SSL/TLS

Настройки SSL/TLS находятся на вкладке SSL/TLS страницы сведений о сайте (/cdn/domains/<domain>/ssl). HTTPS в CDN включает два соединения:

• Посетитель ↔ пограничный узел: используется пограничный сертификат, развёрнутый для каждого имени хоста. Это либо бесплатный автоматический сертификат, либо загруженный вами.
• Пограничный узел ↔ исходный сервер: режим шифрования и протокол подключения к исходному серверу для имени хоста определяют, шифруется ли это соединение и проверяется ли сертификат исходного сервера.

#Развёртывание пограничных сертификатов

В таблице Управление периферийными сертификатами перечислены все имена хостов сайта с состоянием SSL, издателем и датой окончания срока действия сертификата. Нажмите Управление сертификатами, чтобы открыть диалоговое окно сертификата. Добавить сертификат можно тремя способами.

#Вариант 1. Бесплатный автоматический сертификат (Let's Encrypt)

1. Убедитесь, что DNS для имени хоста уже указывает на CDN через CNAME или настройку серверов имён. Используется проверка HTTP-01, поэтому пограничный узел должен отвечать на запрос проверки Let's Encrypt.
2. На вкладке Автоматический сертификат нажмите Проверка HTTP-01.
3. В диалоговом окне отображается ход трёх этапов: Ожидает обработки, Проверка домена выполняется, Выпуск сертификата. После завершения состояние изменится на Выпущено. При ошибке появится Не удалось подать заявку на сертификат с указанием причины.

Автоматические сертификаты действуют 90 дней. До окончания срока действия они автоматически продлеваются и повторно развёртываются на пограничных узлах; никаких действий с вашей стороны не требуется. Если сертификат уже существует, кнопка называется Продлить сертификат и позволяет продлить его заранее.

#Вариант 2. Загрузка пользовательского сертификата

1. Перейдите на вкладку Пользовательский сертификат.
2. Вставьте сертификат в поле Сертификат (формат PEM). Укажите полную цепочку: сначала сертификат сервера, затем промежуточные сертификаты.
3. Вставьте соответствующий закрытый ключ в поле Закрытый ключ (формат PEM).
4. Нажмите Загрузить сертификат. Состояние изменится на Пользовательский сертификат.

Пользовательские сертификаты не продлеваются автоматически. Загрузите новый сертификат до истечения срока действия текущего.

#Вариант 3. Развёртывание из библиотеки сертификатов

Если вы приобрели или сохранили сертификаты в службе SSL-сертификатов Yeap Cloud, их можно выбрать на вкладке Папка сертификатов. В ней перечислены сертификаты, соответствующие имени хоста, включая подходящие сертификаты с подстановочным знаком. Выберите сертификат для развёртывания.

#Режим шифрования (от пограничного узла до исходного сервера)

В карточке Режим шифрования SSL/TLS выберите режим и нажмите Сохранить:

Взаимодействие режима с другими настройками:

• Таблица относится к именам хостов, для которых протокол подключения к исходному серверу установлен в Автоматически. Если на вкладке Исходный сервер явно выбран HTTP или HTTPS, используется этот протокол. Полный (строгий) режим проверяет сертификат только при подключении пограничного узла к исходному серверу по HTTPS.
• Возможность подключения посетителей к пограничному узлу по HTTPS зависит только от наличия пограничного сертификата для имени хоста. Режим шифрования на неё не влияет.
• При переходе в режим «Отключено» или «Гибкий» запрашивается подтверждение, поскольку трафик между пограничным узлом и исходным сервером больше не будет шифроваться.
• В полном (строгом) режиме запросы к исходному серверу завершаются ошибкой, если его сертификат недействителен, просрочен или не соответствует домену.
• Для HTTP/2 до исходного сервера требуется соединение HTTPS, поэтому в режимах «Отключено» и «Гибкий» пограничный узел использует HTTP/1.1.

#Принудительный HTTPS

Включите Принудительный HTTPS в карточке Настройки HTTPS, чтобы перенаправлять каждый HTTP-запрос на тот же URL по HTTPS с кодом 301. Эта настройка управляет подключением посетителей и не меняет протокол подключения к исходному серверу.

Перед включением убедитесь, что для каждого имени хоста сайта есть действующий пограничный сертификат. Иначе посетители увидят ошибки сертификата.

#HSTS и заголовки безопасности

Настройки из карточки HSTS и заголовки безопасности ответа добавляются пограничным узлом в ответы посетителям. После изменения нажмите Сохранить в правом верхнем углу карточки.

#HSTS (HTTP Strict Transport Security)

#Другие заголовки безопасности

• X-Frame-Options: SAMEORIGIN или DENY для защиты от кликджекинга.
• Referrer-Policy: выберите политику из списка.
• X-Content-Type-Options: nosniff: запрещает браузерам автоматически определять MIME-тип.
• Content-Security-Policy (CSP): введите полную политику. Оставьте поле пустым, чтобы не отправлять заголовок CSP.

Эти четыре заголовка действуют только при включённом переключателе Заголовки безопасности ответа.

#CORS и пользовательские заголовки

• CORS (совместное использование ресурсов между источниками) позволяет задать:

  • Разрешённые источники, по одному на строку; * означает любой источник
  • Разрешённые методы
  • Разрешённые заголовки запросов
  • Заголовки ответов, доступные клиентскому коду
  • Разрешение на передачу учётных данных
  • max-age предварительного запроса

  Нельзя разрешить передачу учётных данных вместе с источником *.

• Свои заголовки ответа: set переопределяет одноимённый заголовок, add добавляет значение (можно использовать несколько раз), а remove удаляет заголовок, например X-Powered-By.

#Сертификаты Origin CA

Сертификаты Origin CA выпускаются платформой и устанавливаются на исходном сервере для шифрования соединения от пограничного узла до исходного сервера. Они предназначены только для Yeap Cloud CDN, и браузеры им не доверяют, поэтому никогда не используйте их для подключений посетителей.

Чтобы выпустить сертификат:

1. В карточке Сертификат Origin CA нажмите Выпустить сертификат.
2. Заполните диалоговое окно:
   • Домены (SANs): по умолчанию example.com и *.example.com.
   • Тип ключа: ECC P-256 (рекомендуется), RSA 2048 или RSA 4096.
   • Срок действия: от 7 дней до 15 лет. По умолчанию 15 лет.
3. Сразу скопируйте и сохраните сертификат и закрытый ключ. Закрытый ключ показывается только один раз. После закрытия диалогового окна просмотреть его повторно нельзя.
4. Установите сертификат и ключ в веб-сервере исходного сервера.
5. Установите режим шифрования сайта Полный.

Если на исходном сервере нужна цепочка центра сертификации, нажмите Скачать корневой сертификат CA. В списке сертификатов можно просматривать, отзывать и удалять сертификаты.

#См. также

• Имена хостов и протокол подключения к исходному серверу: Добавление сайта
• Переопределение перенаправлений HTTPS или шифрования до исходного сервера для отдельных путей: Правила страниц