Bekijk Volledige Versie : LetsEncrypt alleen voor lokaal caviaforum?
Ik heb vanochtend van iemand van een niet nader te noemen hostingbedrijf (oh ja, het was FXW) te horen gekregen dat LetsEncrypt alleen bruikbaar is voor een "lokaal caviaforum". Letterlijk werd mij verteld dat LE "...zeker niet het beste middel tegen beveiliging van de website, maar alleen een goedkoop/gratis alternatief voor websites die verder geen noodzakelijke beveiliging nodig hebben". Maar voor een "lokaal caviaforum" was het desondanks prima.
Dit was in navolging van mijn vraag of ze voor mijn klant even LE wilden aanzetten (zit tenslotte inmiddels goed geïntegreerd in DirectAdmin). Dat wilden ze niet, want: voor 42 EUR p/j hadden ze een prima alternatief certificaat (?).
Ik ben vrij nieuw in het draaien van een eigen CentOS-based hostingplatform (5 jaar), en nog maar slechts 25+ jaar professioneel actief in IT, dus ik dacht: "hé, wat vreemd, ik dacht dat ik de finesses van end-to-end encryptie tussen client en server redelijk onder de knie had". Maar nee dus, ik had niet begrepen dat mijn TLSv2 connecties (A+ rating bij SSL Labs) met een LetsEncrypt certificaat dus eigenlijk alleen voor caviaforums voldoende zijn.
Op mijn vervolgvraag uit welke documentatie zou blijken dat LetsEncrypt (ondersteund door cavialiefhebbers bij Cisco, EFF, Github, Akamai, IBM etc.) eigenlijk alleen maar voor caviaforums voldoende beveiliging zou bieden, heb ik geen antwoord meer gekregen.
Dus: kan iemand met ervaring in caviaforums mij meer vertellen? Alvast dank!
Yourwebhoster
08/04/20, 17:07
Klinkt als een manier van klanten verplichten een betaald certificaat te nemen als ze SSL willen. Er zijn alsnog redenen om een betaald certificaat te nemen (denk aan EV validatie of een technische reden). Maar met Let's Encrypt en andere initiatieven zijn die sterk teruggelopen.
Ik denk dat dit hun manier is om deze omzet vast te houden. Hier zat vroeger namelijk een leuke marge in.
Hier zat vroeger namelijk een leuke marge in.
Dat kan ik geloven, maar anno 2020 (waar ongeveer alle webhosting nu met LE SSL wordt aangeboden) weet je toch dat je hier niet mee wegkomt? En dan zo'n zogenaamd "technische uitleg" geven, pfff...
En ja, voor de windhandel die SSL certificaten is/was: voor OV en EV zie ik de meerwaarde. Maar voor DV was er geen meerwaarde, daarom is LetsEncrypt tenslotte van de grond gekomen.
Misschien is dit een ideetje geweest van TWS :smartass:
Misschien is dit een ideetje geweest van TWS
Wie weet. Het klinkt in mijn oren vooral als het typische gebrabbel van iemand van afdeling sales (niet toevallig ook het geval). Ik heb overigens toch een antwoord gekregen, en nu blijkt het toch opeens "anders" te liggen. Er is blijkbaar niets mis met LetsEncrypt (niet alleen voor caviaforums?), maar het gaat vooral om "verzekeringen" die niets uitkeren als bijv. een webshop LetsEncrypt gebruikt heeft, en het feit dat je bij niemand aan kan kloppen als je certificaat niet werkt. Zucht...
Niet dat er ook maar enige sprake was van een webshop. Ik vroeg gewoon: willen jullie LE even aanzetten. Nee dus. Dat de rest van de hostingwereld, van super budget tot up-market, het wel doet, maakt blijkbaar niet uit.
Misschien is het wel een bewuste marketingkeuze om zich te kunnen onderscheiden: NU ZONDER LetsEncrypt!
:)
Mogelijk zijn hun processen enkel geschikt voor andere certificaten dan LE omdat ze deze er niet in hebben zitten. Het dan toevoegen kan best wat werk zijn en iemand moet dat dan betalen. Heb je al gevraagd voor welk bedrag ze het wel willen doen?
mgielissen
09/04/20, 11:38
Misschien is dit een ideetje geweest van TWS :smartass:
Dat was voorheen ook niet onder het regime van de fam. Bouten.
Een voorbeeld van een noncavia-forum: de Telegraaf gebruikt zelf ook LetsEncrypt
Mogelijk zijn hun processen enkel geschikt voor andere certificaten dan LE omdat ze deze er niet in hebben zitten. Het dan toevoegen kan best wat werk zijn en iemand moet dat dan betalen.
In DirectAdmin? Ik heb het indertijd zelf gedaan omdat het me te lang duurde voordat JBMC het er in had geklust, en dat was wel even pielen. Maar nu hoef je er zo goed als niets voor te doen. Geen wonder dat (voor zover ik kan zien) bijna iedereen die DA aanbiedt ook LE aanbiedt.
Heb je al gevraagd voor welk bedrag ze het wel willen doen?
Ze willen mijn klant een DV certificaat verkopen voor 42 EUR p/j en als ze per se LE willen: een VPS (even upsellen dus).
Ben er wel klaar mee. Gasten beweren bij hoog en bij laag dat je voor je certificaten voor "serieuze websites" (dus niet voor het caviaforum) een "verzekering" nodig hebt. Jaja, dat zwetsverhaal heeft Scott Helme al eens pijnlijk doorgeprikt:
https://scotthelme.co.uk/do-ssl-warranties-protect-you-as-much-as-rocks-keep-tigers-away/
Leuk artikel trouwens. Scott Helme != Rian van Rijbroek, haha!
Ik blijf erbij: voor EV zie ik wel meerwaarde, maar voor DV is het supertrieste business om nu nog te proberen certficaatjes te verkopen.
Ramon Fincken
09/04/20, 12:58
Over die warranty hebben wij ook wat geschreven trouwens: https://www.managedwphosting.nl/ssl-certificaat-garantie-uitgelegd/ https://www.managedwphosting.nl/is-een-ssl-certificaat-een-garantie-voor-veiligheid-of-betrouwbaarheid/
Over die warranty hebben wij ook wat geschreven trouwens:
Ja, helder stukje. Eigenlijk moet je het dus inderdaad meer zien als extra validatie. Maar ja, hebben we daar niet de OV en EV certificaten voor?
En als ze dan failliet gaan, dan kun je wel fluiten naar je centen. [ Hint: Diginotar ]
Haha, leuk dat je Diginotar noemt, want dat was juist een argument van deze webhosting-sales-meneer om aan te tonen dat certificaten wel degelijk een garantie nodig hebben (voor niet-caviaforums, welteverstaan). Diginotar was binnen een maand failliet, ik ben benieuwd hoeveel mensen er geld uitgekeerd gekregen hebben (je mag je in deze thread melden!).
Een prachtig voorbeeld van hoe kansloos je bent met zo'n warranty...
Ramon Fincken
09/04/20, 14:23
Ja dit gaat JUIST over EV en OV certs ..
maar als je het mij vraagt: ja een LE DV moet je NIET Inzetten voor je webshop of officieel bedrijf, maar ja .. iedereen wil "gratis" certificaten ..
Ja dit gaat JUIST over EV en OV certs ..
maar als je het mij vraagt: ja een LE DV moet je NIET Inzetten voor je webshop of officieel bedrijf, maar ja .. iedereen wil "gratis" certificaten ..
Zou je dan niet moeten zeggen dat je DV certificaat niet zou inzetten, want wat is het verschil dan nog met een betaalde variant.
Ramon Fincken
09/04/20, 15:06
Ik weet niet of ik je opmerking begrijp.
Ik ben van mening dat een webshop nooit een DV moet gebruiken, noch LE noch sectigo(comodo), maar een EV of OV.
Ja, bij bepaalde klanten zul je na moeten denken om een betaald certificaat te nemen.
Echter, van deze partij is het wel echt "kort door de bocht" en gewoon een manier om extra omzet te genereren door aan Jan en allemaal certificaten te slijten waar LE wellicht een prima vervanger zou zijn.
Uiteindelijk vind ik het gewoon een tekortkoming in deze markt. Genoeg partijen die het wel aanbieden. En hoezo zouden zij bepalen of het wel of niet geschikt is. Hosten ze alleen maar "belangrijke" sites? Bied het dan beide aan, de betaalde als extra. Maar dat is natuurlijk moeilijk verkopen. "Ja het ziet er praktisch hetzelfde uit, maar als je nou klikt op dat slotje, en dan gaat naar..." daarbij denkt het gros, ja goedemorgen we zetten LE aan. En serieus, ik vind er geen enkel risico zitten aan het gebruik van LE. Bij alles wat er in een bedrijf geregeld moet worden, is het verschil LE/betaald certificaat te verwaarlozen. Liever een partij die bijvoorbeeld de AVG goed heeft geïmplementeerd, software en bedrijfsprocessen op orde heeft, met LE, dan een partij die het voor de buitenkant goed geregeld wil hebben en de boel aanklooit.
Los daarvan, op deze manier werk je juist onveiligheid in de hand. Wellicht is iemand niet bereid om te betalen en laat het dan maar achterwege. Een ven de beginselen van LE is juist om die drempel weg te halen. Ga dat dan ook niet in de weg zitten.
Ramon Fincken
15/04/20, 08:32
" En serieus, ik vind er geen enkel risico zitten aan het gebruik van LE. "
an sich niet .. maar het feit dat het een automatische validatie van domein "eigenaarsschap" is geeft dat malafide webshops die blauwe pilletjes en wat nog meer verkopen dus ook door ogen van VEEL consumenten als "legitiem" en zelfs "veilig" wordt bestempeld ..
In DirectAdmin? Ik heb het indertijd zelf gedaan omdat het me te lang duurde voordat JBMC het er in had geklust, en dat was wel even pielen. Maar nu hoef je er zo goed als niets voor te doen. Geen wonder dat (voor zover ik kan zien) bijna iedereen die DA aanbiedt ook LE aanbiedt.
Dan nog ligt het aan de inrichting van de omgeving. Ook met DirectAdmin als controle paneel wil dat niet zeggen dat die de configs maakt voor HTTPS. Bij ons is dat in ieder geval niet het geval (net als dat we met DirectAdmin meerdere webservers hebben terwijl DirectAdmin op 1 plek draait).
De prijs van 42 euro is mogelijk aan de hoge kant, maar als ze nog ergens wat handmatig moeten doen kan ik dat volledig begrijpen. En ook de automatisering kost tijd die betaald moet worden.
" En serieus, ik vind er geen enkel risico zitten aan het gebruik van LE. "
an sich niet .. maar het feit dat het een automatische validatie van domein "eigenaarsschap" is geeft dat malafide webshops die blauwe pilletjes en wat nog meer verkopen dus ook door ogen van VEEL consumenten als "legitiem" en zelfs "veilig" wordt bestempeld ..
Maar wat is de meerwaarde als deze consumenten het verschil in hun browser niet zien?
Dan bedoel ik niet de consument/gebruiker die op het slotje klikt om te kijken wie erachter het certificaat zit. Ik moet zelf ook toegeven dat ik dit niet bij iedere website doe, maar met mij zijn er veel. Jij ook af en toe denk ik :-)
Ik zie de meerwaarde van EV en zelfs OV wel, maar door de keuzes van de browsers zie ik dat nu eigenlijk ook niet meer.
Andere nadelen van Lets Encrypt ten opzichte van betaalde certificaten:
- Lets Encrypt past zijn voorwaarden regelmatig aan, pas je je automatisering daar niet op aan dan mislukt de renewal (in DirectAdmin tenminste).
- Lets Encrypt moet iedere 3 maanden vernieuwd worden, klanten die bewust of onbewust, en met of zonder kennis van zake, aanpassingen uitvoeren in DNS of website kunnen ervoor zorgen dat de renewal enige tijd later mislukt. Gevolg is website offline en boze klant die de hoster de schuld geeft. Bij betaalde certificaten is de renewal minder frequent en valt de 2 (straks 1) jaarlijkse renewal wel te monitoren (en daar betaald de klant dan ook voor).
Wat mij betreft hangt de keuze dus ook samen met een stukje kwaliteit/continuïteit.
Ramon Fincken
17/04/20, 12:01
Tis meer een minderwaarde van alles wat GEEN DV is Thomas.
En wat DutchTSE zegt klopt ook helemaal, die cronjobs doen hun ding wel, maar je wilt niet weten hoevaak hun eigen certbot python problemen geeft en er gewoon mee ophoudt .. Kun je de boel wel monitoren (wat wij ook dus doen) maar je moet alsnog dat probleem gaan fixen.
Per september kan je nog met 2 jaar verlengen, daarna nog per jaar. Dat zal zeer waarschijnlijk ook nog verder terug gebracht worden naar 60 of 90 dagen.
Voorheen was de groene balk in browsers echt onderscheidend. Nu dat weg is gevallen maakt het voor de gemiddelde consument geen verschil meer.
Hoevaak ik geen support moet leveren op die oh zo gratis certificaten is niet leuk meer. Dan werkt de aanvraag niet of werkt het verlengen niet etcetera. Ook blijven er meldingen komen dat verlengen niet lukt van (sub)domeinen die al lang niet meer bestaan op een server. En de LE tools zijn denk ik de meest frequente geupdate stukken software op onze servers. Iedere week ofzo is er wel weer een nieuwe versie lijkt het.
Tis meer een minderwaarde van alles wat GEEN DV is Thomas.
Dat is wel erg makkelijk gezegd he ;-)
Het ging mij vooral om wat de bezoeker of de bakker om de hoek ziet. Als je niet zelf het certificaat nakijkt zie je in de browser geen verschil.
Dat de implementatie technische uitdagingen heeft is niet het probleem van de klant. Je kunt er dan voor kiezen een ander certificaat te adviseren, maar dat doet verder niets af van het in eerste instantie belangrijkste doel van SSL: het beveiligen van de verbinding. En dat kan ook met LE.
De meerwaarde van EV ten opzichte van DV was duidelijker toen er nog een visuele indicator was. Maar primair is dat niet waarvoor de meeste, laten we het voor nu houden op bedrijven, kiezen voor SSL.
Moet ik bij zeggen dat wij echt zelden een vraag krijgen over LE. En 999 van de 1000 renewals gaan zonder problemen.
Ramon Fincken
20/04/20, 08:15
ja dat is inderdaad makkelijk gezegd, puur omdat mensen het verschil niet zien. Dan liever duidelijk een naam in de balk (waar je browser dat toont) dan een DV voor een webshop. Dus ja precies wat je zegt "De meerwaarde van EV ten opzichte van DV was duidelijker toen er nog een visuele indicator was"