชัวร์คือดูว่าที่อยู่ขึ้นต้นด้วย https และไม่มีข้อความเตือน

ถ้าพบคำเตือน ให้แคปหน้าจอว่าขึ้นที่ที่อยู่ไหน อุปกรณ์อะไร ข้อความว่าอะไร แล้วส่งให้ผู้รับทำเว็บไซต์ ถ้าเป็นปัญหาเร่งด่วนอย่างใบรับรองหมดอายุ ลูกค้าอาจจองหรือติดต่อไม่ได้อยู่ จึงควรแจ้งทันที

• ใบรับรองครอบคลุมทั้งที่อยู่ www และที่อยู่หลักหรือไม่
• เปิดการต่ออายุอัตโนมัติไว้หรือไม่ และถ้าล้มเหลวใครจะได้รับแจ้งเตือน
• ในหน้ามีรูปภาพหรือไฟล์ที่โหลดผ่าน http หรือไม่