ถ้าลูกค้าเปิดเว็บของคุณแล้วเห็นคำว่า "ไม่ปลอดภัย" ข้างชื่อเว็บ หลายคนจะปิดทิ้งทันทีโดยไม่อ่านต่อ ต้นเหตุมักเป็นเรื่องเดียว คือเว็บยังไม่มี SSL บทความนี้อธิบายว่า SSL คืออะไร HTTPS ทำงานอย่างไร ทำไมจำเป็นกับทุกเว็บ และขอใบรับรองแบบฟรีได้อย่างไร
SSL คืออะไร
SSL (ปัจจุบันเทคโนโลยีที่ใช้จริงคือ TLS แต่คนส่วนใหญ่ยังเรียกว่า SSL) คือการเข้ารหัสข้อมูลที่ส่งระหว่างเบราว์เซอร์ของผู้ใช้กับเซิร์ฟเวอร์ของเว็บ ทำให้คนที่ดักข้อมูลระหว่างทาง เช่น บน Wi-Fi สาธารณะ อ่านไม่ออกและแก้ไขไม่ได้
เว็บที่ติดตั้ง SSL แล้วจะ
- เปลี่ยนที่อยู่จาก
http://เป็นhttps://(S ย่อมาจาก Secure) - แสดงไอคอนกุญแจหรือไอคอนการตั้งค่าที่ระบุว่าการเชื่อมต่อปลอดภัยข้างชื่อเว็บ
- มี ใบรับรอง (Certificate) ที่ออกโดยหน่วยงานที่เบราว์เซอร์เชื่อถือ ยืนยันว่าเว็บนี้เป็นเจ้าของโดเมนนั้นจริง
HTTPS ปกป้องอะไรบ้าง
- ความลับของข้อมูล ข้อมูลในฟอร์ม เช่น ชื่อ เบอร์โทร อีเมล ถูกเข้ารหัสระหว่างทาง
- ความถูกต้องของเนื้อหา ป้องกันไม่ให้ใครแทรกโฆษณาหรือโค้ดแปลกปลอมระหว่างทาง
- การยืนยันตัวตน ผู้ใช้มั่นใจได้ว่ากำลังคุยกับเว็บที่ตั้งใจเข้าจริง
สิ่งที่ HTTPS ไม่ได้ป้องกัน คือช่องโหว่ภายในเว็บเอง เช่น รหัสผ่านผู้ดูแลที่เดาง่าย หรือปลั๊กอินที่ไม่ได้อัปเดต SSL เป็นเพียงพื้นฐานชั้นแรก ไม่ใช่ความปลอดภัยทั้งหมด ดูเรื่องที่ต้องทำเพิ่มได้ในพื้นฐานความปลอดภัยเว็บไซต์
ทำไม SSL จำเป็นกับทุกเว็บ แม้ไม่มีระบบชำระเงิน
หลายคนเข้าใจว่า SSL จำเป็นเฉพาะเว็บที่รับบัตรเครดิต แต่ปัจจุบันเป็นมาตรฐานของทุกเว็บ ด้วยเหตุผลเหล่านี้
| ประเด็น | เว็บที่ไม่มี SSL (HTTP) | เว็บที่มี SSL (HTTPS) |
|---|---|---|
| สิ่งที่ผู้ใช้เห็น | เบราว์เซอร์แสดงว่า "ไม่ปลอดภัย" | แสดงว่าการเชื่อมต่อปลอดภัย |
| ฟอร์มติดต่อ | ข้อมูลส่งแบบไม่เข้ารหัส | ข้อมูลถูกเข้ารหัส |
| SEO | เสียเปรียบ | Google ใช้ HTTPS เป็นสัญญาณหนึ่งในการจัดอันดับ |
| ฟีเจอร์ใหม่ของเบราว์เซอร์ | หลายอย่างใช้ไม่ได้ | ใช้ได้ครบ |
| ความน่าเชื่อถือ | ลูกค้าลังเล | เป็นสิ่งที่ลูกค้าคาดหวังอยู่แล้ว |
ผลต่อความน่าเชื่อถือ
คำเตือน "ไม่ปลอดภัย" ไม่ได้บอกผู้ใช้ว่าความเสี่ยงคืออะไร ผู้ใช้ทั่วไปจึงตีความว่าเว็บนี้อันตราย แม้เป็นเว็บแนะนำบริษัทธรรมดา ผลคือคนกรอกฟอร์มน้อยลงและภาพลักษณ์ธุรกิจเสียโดยไม่จำเป็น
ผลต่อ SEO
Google ระบุมานานแล้วว่า HTTPS เป็นปัจจัยหนึ่งในการจัดอันดับ แม้ไม่ใช่ปัจจัยหลักที่ทำให้ติดอันดับได้เอง แต่ การไม่มี HTTPS คือการเสียคะแนนพื้นฐานที่คู่แข่งส่วนใหญ่มีแล้ว
ขอใบรับรอง SSL ฟรีได้อย่างไร
ปัจจุบันใบรับรองแบบยืนยันโดเมน (Domain Validation) มีแบบฟรีที่ได้รับการยอมรับในทุกเบราว์เซอร์หลัก หลักการทำงานคือ
- ผู้ให้บริการใบรับรองตรวจว่าคุณควบคุมโดเมนนั้นจริง โดยให้วางไฟล์บนเว็บหรือเพิ่มข้อมูลในการตั้งค่า DNS
- เมื่อยืนยันผ่าน จะออกใบรับรองให้ติดตั้งบนเซิร์ฟเวอร์
- ใบรับรองมีอายุจำกัด ระบบที่ดีจะ ต่ออายุอัตโนมัติ ก่อนหมดอายุ
ช่องทางที่พบบ่อย
- โฮสติ้งส่วนใหญ่มีปุ่มเปิดใช้ SSL ฟรีในหน้าจัดการ
- บริการ CDN หลายรายให้ใบรับรองพร้อมการตั้งค่าโดเมน
- แพลตฟอร์มทำเว็บสำเร็จรูปมักเปิดให้อัตโนมัติ
ใบรับรองแบบเสียเงินยังมีประโยชน์ในบางกรณี เช่น องค์กรที่ต้องการให้ระบุข้อมูลบริษัทในใบรับรอง แต่สำหรับเว็บธุรกิจทั่วไป ใบรับรองฟรีให้การเข้ารหัสระดับเดียวกัน
ถ้าเว็บเดิมยังไม่มี HTTPS และมีปัญหาอื่นร่วมด้วย เช่น โหลดช้าหรือแสดงผลบนมือถือไม่ดี อาจคุ้มกว่าที่จะทำเว็บไซต์ใหม่
ติดตั้งแล้ว ต้องตรวจอะไรต่อ
- บังคับ redirect จาก HTTP ไป HTTPS ทุกหน้า ไม่ให้มีสองเวอร์ชันซ้อนกัน
- ตรวจว่ารูปหรือสคริปต์ในเว็บไม่ได้โหลดจาก
http://(เรียกว่า mixed content) ซึ่งทำให้กุญแจหาย - ตั้งการแจ้งเตือนก่อนใบรับรองหมดอายุ หากระบบไม่ต่ออายุให้อัตโนมัติ
- อัปเดตที่อยู่เว็บใน Google Search Console และโปรไฟล์โซเชียลให้เป็น HTTPS
SSL เป็นแค่ด่านแรกของความปลอดภัย การต่ออายุ สำรองข้อมูล และอัปเดตระบบอย่างสม่ำเสมอคือสิ่งที่ทำต่อเนื่อง ซึ่งรวมอยู่ในบริการดูแลเว็บไซต์รายเดือน
สรุป
SSL คือการเข้ารหัสการเชื่อมต่อระหว่างผู้ใช้กับเว็บ ทำให้เว็บเป็น HTTPS และมีสัญลักษณ์ว่าปลอดภัย เป็นมาตรฐานที่ทุกเว็บควรมี ไม่ว่าจะขายของหรือไม่ เพราะช่วยทั้งความน่าเชื่อถือ ความปลอดภัยของข้อมูลในฟอร์ม และ SEO พื้นฐาน และขอได้ฟรีผ่านโฮสติ้งหรือ CDN ส่วนใหญ่
เว็บของคุณยังขึ้นคำเตือน "ไม่ปลอดภัย" อยู่หรือเปล่า ดูบริการพัฒนาเว็บไซต์ หรือปรึกษาเราฟรี