आपके सर्वर को किस सर्टिफ़िकेट का उपयोग करना चाहिए?

आपके सर्वर से कनेक्ट होने वाला कोई भी उसका सर्टिफ़िकेट देख लेता है, इसलिए एक ही प्रोब सर्वर की पहचान उजागर कर सकता है। हो सके तो विश्वसनीय सर्टिफ़िकेट का उपयोग करें। अगर ऐसा न हो सके, तो ईमानदार सेल्फ़-साइंड सर्टिफ़िकेट भी झूठे सर्टिफ़िकेट से बेहतर हो सकता है।

हर सर्टिफ़िकेट नेटवर्क को क्या बताता है

• विश्वसनीय

  आपके डोमेन का मान्य सर्टिफ़िकेट, जिसे किसी सर्टिफ़िकेट अथॉरिटी ने साइन किया है।

  यह किसी सामान्य वेबसाइट या सेवा जैसा दिखता है।

• सेल्फ़-साइंड

  काल्पनिक नाम वाला सर्टिफ़िकेट, जिसे किसी अथॉरिटी ने साइन नहीं किया, जैसा नए इंस्टॉल किए गए सर्वर पर होता है।

  यह किसी प्राइवेट सर्वर जैसा दिखता है, जैसे राउटर या टेस्ट मशीन।

• अमान्य

  किसी असली साइट के नाम वाला सेल्फ़-साइंड सर्टिफ़िकेट, ऐसे IP पते पर जो उस साइट का नहीं है।

  यह ऐसे सर्वर जैसा दिखता है जो कुछ और होने का दिखावा कर रहा है।

अमान्य से सेल्फ़-साइंड बेहतर क्यों हो सकता है

ब्राउज़र दोनों को अस्वीकार कर देता है। अंतर इस बात में है कि हर एक क्या दावा करता है।

काल्पनिक नाम कोई दावा नहीं करता, इसलिए झूठा साबित करने के लिए कुछ नहीं है। राउटर, टेस्ट मशीनें और प्राइवेट टूल रोज़ इसी तरह का सर्टिफ़िकेट दिखाते हैं, और जो नेटवर्क ऐसे सभी सर्टिफ़िकेट ब्लॉक करता है, वह इन सबको भी ब्लॉक कर देता है।

किसी असली साइट का नाम ऐसा दावा है जिसे कोई भी जाँच सकता है: उस साइट के पास किसी अथॉरिटी का सर्टिफ़िकेट और अपने IP पते होते हैं, और आपके सर्वर के पास इनमें से कुछ भी नहीं है। कोई भी सामान्य सर्वर ऐसा दावा नहीं करता, इसलिए इसे ब्लॉक करने से नेटवर्क का कुछ नहीं बिगड़ता।

जो नेटवर्क सिर्फ़ नाम के आधार पर फ़ैसला करता है, उस पर किसी असली साइट का नाम फिर भी मदद कर सकता है: वहाँ ऐसा सर्टिफ़िकेट पास हो सकता है, जबकि काल्पनिक नाम वाला नहीं हो पाता। इसे आज़माने के लिए, मैनेज्ड सर्वर पर या स्टैंडअलोन सर्वर पर ऐसे नाम वाला सर्टिफ़िकेट जोड़ें।

सेल्फ़-साइंड सर्टिफ़िकेट को असली जैसा दिखाने की कोशिश का कोई फ़ायदा नहीं है। उसमें लिखा संगठन, उसकी वैधता अवधि और उसके एक्सटेंशन कुछ नहीं बदलते, क्योंकि प्रोब तुरंत देख लेता है कि उसे किसी अथॉरिटी ने साइन नहीं किया।

हो सके तो एक डोमेन लें

प्रोब का असली समाधान विश्वसनीय सर्टिफ़िकेट है, और इसमें खर्च भी कम आता है: डोमेन सस्ता होता है, और Let's Encrypt के सर्टिफ़िकेट मुफ़्त हैं।

डोमेन के किसी होस्ट नाम का उपयोग करें, जैसे api.example.com। कई साइटें अपना API या अपनी फ़ाइलें एक अलग होस्ट नाम पर रखती हैं, जो अनजान लोगों को मना कर देता है, जैसा आपका सर्वर भी करता है, इसलिए यह सामान्य लगता है। www.example.com आपके लिए खाली रहता है, अपनी पसंद की किसी भी साइट के लिए, चाहे वह किसी भी होस्टिंग पर हो।

हालांकि, IP पता ब्लॉक होने पर डोमेन आपके यूज़र्स के काम नहीं आता, क्योंकि वह उसी सर्वर तक ले जाता है। ऐसे में सिर्फ़ रिवर्स प्रॉक्सी से मदद मिलती है।

अगले कदम

• डोमेन नाम और विश्वसनीय सर्टिफ़िकेट का उपयोग करें