Comment décider où acheter un certificat SSL générique?

Récemment, j’ai eu besoin d’acheter un certificat SSL générique (car j’ai besoin de sécuriser un certain nombre de sous-domaines) et, lorsque j’ai cherché pour la première fois où en acheter un, j’étais submergé par le nombre de choix, d’allégations marketing et la fourchette de prix. J'ai créé une liste pour m'aider à faire comprendre aux gimmicks marketing que la plus grande majorité des autorités de certification (AC) recouvre leurs sites. En conclusion, ma conclusion personnelle est que les seules choses qui importent sont le prix et la convivialité du site Web de l'AC.

Question: Outre le prix et un site Web agréable, y a-t-il quelque chose qui mérite ma considération pour décider où acheter un certificat SSL générique?

Je pense qu'en ce qui concerne le choix d'un certificat SSL générique, les seuls facteurs qui comptent sont le coût d'un certificat SSL pour la première année et la convivialité du site Web du vendeur (expérience utilisateur) pour l'achat et la configuration du certificat. .

Je suis conscient de ce qui suit:

• Les réclamations concernant des garanties (par exemple 10 000 USD, 1,25 million USD) sont des gadgets marketing : ces garanties protègent les utilisateurs d'un site Web donné contre la possibilité que l'autorité de certification délivre un certificat à un fraudeur (par exemple, un site de phishing) et que l'utilisateur perde de l'argent ( mais posez-vous la question suivante: une personne dépense-t-elle / perd-elle 10 000 USD ou plus sur votre site frauduleux? oh, attendez, vous n’êtes pas un fraudeur? aucun point.)

• Il est nécessaire de générer une clé privée 2048-bitCSR ( Certificate Sign Request ) pour activer votre certificat SSL. Selon les normes de sécurité modernes, l'utilisation de codes CSR dont la taille de clé privée est inférieure à 2048 bits n'est pas autorisée. En savoir plus ici et ici .

• Revendications de 99+%, 99.3%ou 99.9%compatibilité navigateur / appareil.

• Revendications de délivrance rapide et d'installation facile .

• C'est agréable d'avoir une garantie de remboursement (15 et 30 jours sont communs).

La liste suivante des prix de base des certificats SSL génériques (hors vente) et des autorités émettrices et revendeurs a été mise à jour le 30 mai 2018:

 price |
/ year | Certificate Authority (CA) or Reseller
($USD) |
-------+---------------------------------------
    $0 | DNSimple / Let's Encrypt *
   $49 | SSL2BUY / AlphaSSL (GlobalSign) *
   $68 | CheapSSLSecurity / PositiveSSL (Comodo) *
   $69 | CheapSSLShop / PositiveSSL (Comodo) *
   $94 | Namecheap / PositiveSSL (Comodo) * (Can$122)
   $95 | sslpoint / AlphaSSL (GlobalSign) *
  $100 | DNSimple / EssentialSSL (Comodo) *
       |
  $150 | AlphaSSL (GlobalSign) *
  $208 | Gandi
  $250 | RapidSSL
  $450 | Comodo
       |
  $500 | GeoTrust
  $600 | Thawte
  $600 | DigiCert
  $609 | Entrust
  $650 | Network Solutions
  $850 | GlobalSign
       |
$2,000 | Symantec

* Notez que DNSimple, sslpoint, Namecheap, CheapSSLShop, CheapSSLSecurity et SSL2BUY sont des revendeurs et non des autorités de certification.

Namecheap propose un choix de Comodo / PostiveSSL et de Comodo / EssentialSSL (bien qu'il n'y ait pas de différence technique entre les deux, juste pour la stratégie de marque / le marketing - j'ai demandé à Namecheap et à Comodo à ce sujet - alors qu'EssentialSSL coûte quelques dollars de plus (100 USD contre 94 $) ). DNSimple revend le produit EssentialSSL de Comodo, qui est techniquement identique au PositiveSSL de Comodo.

Notez que SSL2BUY, CheapSSLShop, CheapSSLSecurity, Namecheap et DNSimple fournissent non seulement les certificats SSL génériques les moins chers, mais ils offrent également le moins de gadgets marketing de tous les sites que j'ai examinés; et DNSimple semble ne pas avoir de trucs fantaisistes. Voici les liens vers les certificats d’un an les moins chers (je ne peux pas les lier dans le tableau ci-dessus):

• SSL2BUY
• CheapSSLShop
• CheapSSLSecurity
• sslpoint
• Namecheap
• DNSimple

À compter de mars 2018, Let's Encrypt prend en charge les certificats génériques . DNSimple prend en charge les certificats Let's Encrypt.

Un autre point à considérer est la réémission de certificats .

Je ne comprenais pas vraiment ce que cela voulait dire avant l'arrivée de la punaise . J'avais supposé que cela signifiait qu'ils vous remettraient une deuxième copie de votre certificat original et je me demandais à quel point il fallait être désorganisé pour avoir besoin de ce service. Mais il s'avère que cela ne signifie pas que: au moins certains fournisseurs vont heureusement tamponner une nouvelle clé publique tant que cela se produit pendant la durée de validité du certificat d'origine. Je suppose qu'ils ajoutent ensuite votre certificat d'origine à une liste de révocation de certificats, mais c'est une bonne chose.

Si vous souhaitez effectuer cette opération, c’est que vous avez corrompu ou perdu votre clé privée d’origine, ou que vous ayez perdu le contrôle exclusif de cette clé, et bien sûr la découverte d’un bogue mondial dans OpenSSL qui rend probable la confidentialité de votre clé privée. la clé a été extraite par une partie hostile.

Post-heartbleed, je considère cela comme une très bonne chose, et gardez-le à l'œil lors de futurs achats de certificats.

Bien que le prix soit probablement un problème clé, les autres problèmes sont la crédibilité du fournisseur , l' acceptation du navigateur et, selon votre niveau de compétence, le support du processus d'installation (un problème plus important qu'il n'y parait, en particulier en cas de problème).

Il convient de noter qu'un certain nombre de fournisseurs appartiennent aux mêmes acteurs haut de gamme - par exemple, Thawte et Geotrust et je pense que Verisign sont tous la propriété de Symantec. Cependant, les annonces de Thawte sont bien plus chères que Geotrust. raison.

À l’inverse, un certificat délivré par StartSSL (que je ne frappe pas, je pense que leur modèle est cool), n’est pas aussi bien pris en charge par le navigateur et n’a pas le même niveau de crédibilité que les gros joueurs. Si vous souhaitez appliquer des «placebos de sécurité» sur votre site, il vaut parfois la peine de faire appel à un joueur plus important, bien que cela importe probablement moins pour les certificats génériques que pour les certificats virtuels.

Comme quelqu'un l'a fait remarquer, une autre différence peut être le "pot de junk" associé au CERT - Je connais les Thawte EV Certs qui m'avaient été précédemment demandés de n'autoriser que l'utilisation sur un seul serveur , tandis que les Geotrust cert plus tard persuader la direction de les remplacer était non seulement moins cher, mais n'avait pas cette limitation - une limitation totalement arbitraire imposée par Thawte.

Vous devez sélectionner un certificat SSL Wildcard en fonction de vos besoins en matière de sécurité.

Avant d'acheter un certificat SSL Wildcard, vous devez connaître quelques facteurs mentionnés ci-dessous.

1. Réputation et niveau de confiance de la marque: Selon une enquête récente menée par W3Tech sur les autorités de certification SSL, Comodo a dépassé Symantec et est devenu l’AC la plus réputée avec une part de marché de 35,4%.

2. Types Fonctionnalités ou Wildcard SSL: Les autorités de certification SSL telles que Symantec, GeoTrust et Thawte proposent un certificat SSL Wildcard avec validation commerciale. Le attire plus de visiteurs et augmente également le facteur de confiance du client. Tandis que d'autres CA, Comodo et RapidSSL proposent uniquement SSL SSL avec validation de domaine.

Le Wildcard SSL de Symantec propose également une évaluation quotidienne des vulnérabilités, qui analyse chaque sous-domaine en fonction des menaces malveillantes.

La validation Wildcard avec Business affiche le nom de l’organisation dans le champ URL.

3. Prix ​​SSL: Symantec offrant plusieurs fonctionnalités ainsi que des caractères génériques, son prix est élevé par rapport à Comodo et RapidSSL.

Ainsi, si vous souhaitez sécuriser votre site Web et vos sous-domaines avec la validation métier, vous devez choisir Symantec, GeoTrust ou Thawte. Pour la validation de domaine, vous pouvez utiliser Comodo ou RapidSSL. Et si vous souhaitez installer une sécurité multicouche avec une évaluation quotidienne des vulnérabilités, vous pouvez utiliser la solution Wildcard de Symantec.