ফ্রি SSL ও HTTPS: কীভাবে কাজ করে, আর প্রতিটি সাইটে কেন দরকার

SSL সার্টিফিকেট — সঠিকভাবে বললে TLS সার্টিফিকেট — ভিজিটরের ব্রাউজারকে আপনার সাইটের সাথে সংযোগ এনক্রিপ্ট করতে দেয়, আর নিশ্চিত করে যে সে আপনার ডোমেইনেই পৌঁছেছে, কোনো ছদ্মবেশীর কাছে নয়। এটাই http://-কে https:// বানায়। বেশিরভাগ ওয়েবসাইটের জন্য Let's Encrypt-এর মতো ফ্রি, স্বয়ংক্রিয়ভাবে রিনিউ হওয়া সার্টিফিকেট ভিজিটরকে পেইড সার্টিফিকেটের মতোই সুরক্ষা দেয়।

HTTPS কী করে, আর কী করে না

HTTPS ছাড়া ভিজিটর আর আপনার সার্ভারের মাঝের সবকিছু — পেজ, ফর্মে লেখা তথ্য, পাসওয়ার্ড — সাধারণ লেখা হিসেবে যায়, যা একই নেটওয়ার্কের যে কেউ পড়তে বা বদলাতে পারে। HTTPS থাকলে:

• সংযোগ এনক্রিপ্টেড, তাই মাঝখানে কেউ পড়তে পারে না;
• বদলানো থেকে সুরক্ষিত, তাই পথে কেউ বিজ্ঞাপন বা ম্যালওয়্যার ঢোকাতে পারে না;
• ব্রাউজার সার্টিফিকেট যাচাই করে, তাই জানে সে ডোমেইনের আসল মালিকের কাছেই পৌঁছেছে।

তালা চিহ্নের মানে এই নয় যে সাইটটি সৎ। একটি ফিশিং সাইটেরও নিজের নকল ডোমেইনের জন্য বৈধ সার্টিফিকেট থাকতে পারে। HTTPS প্রমাণ করে আপনি কোন ডোমেইনের সাথে কথা বলছেন, সেটি কে চালায় তা নয়।

দোকান না থাকলেও প্রতিটি সাইটে কেন দরকার

• ব্রাউজার সাধারণ HTTP পেজকে "Not secure" চিহ্নিত করে, আর ফর্মওয়ালা পেজে জোরেশোরে সতর্ক করে।
• Google ২০১৪ সাল থেকে HTTPS-কে র‍্যাংকিংয়ের একটি সংকেত হিসেবে ব্যবহার করছে।
• আধুনিক ব্রাউজারের ফিচার — দ্রুত HTTP/2 ও HTTP/3 সংযোগ, লোকেশন, নোটিফিকেশন — শুধু HTTPS-এ কাজ করে।
• ভিজিটরদের কনট্যাক্ট ফর্মের বার্তা আর আপনার নিজের অ্যাডমিন পাসওয়ার্ডেরও কার্ড নম্বরের মতোই এনক্রিপশন দরকার।

ফ্রি নাকি পেইড: পার্থক্য কোথায়?

সার্টিফিকেট তিন স্তরের যাচাইয়ে আসে:

• ডোমেইন ভ্যালিডেটেড (DV): প্রমাণ করে ডোমেইনটি আপনার নিয়ন্ত্রণে। কয়েক মিনিটে, স্বয়ংক্রিয়ভাবে দেওয়া হয়। Let's Encrypt আর অন্যান্য ফ্রি সার্টিফিকেট DV।
• অর্গানাইজেশন ভ্যালিডেটেড (OV) আর এক্সটেন্ডেড ভ্যালিডেশন (EV): কর্তৃপক্ষ ডোমেইনের পেছনের প্রতিষ্ঠানটিকেও যাচাই করে। এগুলোর দাম আছে, আর কয়েক দিন লাগে।

তিনটিতেই এনক্রিপশন একই। ব্রাউজারগুলো বহু বছর আগেই EV সার্টিফিকেটের জন্য অ্যাড্রেস বারে প্রতিষ্ঠানের নাম দেখানো বন্ধ করেছে, তাই ভিজিটর যেকোনো ক্ষেত্রে একই তালা দেখেন। কোনো চুক্তি, ব্যাংক বা নিয়ন্ত্রক সংস্থা চাইলে পেইড OV বা EV সার্টিফিকেটের মানে আছে; বাকি সবকিছুর জন্য ফ্রি DV সার্টিফিকেটই যথেষ্ট।

সার্টিফিকেটের মেয়াদ কমছে — স্বয়ংক্রিয় রিনিউয়াল এখন বাধ্যতামূলক

ব্রাউজার আর সার্টিফিকেট কর্তৃপক্ষগুলো যে নিয়মে একমত (CA/Browser Forum-এর ব্যালট SC-081), তা সার্টিফিকেট কতদিন বৈধ থাকতে পারবে তা কমিয়ে আনছে:

• ১৫ মার্চ ২০২৬ থেকে দেওয়া সার্টিফিকেট সর্বোচ্চ ২০০ দিন;
• ১৫ মার্চ ২০২৭ থেকে সর্বোচ্চ ১০০ দিন;
• ১৫ মার্চ ২০২৯ থেকে সর্বোচ্চ ৪৭ দিন।

Let's Encrypt-এর সার্টিফিকেট এতদিন ৯০ দিন চলত; তারা ঘোষণা দিয়েছে ফেব্রুয়ারি ২০২৭-এ ডিফল্ট ৬৪ দিনে আর ফেব্রুয়ারি ২০২৮-এ ৪৫ দিনে নামাবে (Let's Encrypt: সার্টিফিকেটের মেয়াদ)। এত ছোট মেয়াদে কেউ হাতে নির্ভরযোগ্যভাবে রিনিউ করতে পারে না। যে সার্টিফিকেটই ব্যবহার করুন, নিশ্চিত হোন কোনো ব্যবস্থা সেটি স্বয়ংক্রিয়ভাবে, মেয়াদ শেষের অনেক আগেই রিনিউ করছে।

ফ্রি সার্টিফিকেট কীভাবে দেওয়া হয়

DV সার্টিফিকেট দেওয়ার আগে কর্তৃপক্ষ যাচাই করে ডোমেইনটি আপনার নিয়ন্ত্রণে কি না। সবচেয়ে প্রচলিত পদ্ধতিটি (HTTP-01) সহজ: কর্তৃপক্ষ http://yourdomain/.well-known/acme-challenge/-এ একটি ফাইল চায়, আর আপনার সার্ভার একটি টোকেন দিয়ে উত্তর দেয়। এটা তখনই কাজ করে, যখন ডোমেইনটি এর মধ্যেই সার্টিফিকেট চাওয়া সার্ভারের দিকে নির্দেশ করছে। সবে নেমসার্ভার বা DNS রেকর্ড বদলে থাকলে, বদলটি কর্তৃপক্ষ পর্যন্ত পৌঁছানো পর্যন্ত অপেক্ষা করুন — দেখুন DNS প্রোপাগেশনে কত সময় লাগে।

আরও দুটো জিনিস সার্টিফিকেট আটকে দেয়: ডোমেইনে এমন একটি CAA রেকর্ড, যা শুধু অন্য কোনো কর্তৃপক্ষকে অনুমতি দেয়; আর এমন নাম যা অন্তর্ভুক্ত নয় — www.yourshop.com আর yourshop.com দুটো আলাদা নাম, দুটোই ব্যবহার হলে দুটোই সার্টিফিকেটে থাকতে হবে।

Hostular-এ SSL

নভেম্বর ২০২৬ পর্যন্ত, Hostular-এর প্রতিটি হোস্টিং প্ল্যানে প্রতিটি ওয়েবসাইটের জন্য একটি ফ্রি Let's Encrypt সার্টিফিকেট আছে। ডোমেইন আমাদের সার্ভারের দিকে নির্দেশ করার পর আপনি প্যানেল থেকে সাইটটির জন্য এটি চালু করেন; প্রতিদিন যাচাই করা হয় আর মেয়াদ শেষের আগেই রিনিউ হয়, আর সার্টিফিকেটের প্রাইভেট কী সার্ভারেই তৈরি হয়, কখনো বাইরে যায় না। প্রতিটি ওয়েবসাইটে HTTPS বাধ্যতামূলক করার একটি সুইচও আছে, যা প্রতিটি http:// অনুরোধকে https://-এ পাঠায়।

ঠিকঠাকভাবে সাইট HTTPS-এ নেওয়া

1. সার্টিফিকেট নিন, আর https:// দিয়ে সাইটটি খুলে দেখুন।
2. সাইটের নিজের ঠিকানা বদলান https://-এ — WordPress-এ Settings → General-এ "WordPress Address" আর "Site Address" দুটোই।
3. মিক্সড কনটেন্ট ঠিক করুন। HTTPS-এ খোলা কোনো পেজ যদি http:// দিয়ে ছবি, স্ক্রিপ্ট বা স্টাইলশিট আনে, তালা হারিয়ে যায়। কনটেন্ট আর থিমে http://yourdomain খুঁজে লিংকগুলো বদলান।
4. HTTP থেকে HTTPS-এ স্থায়ীভাবে রিডাইরেক্ট করুন (301), যাতে পুরোনো লিংক আর সার্চ রেজাল্ট নিরাপদ ঠিকানায় পৌঁছায়।
5. সার্চ ইঞ্জিনকে জানান। Google Search Console-এ আপনার সাইটের https:// সংস্করণ যোগ করুন, আর সেখানে সাইটম্যাপ জমা দিন।
6. HSTS-এর কথা সবশেষে ভাবুন। Strict-Transport-Security হেডার ব্রাউজারকে শুধু HTTPS ব্যবহার করতে বলে। সব ঠিকঠাক কাজ করার পরে এটি যোগ করুন; লম্বা মেয়াদের HSTS পরে কখনো সাধারণ HTTP লাগলে ফেরানো কঠিন।