Samodzielnie podpisany certyfikat SSL/TLS dla witryny

Kilka dni temu otrzymałem w Search Console dla jednej domeny taki oto komunikat

Zauważyliśmy, że certyfikat SSL/TLS używany w witrynie https://www.xxxxxxxxxxxxxx.pl/ został samodzielnie podpisany, co oznacza, że został on wydany przez serwer a nie urząd certyfikacji. Tylko urzędy certyfikacji uznaje się za zaufane źródła certyfikatów SSL/TLS, dlatego większość przeglądarek nie uzna certyfikatu za zaufany. Ponadto samodzielnie podpisany certyfikat oznacza, że zawartość witryny nie jest uwierzytelniona, może być modyfikowana, a dane i operacje użytkownika podczas wyszukiwania mogą zostać przechwycone przez osoby trzecie. W rezultacie wiele przeglądarek internetowych zablokuje użytkownikom dostęp do Twojej witryny, wyświetlając ostrzeżenie dotyczące bezpieczeństwa podczas uzyskiwania dostępu do witryny. Ma to na celu ochronę danych i operacji użytkowników podczas wyszukiwania przed przechwyceniem przez osoby trzecie, co może się zdarzyć w witrynach, które nie są bezpieczne.

Zalecane działanie:

Uzyskaj nowy certyfikat

Aby rozwiązać ten problem, uzyskaj z zaufanego urzędu certyfikacji nowy dedykowany certyfikat SSL/TLS. Certyfikat ten musi pasować do pełnego adresu URL Twojej witryny lub być certyfikatem typu wildcard, którego można użyć do wielu subdomen w domenie.

Czy ów komunikat to błąd Google?

Moim zdaniem … i tak, i nie.

Nowe certyfikaty ( CF/letsencrypt ) używają SNI https://en.wikipedia.org/wiki/Server_Name_Indication. Dzięki temu na jednym IP może być wiele certyfikatów różnych domen.

Niestety, ale systemy Android 2.3.7 czy IE 6, 8 / XP plus jakieś „niszowe”, stare telefony mają problem z tymi certyfikatami i … prowadzi to do sytuacji takiej, że Google generuje dla właścicieli domen korzystających z takich certyfikatów komunikaty o błędzie – co jest poprawne z punktu widzenia analizy, ponieważ ów certyfikat nie przechodzi poprawnej walidacji na wszystkich urządzeniach – i jest to głos na TAK.

Z drugiej strony nie przechodzi na ich znikomej liczbie – i jest to głos na NIE

O tym, że temat jest niszowy może świadczyć jeszcze jedna kwestia – zauważmy, że w/w odnośnik występuje na razie w języku angielskim – brak jest polskiego odpowiednika. O czymś to świadczy.

Jak sprawdzić czy nasz certyfikat jest poprawny?

Do tego  celu użyć można odpowiedniego narzędzia, za pomocą którego sprawdzimy certyfikat.

Przy pozytywnej weryfikacji, nie ma się czym niepokoić.