הדפדפן כותב על האתר שלך "לא מאובטח". לקוחות רואים את זה

נסה להיזכר: גלשת פעם לאתר שליד הכתובת שלו הופיעה אזהרה אדומה - "לא מאובטח"? עצרת לרגע? השארת שם פרטי אשראי או אפילו מספר טלפון? ברור שלא. עכשיו הפוך את התמונה: ככה בדיוק מרגיש לקוח שמגיע לאתר שלך כשמשהו בתעודת האבטחה לא תקין. הוא לא מתעמק בסיבות ולא שולח לך מייל מנומס להודיע - הוא סוגר את הטאב וממשיך למתחרה הבא בתוצאות החיפוש. ואתה? ברוב המקרים בכלל לא תדע שזה קורה.

מה זה המנעול הקטן הזה ליד הכתובת

תעודת SSL היא מה שעומד מאחורי המנעול שליד כתובת האתר ומאחורי ה-https. בפועל היא עושה דבר פשוט וקריטי: מצפינה את התקשורת בין הגולש לאתר, כך שפרטים שהוא מזין - שם, טלפון, מייל, פרטי תשלום - לא עוברים ברשת כטקסט גלוי שכל מי שבדרך יכול לקרוא.

בלעדיה קורים שני דברים רעים במקביל: הדפדפנים מציגים אזהרות שמבריחות גולשים, בזמן שגוגל - שמתייחס לאבטחה כחלק משיקולי הדירוג - מוריד אותך למטה. כלומר גם מי שהגיע נבהל וגם פחות אנשים מגיעים מלכתחילה. וזה נכון לכל אתר, לא רק לחנויות: גם אתר תדמית עם טופס יצירת קשר בודד מבקש מהגולש פרטים אישיים. היום תעודת SSL היא לא תוספת נחמדה, היא תנאי סף לאתר עסקי.

הבעיה הנפוצה: לא שאין תעודה - שהתעודה פגה

רוב האתרים היום כבר עולים לאוויר עם תעודה תקינה - ופה מסתתרת המלכודת. התעודות הנפוצות מתחדשות אוטומטית כל שלושה חודשים בערך - וכשהכל עובד, אף אחד לא חושב על זה. אבל מנגנון החידוש האוטומטי נשבר יותר משנדמה: מעבר לספק אחסון אחר, שינוי בהגדרות הדומיין, עדכון שרת שדרס הגדרה, אמצעי תשלום שפג אצל ספק התעודה. שום דבר דרמטי לא קורה באותו רגע - התעודה פשוט מפסיקה להתחדש וסופרת בשקט את הימים עד הפקיעה. הבעיה כאן אף פעם לא העלות - התעודות הנפוצות ניתנות בחינם - רק תשומת הלב.

ואז, בוקר אחד, האתר שלך מקבל את הגולשים במסך אזהרה על כל העמוד במקום בעמוד הבית. התזמון תמיד אכזרי: אתה לא גולש לאתר של עצמך כל יום, כך שאת האזהרה יראו קודם כל הלקוחות. אתה תגלה כשמישהו יתקשר מבוהל לשאול אם נפרצת - או גרוע מזה, לא תגלה בכלל, רק תשים לב שהפניות מהאתר נעצרו פתאום.

מה הלקוח רואה כשזה קורה

לא הערה עדינה בפינה. הדפדפן מציג עמוד אזהרה מלא, לרוב עם ניסוחים מפחידים במיוחד: "החיבור שלך אינו פרטי", "ייתכן שגורמים זדוניים מנסים לגנוב את הפרטים שלך". יש כפתור קטן של "מתקדם" שמאפשר להמשיך בכל זאת, אבל רוב הגולשים לא לוחצים עליו - הם עוזבים מיד ורובם לא ינסו שוב מחר. מבחינת הלקוח אין הבדל בין תעודה שפגה לבין אתר פרוץ באמת - שניהם נראים כמו "מקום שלא משאירים בו פרטים".

איך מוודאים שזה לא יקרה לך

הפתרון הוא לא לקוות שהחידוש האוטומטי יעבוד - הוא לבדוק שהוא עובד, כל הזמן, לפני שמישהו רואה משהו:

• התעודה נבדקת אוטומטית כל רבע שעה, בכל אתר שנמצא אצלי בניהול
• התראה מגיעה אליי 14 יום לפני תאריך הפקיעה - חלון זמן נוח לטפל בנחת
• אם החידוש האוטומטי נכשל, אני יודע מיד ומחדש ידנית לפני שנגמר הזמן
• נבדק גם שכל גרסאות הכתובת מפנות כמו שצריך לגרסה המאובטחת

ארבעה עשר יום של התראה מראש לעומת גילוי דרך לקוח מבוהל - זה כל ההבדל בין סידור קטן ברקע לבין תקלה שעולה בלקוחות. ככה תקלת תשתית נשארת עניין פנימי: מטופלת בנחת, בלי שאף גולש ראה משהו חריג.

שתי דקות לבדוק את עצמך עכשיו

לפני שממשיכים - בדיקה קצרה שאתה יכול לעשות כבר עכשיו, מהטלפון:

• פתח את האתר שלך בדפדפן ותסתכל ליד הכתובת: יש מנעול סגור או אזהרה?
• נסה להקליד את הכתובת בלי https בהתחלה - האם האתר מעביר אותך אוטומטית לגרסה המאובטחת?
• לחץ על המנעול עצמו ובדוק את תאריך התפוגה של התעודה - אם הוא קרוב, שווה לוודא שהחידוש האוטומטי באמת עובד

אם אחת מהבדיקות האלה העלתה משהו מוזר, אל תדחה את זה. תעודה שכבר מציגה אזהרה עולה לך בלקוחות ברגעים אלה ממש - ותעודה שקרובה לפוג בלי מנגנון חידוש תקין היא פשוט אותה בעיה, שבוע לפני.

אבטחה היא לא פרויקט, היא שגרה

בדיקת התעודה היא פרט אחד מתוך שגרת אחזקה שלמה: עדכוני אבטחה, גיבוי כפול, ניטור זמינות ותיקון תקלות - הכל בחבילת אחזקה חודשית של 450 ש"ח לחודש. המנעול הקטן ליד הכתובת נראה כמו פרט שולי, עד היום שבו הוא הופך לשלט אזהרה בין הלקוח לבינך. רוצה לוודא שהאתר שלך מכוסה? היכנס לאשף הצעת המחיר באתר וקבל הצעה מסודרת תוך כמה דקות, או השאר פרטים ואבדוק בשבילך את מצב התעודה עוד לפני השיחה.