Bezpieczeństwo: klucz zostaje u Ciebie
W skrócie
Klucz prywatny powstaje w Twojej przeglądarce i nigdy jej nie opuszcza. Generator łączy się tylko z Let's Encrypt, cloudflare-dns.com i własnym serwerem, a każde połączenie widać na bieżąco w dzienniku obok niego. Nasz serwer zapisuje wyłącznie dane publiczne.
Zielona kropka to wniosek o certyfikat, złota to gotowy certyfikat, który wraca do Ciebie.
Klucz prywatny zostaje w przeglądarce
Klucz prywatny certyfikatu i klucz konta Let's Encrypt powstają w Twojej przeglądarce, za pomocą wbudowanego w nią mechanizmu kryptograficznego (Web Crypto API). Do Let's Encrypt trafia tylko wniosek o certyfikat, który zawiera nazwy domen i klucz publiczny. Klucza prywatnego nie wysyłamy nigdzie, a nasz serwer odrzuca każdą próbę zapisania czegokolwiek, co wygląda jak klucz prywatny.
Klucz konta Let's Encrypt zapamiętujemy w pamięci Twojej przeglądarki (IndexedDB), żeby kolejne próby i odnowienia nie zakładały nowych kont. Przeglądarka pozwala nim tylko podpisywać: nie da się go odczytać ani wysłać. Usuniesz go jednym kliknięciem w generatorze („Zapomnij go”). Klucza prywatnego certyfikatu nie zapamiętujemy nigdzie: pobierasz go i przechowujesz sam.
Trzy adresy, z którymi łączy się generator
- letsencrypt.org: wystawca certyfikatu. Dostaje listę domen, klucz publiczny i podpisany wniosek.
- cloudflare-dns.com: tylko przy potwierdzaniu rekordem DNS i tylko na Twoje kliknięcie „Sprawdź rekordy DNS”. Sprawdza, czy rekord TXT jest już widoczny.
- freessl.pl: nasz serwer. Dostaje żądanie strony, pytanie, czy jesteś zalogowany, a po wystawieniu certyfikatu jego zapis w Twoim koncie.
Na stronie generatora nie ma żadnych cudzych skryptów, statystyk, reklam ani zewnętrznych fontów. Skrypt generatora nie może połączyć się z innym adresem, nawet gdyby ktoś go podmienił, bo zabrania tego nagłówek bezpieczeństwa (Content-Security-Policy), którego pilnuje sama przeglądarka.
Na stronach informacyjnych (strona główna, poradniki, instrukcje, pytania) liczymy odwiedziny w Google Analytics, ale tylko po Twojej zgodzie w okienku na dole strony. Na generatorze, w koncie i panelu Google Analytics nie działa nigdy, nawet po zgodzie, bo nagłówek bezpieczeństwa tych stron nie pozwala łączyć się z Google. Szczegóły w polityce prywatności.
Co zapisuje nasz serwer
| Zapisujemy | Nie zapisujemy |
|---|---|
| adres e-mail i skrót hasła (scrypt) | hasła w jawnej postaci |
| domeny, daty ważności i publiczny certyfikat | klucza prywatnego certyfikatu |
| wybrany hosting | klucza konta Let's Encrypt |
| logi serwera do 7 dni | danych do reklam |
Szczegóły są w polityce prywatności. Konto i wszystkie dane usuwasz sam, w panelu klienta.
Jak sprawdzić to samemu
- Otwórz generator i naciśnij F12, żeby otworzyć narzędzia deweloperskie przeglądarki. Przejdź do zakładki „Sieć” (Network).
- Przeprowadź certyfikat w trybie testowym.
- Na liście połączeń zobaczysz tylko adresy acme-staging-v02.api.letsencrypt.org, freessl.pl i, jeśli klikniesz „Sprawdź rekordy DNS”, cloudflare-dns.com. To samo pokazuje dziennik „Co wysyła ta strona” obok generatora.
Jak zabezpieczamy stronę
- Na stronie generatora przeglądarka uruchamia tylko jeden skrypt, sprawdzony po jego skrócie, i łączy się tylko z trzema adresami (Content-Security-Policy).
- Połączenie ze stroną jest zawsze szyfrowane (https z HSTS).
- Hasła zapisujemy jako skrót scrypt, sesja jest w ciasteczku niedostępnym dla skryptów, a liczba prób logowania i wysyłanych e-maili jest ograniczona.
- Kopie zapasowe bazy trzymamy 14 dni, logi serwera najwyżej 7 dni.
Co zależy od Ciebie
Plik privkey.pem wklejaj tylko w panelu swojego hostingu albo na swoim serwerze. Nie wysyłaj go e-mailem ani przez komunikator. Po instalacji możesz go usunąć z komputera: przy odnowieniu i tak powstanie nowy klucz.