EV SSL сертификати (Extended Validation SSL)

Предназначението на EV SSL сертификата е да внушава чувство на сигурност, законност и доверие в посетителите на сайта, което да се пренесе като отношение и към предлаганите продукти и услуги.

За да гарантира това най-високо ниво на доверие, сертифициращият орган (Certification Authority, CA) извършва много повече проверки при валидиране на EV SSL сертификат в сравнение с другите видове сертификати (DV и OV).

Съществуват три основни типа SSL сертификати, в зависимост от нивото на валидация при издаването им:

  • DV SSL сертификати с валидация по домейн (Domain Validation);
  • OV SSL сертификати с валидация по организация (Organization Validation);
  • EV SSL сертификати с разширена валидация (Extended Validation).

Вижте за плюсовете и минусите на различните нива на валидиране при SSL сертификатите: 🔗 Видове валидация на SSL сертификат: Какво е важно да знаете? | Blog

Какво е Extended Validation/EV SSL?

Extended Validation SSL са вид SSL сертификати, които имат за цел да предоставят на потребителите по-голяма сигурност при използването на определен сайт. Проверката на организацията е разширена, като има определени правила, които е необходимо да се следват. Времето за издаване на такъв вид сертификати е между 2 и 10 дни в зависимост от SSL издателя и избрания SSL сертификат.

При издаване на EV сертификат за определен сайт, се следват следните строго определени правила от страна на Сертифицирания авторитетен издател (CA):

  • Проверка на правното, физическо и оперативно съществуване на юридическото лице;
  • Проверка за установяване дали идентичността на юридическото лице съвпада с официалните данни;
  • Проверка за установяване дали юридическото лице има ексклузивното право да използва определен домейн;
  • Проверка за установяване дали юридическото лице правилно е оторизирало издаването на сертификата.

По този начин се предотвратяват всякакви опити за измама или фишинг. Потребителите могат да установят дали даден уеб сайт притежава EV сертификат чрез следните визуални обозначения:

  • Името на компанията е изписано в адресната лента, след клик върху катинара;
  • Протокол https:// в началото на URL адреса;
  • Заключен катинар в адресната лента;
  • Информация за организацията в детайлите на сертификата.

Защо да изберем SSL сертификат с разширена валидация (EV)?

SSL сертификатът с разширена валидация (Extended Validation SSL) е лесен и надежден начин да се създаде доверие у посетителите на вашия сайт. Само при Extended Validation SSL сертификати името на организацията може да се види с един клик върху катинарчето в адресната лента на браузъра. По този начин посетителят на сайта веднага може да се увери, че е попаднал на правилния сайт и че този сайт предоставя максимална защита на данните и личната информация на посетителя.

Името на организацията се вижда при клик върху катинара в адресната лента.

EV SSL сертификатът гарантира, че връзката със сайта е криптирана и организацията е била сертифицирана в съответствие с най-строгите индустриални стандарти. SSL сертификатът е един вид удостоверение, че въпросният уеб сайт, както и осъществявания през сайта бизнес, е законен и компания е проверена.

Процедура по верификация

След като данните за издаване на сертификат са изпратени към издателя, т.е. след като сертификатът е конфигуриран, издателят (Symantec, GeoTrust и Sectigo) изпраща имейл, в който е описана процедурата по верификация.

При издаването на сертификат с разширена валидация (Extended Validation) има някои особености, като освен че се прави валидация по домейн, се верифицира и компанията (юридическото лице), за която е заявен сертификатът. Този процес включва проверка, дали фирмата (организацията) е регистрирана в съответната държава и на съответния адрес, какъв е статутът ѝ, кой я управлява и т.н., като за тази цел се изисква изпращане на официален документ.

Най-често се изисква изпращането на официален документ да стане по факс, а при невъзможност по мейл. За България официалният документ е актуалното състояние на фирмата.

Актуалното състояние може да се изпрати в оригинал на български език, но изпращането на документа на английски език, т.е. предварително преведен, доста съкращава процедурата по издаването на сертификата. Може към оригиналния документ да се приложи принтскрийн от актуалното състояние на фирмата, направен от сайта на търговския регистър (https://public.brra.bg/CheckUps/Verifications/VerificationPersonOrg.ra), както и на издателя на сертификата да се изпрати директен линк към този сайт, за да може той да направи проверката.

Цялата процедура по издаването на сертификата отнема около 30 дни.

За всяка компания (организация) може да бъдат извършени проверки на различни нива, като това зависи от преценката на издателя на сертификата. 

Изисквания за разширено валидиране

Независимо от личният избор на сертифициращ орган CA, изискванията за разширена валидация са почти едни и същи при всички издатели.

Това се дължи на форума „CA/B“ (Certificate Authority and Browser), който е регулаторен орган, управляван от CA и компаниите, които стоят зад най-популярните уеб браузъри. Те заедно гарантират, че SSL сертификатите работят еднакво във всички браузъри. Също така в рамките на форума са определени базовите изисквания, необходими за издаване на валиден EV SSL сертификат.

Изискванията, които трябва да покрие всеки кандидат, са:

  • Формуляр за регистрация;
  • Удостоверяване на организация;
  • Оперативно съществуване;
  • Физически адрес;
  • Удостоверяване на телефонен номер;
  • Валидиране на домейн;
  • Окончателно потвърждение в телефонно обаждане;
  • Пет въпроса за удостоверяване;
  • Изтегляне на Opinion Letter;

Формуляр за записване

Първото изискване за получаване на SSL сертификат за разширена валидация е най-лесното. Просто попълнете формуляра за регистрация и го върнете на сертифициращият орган. Формулярът е една страница, изисква само основна информация за вас и вашата организация.

По време на EV процеса лицето, което кандидатства за сертификата – ще бъде лице за контакт (организационен контакт) с вашата компания. Идеята е да се установи, че организационният контакт има право да действа от името на организацията. Така се елиминира възможността да се контактува с лице, което може да се представи за оторизиран служител на организацията, с цел измама.

Формулярът за регистрация се фокусира върху получаване на информация за организационния контакт. Той изисква името на организацията, пълното име на организационния контакт, официалната длъжност на организационния контакт, подпис на организационния контакт и датата и мястото на подписване.

За съжаление, цифрови подписи и печати не се приемат, така че ще трябва да отпечатате формуляра, да го подпишете и след това да го сканирате или да го изпратите по факс обратно на CA.

Удостоверяване на организация

Сега сертифициращият орган проверява дали Вашата фирма е законно юридическо лице, което е регистрирано и активно в местната община.

Изискването за удостоверяване на организацията е доста лесно – CA ще провери дали вашата организация е законно регистриран бизнес. Ако организацията ви работи под други търговски имена, различни от официално регистрираното бизнес име, тази информация трябва да бъде точна и актуална.

В повечето случаи сертифициращият орган ще провери всичко чрез използване на официалните административни сайтове, както и сайтовете, които показват статуса на регистрация на стопанските субекти. Изключително важно е детайлите, посочени в базата данни, да съвпадат с информацията, която сте записали във формуляра за регистрация.

Ако CA не може да удостовери вашата организация, използвайки наличните онлайн ресурси, вие имате на разположение два други метода за удовлетворяване на изискването за удостоверяване на организацията:

  • Официални документи за регистрация – може да предоставите на CA официални документи за регистрация, които са издадени от местната държавна администрация и показват, че вашата организация е реален бизнес и че е призната като такава от местното управление.
  • POL (Professional Opinion Letter) – по същество това е документ, в който лицензиран адвокат или професионален счетоводител гарантира за легитимността на вашата компания.

Оперативно съществуване

Сертифициращият орган CA трябва да потвърди, че вашата фирма е функционирала три или повече години. Всъщност има шанс изобщо да не се налага да предоставяте никаква документация и CA ще може да провери оперативното съществуване на фирмата ви само чрез онлайн проверка в административни сайтове, където е записана датата на регистрация.

Ако местната администрация не поддържа актуални онлайн записи или ако вашата компания е на по-малко от три години, тогава трябва да ползвате алтернативни начина за доказване на оперативното съществуване:

  • Официални документи за регистрация – ако фирмата ви работи повече от три години, просто трябва да изпратите документ, издаден от местната администрация като учредителен акт, лиценз…
  • Dun & BradstreetDun and Bradstreet е авторитетна компания, която предоставя кредитни доклади за бизнеса. Независимо от продължителността на дейността на вашата компания, ако има кредитен доклад на Dun & Bradstreet за вашата организация, CA могат да го използват за проверка на оперативното съществуване.
  • Писмено потвърждение от банка – без значение колко време е работила вашата организация, ако имате активна разплащателна сметка в местна финансова институция, трябва само да предоставите писмо с потвърждение на тази информация до CA.
  • POL (Professional Opinion Letter) – ако имате Писмо за професионално становище – заверено писмо от адвокат или счетоводител, удостоверяващо легитимността на вашата компания – може да го използвате, за да докажете съществуването на вашата компания.

Всяка от тези опции ще удовлетвори изискванията за доказване на оперативно съществуване и ще ви придвижи една стъпка по-близо до издаването на EV SSL сертификат.

Физически адрес

Сертифициращият орган трябва да провери улицата, градът, регионът и държавата в адреса на вашата фирма за да докажете, че вашата организация има установено физическо присъствие в държавата, където е регистрирана.

Първият начин, по който СА ще се опита да направи това, е като провери в държавните административни сайтове за публично достъпния адрес на вашата компания. Всичко трябва да съответства точно на данните за сертификата във формуляра за регистрация. СА не приемат за физически адрес номер на пощенски кутии или адреси на офшорни компании.

Има три алтернативни начина да се докаже физическият адрес на фирмата, ако онлайн търсенето на СА в административните бази данни не даде резултат:

  • Официални документи за регистрация – може да изпратите официални документи за регистрация, издадени от местната администрация, които съдържат физическия адрес на компанията.
  • Dun & Bradstreet – може да използвате информация в кредитен доклад на Dun & Bradstreet (DUNS), които CA оценява като незаменим източник на информация, когато проверява организации.
  • POL (Professional Opinion Letter) – извън формуляра за регистрация POL може да се използва за удовлетворяване на всяко изискване в процеса на разширена валидация.

Удостоверяване на телефонен номер

Проверката на телефонния номер е следващото изискване за издаване на EV SSL сертификат. Както при много от предишните изисквания, сертифициращите органи първо ще се опитат да проверят тази информация в базата данни на държавните административни сайтове. Ако базата данни в местната община съдържа телефонния номер на вашата компания, заедно с цялата друга информация, тогава ще изпълните това изискване лесно.

За съжаление, повечето бизнес ориентирани административни сайтове не показват тази информация. Ако CA не може да потвърди вашия телефонен номер онлайн, има три други метода, които може да използвате, за да изпълните това изискване:

  • Телефонен указател на трета страна – CA могат да използват съществуващ или нов телефонен указател от директория на трети страни. Примери за директории, ползващи се с доверие включват Yellow Pages, Scoot, 192.com. Имайте предвид, че всички данни в малката обява трябва да съответстват на информацията в сертификата на фирмата и формуляра за регистрация.
  • Dun & Bradstreet – кредитните отчети на DUNS могат да се използват и за проверка на физическия адрес и оперативното съществуване.
  • POL (Professional Opinion Letter) – POL може да се използва за удовлетворяване на всяко изискване, с изключение на формуляра за записване.

Валидиране на домейн

Сертифициращият орган трябва да се убеди, че вашата компания наистина притежава домейна, който е бил посочен във формуляра за регистрация.

Първият начин, по който CA ще се опита да провери дали вашата компания притежава въпросния домейн, е да провери WHOIS базата данни, която показва информация за регистранта на домейна.

Обикновено WHOIS информацията е защитена с Privacy Protection (GDPR Whois Protection за гражданите на EU) най-малкото за да не се получава спам на контактната поща на домейна тъй като информацията е публично достъпна и за всички спамъри.

Най-лесният начин за валидиране на домейн е да създадете пощенска кутия с предварително одобрена от CA поща и да изпратите имейла за потвърждение в тази поща, като я посочите в заявката (заменяте sitedomain.com с вашия домейн):

admin@sitedomain.com

Както и при повечето други изисквания, може да посочите домейна в POL (Professional Opinion Letter).

Окончателно потвърждение в телефонно обаждане

Сертифициращият орган трябва да проведе телефонен разговор с Вас или с Организационния контакт, като използва вашия потвърден бизнес телефонен номер, за да потвърди подробностите за Вашата поръчка.

Тази стъпка е сравнително проста тъй като сертифициращият орган вече е получил и приел от вас следните документи: формуляр за регистрация, удостоверяване на организацията, доказване на оперативно съществуване, потвърдени физически адрес, телефонен номер и собственост на домейн.

Сега остава единствено CA да се обади на проверения телефонен номер на вашата компания и да говори с вас или с организационния контакт. CA ще използва обаждането, за да провери детайлите на поръчката, за да може да издаде сертификата.

Възможни проблеми при обаждането може да възникнат при прехвърляне на разговора от оператор към вас. Уверете се също, че повикванията не се прехвърлят към гласова поща. Бъдете уверени, че CA ще положи всички усилия да се свърже с вас.

Пет въпроса за удостоверяване*

Пет въпроса, които служителят на CA ще зададе в телефонния разговор с организационния контакт:

  1. Техническият контакт има ли право да получи сертификата?
  2. Техническият контакт има ли право да делегира отговорности по SSL?
  3. Знаете ли за собствеността и правомощията на компанията над домейна?
  4. Одобрявате ли заявката за EV SSL сертификата?
  5. Потвърждавате ли подписа под Subscriber Agreement?

* Въпросите са специфични за един отделен издател и ги публикуваме само с информативна цел. Други издатели вероятно използват различни въпроси и по никакъв начин не са задължени да предоставят подобен въпросник.

Professional Opinion Letter за разширено валидиране (EV)

Когато кандидатствате за EV SSL, създаването на Professional Opinion Letter може значително да ускори процеса за удостоверяване. Счетоводителят (certified public accountant, CPA) или адвокатът, които подписват писмото, трябва да бъдат регистрирани в съответния управляващ орган, а телефонните им номера трябва да бъдат достъпни онлайн, за да може CA да извърши проверка по телефона.

SSL/TLS сертификатите с разширена валидация (EV) създават най-високото ниво на доверие в сайта и името на бизнеса. Един пример за бюджетно ориентиран EV SSL сертификат, подходящ за всеки тип онлайн магазин е True BusinessID with EV.

Обновена: 17.03.2022

Беше ли Ви полезна тази статия?

Вижте още