Quels sont les avantages d'un certificat SSL plus cher?

30

J'ai comparé les prix de différents certificats SSL et j'ai trouvé une énorme différence de prix entre les différents fournisseurs.

Si nous prenons http://www.namecheap.com/learn/other-services/ssl-certificates.asp comme exemple, quel serait l'avantage d'aller pour le certificat Geotrust pour 48,88 $ / an par rapport à l'option RapidSSL 9,95 $ / an ?

https security-certificate Oli
la source
1
Voir aussi: webmasters.stackexchange.com/questions/372/…
Mark Henderson
2
vous pouvez obtenir un SSL de domaine gratuit d'un an sur startcom.org, si le certificat racine est approuvé par le navigateur, il affichera le cadenas, optez pour un bon marché ou gratuit.
ollybee
Connexe: webmasters.stackexchange.com/a/55855/7654
Pacerier

Réponses:

21

Quelques choses. En théorie , les fournisseurs SSL meilleurs et plus chers sont censés valider qui vous êtes d'une manière ou d'une autre et garantir votre identité. Cela prend du temps et des efforts manuels et coûte donc plus cher.

Traditionnellement, la validation manuelle (telle qu'utilisée par VeriSign, Thawte, Entrust) a été fastidieuse, longue et coûteuse pour le fournisseur SSL et donc l'acheteur. La validation automatisée (telle qu'utilisée par GeoTrust et GoDaddy) est plus rapide et plus rentable, mais ne fournit pas le niveau d'assurance attendu par les consommateurs utilisant SSL - Par exemple, les certificats QuickSSL de GeoTrust valident uniquement le droit du demandeur d'utiliser un nom de domaine et non la légitimité de l'entreprise elle-même.

Il y a aussi un nouveau type fou de cert SSL qui fait une "validation étendue" et est beaucoup plus cher.

https://www.verisign.com/ssl/ssl-information-center/ev-ssl-certificate/index.html

Un certificat SSL EV donne aux clients plus de confiance qu'ils interagissent avec un site Web de confiance et que leurs informations sont sécurisées. Un certificat SSL EV déclenche des navigateurs Web haute sécurité pour afficher le nom de votre organisation dans une barre d'adresse verte et afficher le nom de l'autorité de certification qui l'a émis.

Les fournisseurs SSL moins chers ne font que peu ou pas de validation d'identité qui peut ou non avoir de l'importance pour vous (ou vos utilisateurs).

Honnêtement, lorsque nous utilisons SSL, c'est pour le cryptage, pas pour un réseau de confiance.

(Une raison valable de payer pour un certificat SSL plus cher est quand il s'agit d'un certificat générique afin qu'il fonctionne sur tous *.example.comles sites Web de domaine que vous pourriez avoir. Les certificats SSL réguliers ne sont valables que pour une adresse spécifique.)

Jeff Atwood
la source
6
Oui, nous avons déjà cherché à obtenir un certificat SSL générique, mais à moins que vous n'ayez besoin de SSL sur des dizaines de sous-domaines, cela n'en vaut pas la peine. Franchement, les certificats génériques sont un peu d'escroquerie. Cela ne prend plus de travail de la part de l'autorité de certification et est similaire aux hébergeurs Web facturant un supplément pour les sous-domaines. De plus, pour la plupart des webmasters, la plus grande considération lors du choix d'une autorité de certification doit être de savoir si elle est reconnue par tous les principaux navigateurs. Après tout, vous pouvez utiliser un certificat auto-signé si vous voulez juste le chiffrement, mais la plupart des gens ne veulent pas que leurs clients soient effrayés par des avertissements effrayants de «CA non fiable».
Lèse majesté
1
@JeffAtwood, soyez prudent de citer des sites Web de CA concernant les certificats. Le conflit d'intérêts extrême est très réel ici. Un grand nombre de sites CA ont de mauvaises informations concernant les certificats . Il est préférable de s'appuyer sur des sources d'analystes / chercheurs / ingénieurs de sécurité indépendants. Voir aussi webmasters.stackexchange.com/a/55855/7654
Pacerier
Il est en effet un peu fou que CA ait pu pousser l'intention d'un cryptage sécurisé sans homme au milieu à un niveau "c'est une putain de compagnie cool et sûre" afin de leur permettre d'imprimer plus d'argent alors Ben Bernenke l'a fait. Oh oui et les caractères génériques sont plus chers bien sûr, 50 dollars pour chacun des 2 octets supplémentaires.
Lothar
8

En termes de sécurité, il n'y a aucune différence.

Ce que vous achetez vraiment, c'est la vérification de l'entreprise de certification qui convainc vos clients que vous êtes digne de confiance. C'est pourquoi Verisign vend les mêmes services pour x10 le nombre d'autres.

De plus, dans les certificats plus chers, il existe un niveau de vérification supplémentaire (lorsque vous devez envoyer des documents de vérification d'entreprise, il y a une vérification pour le propriétaire du domaine si les informations d'identification correspondent, etc.). Et généralement, ils vous donnent une bannière plus élégante à mettre sur votre site Web.

Il existe également des certificats de validation étendus (EV) où la plupart des navigateurs rendent la barre d'adresse verte et identifient clairement votre site Web / entreprise.

Hik
la source
2

Je vais juste ajouter un commentaire sur les exigences standard du commerce électronique qui revient souvent.

Tant qu'un certificat SSL est à jour et au moins 128 bits (et préfère utiliser TLSv1.1 qui sera requis d'ici 2018), il est acceptable par les normes australiennes PCI-DSS (commerce électronique) et la plupart des normes de commerce électronique ailleurs, bien que vous ayez besoin pour vérifier auprès de votre organisme de normalisation local.

Et bien sûr, s'il s'agit d'une autorité de certification de confiance (Versign, Comodo, LetsEncrypt, Cloudflare, CAcert, Starcom, Wosign etc.), le navigateur l'accepte automatiquement sans demander de confirmation.

garth
la source
1

Il n'y a plus de différence entre GeoTrust et RapidSSL car il existe un objectif commun pour sécuriser les données de votre site Web par certificat SSL.

Mais RapidSSL est pour le certificat de site Web d'entrée de gamme et GeoTrust est pour faire confiance au client que leurs données sont sécurisées sous le certificat SSL.

Lorsque vous l'achetez sur le site officiel, il est très cher, mais si vous choisissez un revendeur, vous obtenez le même certificat SSL @ des prix très bas.

thomas branlette
la source
Vous dites "Mais RapidSSL est pour le certificat de site Web d'entrée de gamme", mais cela ne fait que répéter le faux marketing et entrer en conflit avec votre propre réponse. Il n'y a rien de technique sur RapidSSL qui le rend inférieur. La seule différence est la reconnaissance de la marque, mais je dirais entre les deux qu'elle est négligeable.
ColinM