תעודת SSL: מה היא עושה ואיך מגדירים HTTPS נכון

מה זה SSL ומה תעודת SSL עושה בפועל?

מי ששואל מה זה ssl מתכוון בדרך כלל לשכבת ההצפנה שמאחורי הכתובות שמתחילות ב-HTTPS. תעודת ssl היא הרכיב שמאפשר את ההצפנה הזו: קובץ שרשות אישורים מוכרת (Certificate Authority) מנפיקה לדומיין מסוים, ושהשרת מציג לדפדפן בתחילת כל חיבור. הדפדפן בודק שהתעודה בתוקף, שהיא הונפקה לשם הדומיין שהגולש הקליד ושהיא חתומה על ידי רשות שהוא סומך עליה. רק אחרי הבדיקה הזו נפתח ערוץ מוצפן, וכל מה שעובר בו, כולל טפסים וסיסמאות, מוגן מפני מי שמאזין לרשת או מנסה לשנות את התוכן בדרך.

השם SSL נשאר בשימוש מסיבות היסטוריות, אבל הפרוטוקול שמצפין היום את החיבור הוא TLS, והתעודה משמשת אותו. מסמך התקנים RFC 8996 ממרץ 2021 קבע שגם TLS 1.0 ו-TLS 1.1 לא ישמשו עוד. לכן בשרת ישן כדאי לבדוק לא רק שיש תעודה, אלא גם אילו גרסאות פרוטוקול הוא מאפשר.

חשוב להבין גם מה התעודה לא אומרת. תעודה רגילה מאמתת שמי שביקש אותה שולט בדומיין, ולא שהעסק שמאחוריו אמין או שהאתר נקי מקוד זדוני. אתר מתחזה יכול להחזיק תעודה תקפה בדיוק כמו אתר לגיטימי, ולכן HTTPS הוא תנאי בסיס לאמון ולא הוכחה שהאתר ראוי לו.

מה רואה הגולש כשאין HTTPS או כשהתעודה לא תקינה?

לפי הודעה של צוות האבטחה של Google מפברואר 2018, החל מגרסה 68 של Chrome, ביולי אותה שנה, הדפדפן מסמן כל אתר שנטען ב-HTTP כלא מאובטח. בממשק בעברית, לפי דף העזרה של Chrome, חיבור מוצפן מוצג כמצב ברירת המחדל, חיבור לא מוצפן מסומן במילים לא מאובטח, ואתר שמערכת הגלישה הבטוחה של Google סימנה כמזיק מסומן כמסוכן. סמל המנעול המוכר כבר לא מופיע: לפי הודעה של צוות Chrome ממאי 2023, בגרסה 117 הוא הוחלף בסמל ניטרלי, כי חיבור מאובטח אמור להיות המצב הרגיל.

השינוי הבא כבר הוכרז. בהודעה מאוקטובר 2025 כתב צוות האבטחה של Chrome שבאוקטובר 2026, עם גרסה 154, ההגדרה Always Use Secure Connections תופעל כברירת מחדל, כך שהדפדפן יבקש את אישור הגולש לפני כניסה ראשונה לאתר ציבורי בלי HTTPS. המועד שבו זה יגיע לכל מכשיר תלוי בקצב העדכונים, אבל המשמעות לבעל אתר ברורה: אתר לא מאובטח עלול להציג לגולש מסך אישור עוד לפני שהעמוד נטען. הטבלה מרכזת את המצבים ומה עושים בכל אחד.

השורה האחרונה בטבלה דורשת הבהרה. אזהרת מסוכן לא קשורה לתעודה, והחלפת תעודה לא תסיר אותה, כי מקורה בבדיקה של תוכן האתר עצמו. אם זה המצב, הצעדים מתוארים במדריך שלנו על אבטחת אתר וורדפרס.

DV, OV או EV: איזו תעודה צריך אתר עסקי?

תעודות נבדלות זו מזו בעיקר במה שרשות האישורים בודקת לפני ההנפקה, ולא בחוזק ההצפנה. לפי דף ההסבר לציבור של CA/Browser Forum, הגוף שמגדיר את כללי ההנפקה, תעודת DV מונפקת אחרי שהוכחה שליטה בדומיין. בתעודת OV הרשות מאמתת גם את שם הארגון ופרטים נוספים, ותעודת EV מוסיפה בדיקות מחמירות של קיום הארגון ושל מי שמבקש את התעודה בשמו.

השורה של EV מסבירה למה תעודה יקרה כבר לא משנה הרבה מבחינת הגולש. בעבר הדפדפנים הציגו את שם החברה בשורת הכתובת, אבל לפי תיעוד הפרויקט של Chromium, החל מגרסה 77, בשנת 2019, המידע הזה עבר לחלון פרטי האתר. לגולש הממוצע שלושת הסוגים נראים כמעט אותו דבר, ולכן לאתר עסקי רגיל תעודת DV היא בחירה מקצועית ולא פשרה.

Let's Encrypt היא הדוגמה המוכרת לרשות שמנפיקה תעודות DV בחינם. לפי השאלות הנפוצות שלה, נכון לאוקטובר 2026 היא לא גובה תשלום על תעודות, מציעה רק DV ולא OV או EV, ותומכת גם בתעודת Wildcard שמכסה את כל התת-דומיינים ברמה אחת, בתנאי שהאימות נעשה דרך רשומת DNS. אצל חלק מחברות האחסון התקנה כזו נעשית בלחיצה או אוטומטית, ולכן כשבוחרים אחסון אתרים כדאי לשאול על כך מראש.

כמה זמן תעודת SSL בתוקף ואיך מוודאים שהיא מתחדשת?

תוקף התעודות הולך ומתקצר, וזה הופך חידוש ידני לסיכון. לפי Let's Encrypt, התעודות שלה תקפות כברירת מחדל ל-90 יום, וההמלצה היא לחדש אותן כל 60 יום. במקביל, CA/Browser Forum אישר באפריל 2025 החלטה שמקצרת בשלבים את התוקף המרבי של כל התעודות הציבוריות, מ-398 ימים ועד 47 ימים במרץ 2029. נכון לאוקטובר 2026 התקרה לתעודה חדשה היא 200 ימים, והיא אמורה לרדת ל-100 ימים במרץ 2027.

המשמעות המעשית היא שגם מי שקונה תעודה בתשלום כבר לא יכול להתקין אותה ולשכוח ממנה לשנה. החידוש צריך להיות אוטומטי, בדרך כלל בפרוטוקול ACME שהאחסון או לוח הבקרה מריצים ברקע. בנוסף, לפי הודעה של Let's Encrypt, שירות מיילי ההתראה שלה על תפוגת תעודות הופסק ב-4 ביוני 2025, ולכן מי שסמך על המיילים האלה צריך מנגנון התראה משלו. אלה הבדיקות שכדאי לעשות פעם אחת ולתעד:

• מי מחדש: לברר אם האחסון, לוח הבקרה או שירות כמו Cloudflare אחראים לחידוש, ולוודא שאין שני מנגנונים שמתנגשים
• נתיב האימות פתוח: באימות מסוג HTTP-01, השרת של Let's Encrypt ניגש לקובץ בנתיב /.well-known/acme-challenge/ דרך פורט 80, ולכן חסימה של הפורט או חוק אבטחה שחוסם את הנתיב עלולים לעצור את החידוש
• התראה עצמאית: תאריך התפוגה רשום ביומן, או שניטור מתריע לפני שהתעודה פגה, כחלק משגרת תחזוקת אתרים לצד עדכונים וגיבויים

מה זה תוכן מעורב ולמה הוא שובר אתר עם HTTPS?

תוכן מעורב הוא מצב שבו העמוד עצמו נטען ב-HTTPS, אבל חלק מהמשאבים שלו, כמו תמונה, סקריפט או גופן, נטענים מכתובת HTTP. לפי התיעוד של MDN, הדפדפנים מחלקים את המשאבים האלה לשני סוגים. תמונות, וידאו ואודיו שמוטמעים בדרך הרגילה מוסבים אוטומטית ל-HTTPS, ואם הגרסה המאובטחת לא קיימת הם פשוט לא מוצגים. סקריפטים, גיליונות סגנון, מסגרות iframe, גופנים ובקשות מידע נחסמים לגמרי, ולכן תוכן מעורב יכול לשבור תפריט, טופס או עיצוב שלם.

באתרי וורדפרס הבעיה נוצרת בדרך כלל אחרי מעבר ל-HTTPS, כשכתובות מלאות שמתחילות ב-http:// נשארו שמורות בתוכן העמודים, בהגדרות התבנית או בקוד שהודבק ידנית. התיקון הנכון הוא להחליף אותן במקור. החלפה כזו עושים אחרי גיבוי ובכלי שמבין נתונים סריאליים, כמו הפקודה search-replace של WP-CLI, כי החלפה ישירה במסד הנתונים עלולה לשבור הגדרות שנשמרו בפורמט הזה.

כדי למצוא את המשאבים הבעייתיים פותחים את כלי המפתחים בדפדפן ובודקים את הלשונית Console, שמציגה אזהרות על תוכן מעורב. באתר גדול, כלי סריקה חוסכים את הבדיקה עמוד אחר עמוד. כרשת ביטחון אפשר להוסיף את הכותרת Content-Security-Policy עם ההוראה upgrade-insecure-requests, שמסבה ל-HTTPS גם משאבים שהיו נחסמים, אבל היא לא מחליפה תיקון במקור.

איך עוברים מ-HTTP ל-HTTPS בלי לפגוע בחיפוש?

לפי התיעוד של Google Search Central, מעבר מ-HTTP ל-HTTPS נחשב העברת אתר עם שינוי כתובות, גם אם שום דבר אחר באתר לא השתנה. ההמלצה היא להשתמש בהפניות קבועות בצד השרת, מסוג 301 או 308, מכל כתובת HTTP לכתובת ה-HTTPS המקבילה לה. הכלי לשינוי כתובת ב-Search Console לא נדרש למעבר כזה, אבל כדאי לוודא שהנכס שלכם מכסה את שתי הגרסאות, ונכס מסוג דומיין עושה זאת מעצמו. אלה הנקודות שבודקים לפני המעבר ואחריו:

• הפניה אחת לכל כתובת: כל וריאציה, עם www ובלי, מגיעה לכתובת הסופית בקפיצה אחת ולא בשרשרת
• קישורים פנימיים ו-canonical: הכתובות בתוכן, בתפריטים ובתגיות canonical מעודכנות ל-HTTPS
• מפת האתר: מפת האתר כוללת רק כתובות HTTPS, ומוגשת מחדש ב-Search Console
• אין הפניה חזרה: שום כתובת HTTPS לא מפנה ל-HTTP, גם לא דרך תוסף או חוק ישן בשרת

הסעיף האחרון חשוב במיוחד. לפי התיעוד של Google על כתובות קנוניות, Google מעדיף עמודי HTTPS על פני עמודי HTTP זהים, אבל תעודה פגומה או הפניה מ-HTTPS ל-HTTP גורמות לו להעדיף את גרסת ה-HTTP באופן חזק מאוד, והפעלת HSTS לא גוברת על ההעדפה הזו. את דוח ה-HTTPS, שמראה אילו כתובות לא הוגשו כ-HTTPS ולמה, ואת שאר הבדיקות לשבוע הראשון פירטנו במדריך ל-Google Search Console.

מה זה HSTS ומתי כדאי להפעיל אותו?

גם אחרי שכל הכתובות מפנות ל-HTTPS, הבקשה הראשונה של גולש שמקליד את הכתובת בלי פרוטוקול עלולה לצאת ב-HTTP, והיא חשופה. HSTS, קיצור של HTTP Strict Transport Security, סוגר את הפער הזה. זו כותרת שהשרת שולח, ולפי MDN היא מורה לדפדפן שהאתר נגיש רק ב-HTTPS, להסב בעצמו כל ניסיון גישה ב-HTTP ולא לאפשר לגולש לעקוף שגיאות תעודה. הדפדפן זוכר את ההוראה לפרק הזמן שמוגדר בפרמטר max-age, ומתעלם ממנה אם היא נשלחת בחיבור לא מוצפן.

ל-HSTS יש מגבלה ידועה: הוא פועל רק אחרי שהדפדפן ביקר באתר פעם אחת בחיבור מאובטח. את הביקור הראשון אפשר להגן רק דרך רשימת הטעינה המוקדמת (preload) שמוטמעת בדפדפנים. לפי אתר הרשימה, הדרישות הן תעודה תקפה, הפניה מ-HTTP ל-HTTPS, HTTPS בכל התת-דומיינים ותוקף של שנה לפחות עם ההוראות includeSubDomains ו-preload. האתר גם מזהיר שקשה לבטל הצטרפות, שהסרה מגיעה לגולשים רק אחרי חודשים, ושהרשימה חלה גם על תת-דומיינים פנימיים.

לכן הסדר הנכון, שתואם גם את ההמלצה של Google במדריך להפעלת HTTPS בשרתים, הוא להפעיל HSTS רק כשהגדרות התעודה יציבות, להתחיל ב-max-age נמוך ולהגדיל אותו בהדרגה, ולשקול preload רק כשבטוחים שכל תת-דומיין יעבוד ב-HTTPS לאורך זמן. אם האתר מחובר ל-Cloudflare, את ההגדרה עושים בממשק שלו. את מצבי ההצפנה בין Cloudflare לשרת הסברנו במדריך על Cloudflare.

האם HTTPS משפיע על הדירוג בגוגל?

התשובה מצומצמת יותר ממה שנהוג לחשוב. כש-Google הודיע באוגוסט 2014 על HTTPS כאות דירוג, הוא תיאר אותו כאות קל מאוד, עם משקל נמוך יותר מאותות כמו תוכן איכותי. בתיעוד העדכני על חוויית דף, שעודכן בספטמבר 2026, השאלה אם העמודים מוגשים בצורה מאובטחת מופיעה ברשימת השאלות לבדיקה עצמית, ונכתב שמלבד Core Web Vitals, ההיבטים האחרים של חוויית הדף לא עוזרים ישירות לדרג גבוה יותר.

כלומר, מעבר ל-HTTPS לא יקפיץ אתר בתוצאות, אבל היעדר HTTPS יוצר בעיות ממשיות: אזהרה בדפדפן שהגולש רואה לפני שהוא משאיר פרטים, ו-Google מעדיף את הגרסה המאובטחת כשהיא תקינה. לכן כדאי להתייחס לתעודת SSL כתשתית בסיסית ולא כפעולת קידום. מה שכן תלוי בכם הוא שההגדרה תהיה נקייה: תעודה שמתחדשת לבד, הפניה אחת, בלי תוכן מעורב ובלי הפניות חזרה ל-HTTP.

כשאנחנו מקימים אתר חדש, חשבון האחסון נפתח על שם העסק, התעודה מוגדרת ונבדקת לפני ההשקה, וכל עמוד נבדק ב-11 רוחבי מסך. כך יודעים שהאתר עולה לאוויר בחיבור מאובטח מהיום הראשון ושהשליטה בו נשארת אצלכם. אם אתם בונים אתר חדש או רוצים להעביר אתר קיים ל-HTTPS בלי הפתעות, השאירו פרטים וקבעו שיחת אפיון.