Certificado SSL gratuito cuando se necesita cifrado y no es de confianza.

4

Según tengo entendido, los certificados SSL son caros porque está pagando a un tercero para que acredite su identidad y, aparentemente, la forma más segura de confianza es la confianza que debe pagar. Supongo que la confianza que obtienes es una forma de demostrar que no eres un sitio web de phishing o algo así (aunque he visto certificados SSL muy convincentes en los sitios web de phishing).

De todos modos, tengo una API que solo necesita comunicación cifrada entre un cliente y un servidor web. No necesito el factor de confianza que ofrecen los certificados de $ 200 por año, porque los usuarios ni siquiera usan un navegador web para usar mi API; están usando algún código que han escrito ellos mismos y la URL está codificada. en sus aplicaciones.

Lamentablemente, trabajar con certificados SSL es complicado para la mayoría de los nuevos desarrolladores (quienes usarán mi API) si el certificado es autofirmado. La mayoría de los marcos de programación lanzarán una excepción si no se importa el certificado que no es de confianza, etc. Es demasiado molesto y alejará a los desarrolladores de mi servicio. Sin embargo, no cifrar el tráfico no es una opción.

Todo lo que necesito es que el tráfico web esté encriptado y que los desarrolladores que usan mi API no tengan que pasar por alto. El mecanismo para realizar el cifrado es gratuito y de código abierto, y no quiero tener que comprar "confianza" adicional de terceros.

TLDR / Conclusión: ¿Hay alguna forma de generar un certificado SSL gratuito en el que la mayoría de los marcos de programación puedan confiar? O, ¿existen otras opciones para la comunicación segura a través de HTTP sin un certificado SSL comprado?

    
pregunta JSideris 28.03.2014 - 01:31
fuente

5 respuestas

0

no, no es posible de forma gratuita porque no se puede establecer la cadena de confianza.

Sus visitantes pueden tener acceso a algunas CA de forma predeterminada, porque esas CA han realizado inversiones para establecerse como CA raíz en los navegadores / sistemas operativos más comunes (o lo han hecho), etc. Sin la posibilidad de una libre, puede ' No establezca una cadena de confianza gratuita, por lo que un visitante no puede verificar que lo que está proporcionando no es una mentira.

editar: el enlace de Scott Helme no era uno de lo que yo sabía. Parece que para algunos propósitos puede haber un método gratuito: enlace No puedo ver los detalles sobre qué clave CA ' re / utilizando los navegadores en los que aparece, pero supongamos que está ahí.

    
respondido por el pacifist 28.03.2014 - 06:10
fuente
10

Puede probar StartSSL , quien le emitirá un certificado SSL gratuito de confianza. Utilizo uno de sus certificados en mi blog y sí, realmente es gratis. Su sitio no tiene la mejor interfaz de usuario, pero si puedes vivir con eso, esta es tu mejor opción.

    
respondido por el Scott Helme 28.03.2014 - 08:44
fuente
0

No hay muchas opciones aquí una vez que los certificados autofirmados están fuera de la mezcla. Pero echa un vistazo a cacert.org . He escuchado (algunas) cosas positivas al respecto. Su misión parece ajustarse a su caso de uso, ciertamente no es un certificado de alta calidad y confianza, pero puede satisfacer sus necesidades.

    
respondido por el Zeb 28.03.2014 - 02:00
fuente
0

Lo siento, pero lo que estás pidiendo no es posible. Solo puede tener dos de cada tres: gratis como en cerveza, sin problemas o seguridad. Es posible no pagar por un certificado y tener una solución sin problemas, pero el inconveniente es obvio. Por supuesto, también puede pagar un certificado, y los usuarios pueden usar fácilmente nuestro sitio web / servicio, pero se quedarán sin comer.

Hay una manera de guardar su dinero y cifrar sus conexiones. La idea básica es usar OpenSSL para generar un certificado, usarlo en su servicio web y enviar la clave pública a sus usuarios. Tendrán que instalarlo en sus navegadores. Pero este método puede ser una molestia, especialmente si espera tener muchos usuarios o si no tiene algún otro canal seguro para enviarles datos por adelantado.

    
respondido por el Skyler827 28.03.2014 - 05:04
fuente
0

Hay una iniciativa SSL 'gratuita' llamada CA Cert.

Lamentablemente, no muchos sistemas operativos o navegadores (populares) vienen con su CA raíz instalada por defecto, pero es fácil de instalar para sus usuarios finales. Consulte aquí para obtener más información: enlace

Dependiendo de sus necesidades, debe estar "asegurado" por algunos otros miembros de CA Cert. Busque aquí más información sobre lo que podría hacer (y no) con cierto estado de seguridad: enlace

Este proceso de garantía hace que esta CA sea incluso más segura y confiable que otras CA, que en general no hacen nada más que verificar la información de whois de su dominio o algo así. Lamentablemente, no cuenta con los fondos necesarios para obtener una auditoría adecuada (al menos puedo ver todas las iniciativas para una auditoría que no se actualizaron desde 2010 o algo así), lo que debilita un poco la confianza en esta CA.

Creo que es lo suficientemente seguro para lo que quieres hacer con él. No olvide verificar su configuración SSL (cuando esté disponible públicamente) con el sitio web de SSLLabs de Qualys. Este escanea en busca de errores comunes de configuración SSL, que es al menos tan importante como no usar certificados autofirmados.

    
respondido por el user258572 07.04.2014 - 23:49
fuente

Lea otras preguntas en las etiquetas