Was sind die Vorteile eines teureren SSL-Zertifikats?

30

Ich habe die Preise verschiedener SSL-Zertifikate verglichen und einen massiven Preisunterschied zwischen verschiedenen Anbietern festgestellt.

Wenn wir http://www.namecheap.com/learn/other-services/ssl-certificates.asp als Beispiel nehmen, was wäre der Vorteil, wenn Sie das Geotrust-Zertifikat für 48,88 USD / Jahr gegenüber der RapidSSL-Option für 9,95 USD / Jahr erwerben ?

https security-certificate Oli
quelle
1
Siehe auch: webmasters.stackexchange.com/questions/372/…
Mark Henderson
2
Sie können eine kostenlose 1-Jahres-Domain-SSL von startcom.org erhalten. Wenn das Root-Zertifikat vom Browser als vertrauenswürdig eingestuft wird, wird das Vorhängeschloss angezeigt. Wählen Sie ein günstiges oder kostenloses.
Ollybee
Verwandte: webmasters.stackexchange.com/a/55855/7654
Pacerier

Antworten:

21

Ein paar Dinge. In der Theorie ist , desto besser und teurer SSL - Anbieter sollen validieren , die Sie in irgendeiner Weise und bürgen für Ihre Identität sind. Dies erfordert Zeit und manuellen Aufwand und kostet somit mehr.

Traditionell war die manuelle Validierung (wie sie von VeriSign, Thawte, Entrust verwendet wird) für den SSL-Anbieter und damit für den Käufer umständlich, langwierig und teuer. Die automatisierte Validierung (wie sie von GeoTrust und GoDaddy verwendet wird) ist schneller und kostengünstiger, bietet jedoch nicht das Maß an Sicherheit, das Verbraucher von SSL erwarten - GeoTrusts QuickSSL-Zertifikate validieren beispielsweise nur das Recht des Antragstellers, einen Domainnamen zu verwenden, und nicht die Legitimität des Unternehmens selbst.

Es gibt auch einige verrückte neue Arten von SSL-Zertifikaten, die eine "erweiterte Validierung" durchführen und VIEL teurer sind.

https://www.verisign.com/ssl/ssl-information-center/ev-ssl-certificate/index.html

Ein EV SSL-Zertifikat gibt Kunden mehr Sicherheit, dass sie mit einer vertrauenswürdigen Website interagieren und dass ihre Informationen sicher sind. Ein EV SSL-Zertifikat löst einen Hochsicherheits-Webbrowser aus, der den Namen Ihres Unternehmens in einer grünen Adressleiste anzeigt und den Namen der Zertifizierungsstelle anzeigt, die es ausgestellt hat.

Die billigeren SSL-Anbieter führen kaum oder gar keine Identitätsüberprüfung durch, die für Sie (oder Ihre Benutzer) von Belang sein kann.

Ehrlich gesagt, wenn wir SSL verwenden, dient dies der Verschlüsselung und nicht einem Vertrauensnetzwerk.

(Ein gültiger Grund für die Bezahlung eines teureren SSL-Zertifikats ist, dass es sich um ein Wildcard-Zertifikat handelt, das auf allen *.example.comDomain-Websites funktioniert, die Sie jemals haben. Die regulären SSL-Zertifikate sind nur für eine bestimmte Adresse gültig.)

Jeff Atwood
quelle
6
Ja, wir haben einmal versucht, ein Wildcard-SSL-Zertifikat zu erhalten, aber es lohnt sich nicht, wenn Sie SSL für Dutzende von Subdomains benötigen. Ehrlich gesagt, sind die Wildcard-Zertifikate ein bisschen Betrug. Es nimmt der CA keine Arbeit mehr ab und ähnelt Webhosts, die zusätzliche Gebühren für Subdomains erheben. Für die meisten Webmaster sollte die größte Überlegung bei der Auswahl einer Zertifizierungsstelle darin bestehen, ob sie von allen gängigen Browsern erkannt wird. Schließlich können Sie ein selbstsigniertes Zertifikat verwenden, wenn Sie nur die Verschlüsselung möchten, aber die meisten Leute möchten nicht, dass ihre Kunden durch unheimliche "nicht vertrauenswürdige CA" -Warnungen abgeschreckt werden.
Majestätsbeleidigung
1
@ JeffAtwood, Achten Sie darauf, CA-Websites nicht in Bezug auf Zertifikate zu zitieren. Der extreme Interessenkonflikt ist hier sehr real. Unzählige CA-Sites haben schlechte Informationen zu Zertifikaten . Es ist besser, sich auf Quellen von unabhängigen Sicherheitsanalysten / Forschern / Ingenieuren zu verlassen. Siehe auch webmasters.stackexchange.com/a/55855/7654
Pacerier
Es ist in der Tat ein bisschen verrückt, dass CA die Absicht von einer sicheren No-Man-in-the-Middle-Verschlüsselung auf ein "Dies ist ein verdammt cooles und sicheres Unternehmen" -Niveau bringen konnte, um es ihnen zu ermöglichen, mehr Geld zu drucken Ben Bernenke hat es getan. Ach ja und die Wildcards sind natürlich teurer, 50 Dollar für jedes der 2 zusätzlichen Bytes.
Lothar
8

In Sachen Sicherheit gibt es keinen Unterschied.

Was Sie wirklich kaufen, ist die Unternehmensbestätigung der Zertifizierung, die Ihre Kunden davon überzeugt, dass Sie vertrauenswürdig sind. Aus diesem Grund verkauft Verisign die gleichen Dienstleistungen für x10 die Menge anderer.

Auch bei höherpreisigen Zertifikaten gibt es eine zusätzliche Überprüfungsstufe (wo Sie Unternehmensüberprüfungsdokumente senden müssen, gibt es eine Überprüfung für den Domaininhaber, ob die Anmeldeinformationen übereinstimmen usw.). Und normalerweise geben sie dir ein schickeres Banner, das du auf deiner Website platzieren kannst.

Es gibt auch Extended Validation Certificates (EV), bei denen die meisten Browser die Adressleiste grün machen und Ihre Website / Ihr Unternehmen eindeutig identifizieren.

Hik
quelle
2

Ich werde nur einen Kommentar zu den E-Commerce-Standardanforderungen hinzufügen, der häufig auftritt.

Solange ein SSL-Zertifikat aktuell ist und mindestens 128 Bit (und vorzugsweise TLSv1.1 verwendet, das bis 2018 erforderlich sein wird), ist es für australische PCI-DSS-Standards (E-Commerce) und für die meisten anderen E-Commerce-Standards akzeptabel Erkundigen Sie sich bei Ihrer örtlichen Normungsorganisation.

Und wenn es sich um eine vertrauenswürdige Zertifizierungsstelle handelt (Versign, Comodo, LetsEncrypt, Cloudflare, CAcert, Starcom, Wosign usw.), akzeptiert der Browser diese automatisch, ohne dass eine Bestätigung erforderlich ist.

garth
quelle
1

Es gibt keinen Unterschied mehr zwischen GeoTrust und RapidSSL, da es einen gemeinsamen Zweck für die Sicherung Ihrer Website-Daten durch ein SSL-Zertifikat gibt.

RapidSSL ist jedoch ein Einstiegszertifikat für Websites und GeoTrust soll dem Kunden das Vertrauen geben, dass seine Daten unter dem SSL-Zertifikat sicher sind.

Wenn Sie es von einer offiziellen Website kaufen, ist es sehr teuer, aber wenn Sie sich für einen Wiederverkäufer entscheiden, erhalten Sie das gleiche SSL-Zertifikat zu sehr niedrigen Preisen.

thomas wichsen
quelle
Sie sagen "Aber RapidSSL ist für Einsteiger-Website-Zertifikate", aber das wiederholt nur das falsche Marketing und widerspricht Ihrer eigenen Antwort. Es gibt nichts Technisches an RapidSSL, das es unterlegen macht. Der einzige Unterschied ist der Wiedererkennungswert der Marke, aber ich würde behaupten, dass er vernachlässigbar ist.
ColinM