Hemblinqdə SSL və HTTPS sistemi necə işləyir

Onlayn kazinolar ödənişləri, KYC sənədlərini, seansların və nəticələrin tarixçəsini emal edir. Hər hansı bir sızma - cərimələr, ekvayrinqin bloklanması, reputasiya zərəri. SSL/TLS və HTTPS - əsas «zireh» kanalı «brauzer-server», yetkin infrastrukturlarda isə «CDN/WAF-origin» və mTLS-lər daxili API-lərdə (PAM, RGS, ödəniş vebhukları). Kapotun altında nəyin olduğunu və hambling üçün hər şeyin necə düzgün qurulduğunu anlayaq.

Məlumat bazası: SSL, TLS və HTTPS fərqlidir

TLS - nəqliyyat şifrələmə protokolu (köhnəlmiş SSL-nin varisi).

HTTPS - TLS vasitəsilə tunelləşdirilmiş adi HTTP.

Məqsədlər: məxfilik (şifrələmə), bütövlük (MAC/AEAD) və server orijinallığı (sertifikat).

TLS əl sıxışında nə baş verir (çox qısa)

1. Müştəri «salam»: alqoritmlər, SNI (hansı domen), ALPN (HTTP/1. 1 və ya HTTP/2/3).

2. Server + etibarlılıq zənciri və şifrələmə parametrləri ilə cavab verir.

3. Tərəflər açarlar barədə razılığa gəlirlər (ECDHE → Perfect Forward Secrecy).

4. Sertifikatın yoxlanılması (zəncir, müddət, geri çağırılmış/geri çağırılmamış, ad üst-üstə düşür).

5. Şifrəli kanal hazırdır; sonra adi HTTP gəlir - artıq TLS daxilində.

Optimizasiyalar: TLS 1-də 0-RTT Resumption/Session Tickets. 3 (RTT qənaət edir, lakin sorğuların təkrarlanması səbəbindən ehtiyatlılıq tələb edir).

Sertifikatlar və PKI (operatorlar üçün vacib olan)

Növləri: DV (domen), OV (təşkilat), EV (genişləndirilmiş yoxlama). Casino üçün adətən OV/EV ümumi domenlərdə.

Wildcard '.example. com 'və/və ya bir neçə domen üçün SAN.

Certificate Transparency: CT-loqlarda nəşr, brendimizə «yad» buraxılışları izləyirik.

OCSP stapling: server yoxlamanı sürətləndirərək geri çağırış statusunu «əlavə edir».

💡 Daxili xidmətlər (administrator, vebhuk, servis-tu-servis) - daha çox mTLS-də xüsusi CA-dan: server və müştəri bir-birinə sertifikatlar təqdim edir.

Real iGaming kaskadında HTTPS


Oyunçu brauzeri → CDN/WAF → (TLS) → Origin/Frontend
↓ (TLS)
API Gateway / PAM
↓ (mTLS)
RGS / Payments

Əsas prinsip: hər qovşaqda şifrələmə. TLS CDN-də kəsilirsə, CDN və origin arasında məcburi TLS olmalıdır, əks halda partnyorun perimetri daxilində tutulma mümkündür.

Tam nəyi şifrələyirik və harada vacibdir

Depozitlər/nəticələr: şəxsi hesab, doldurma, Visa Direct/Mastercard Send statusları - ciddi HTTPS.

KYC: sənəd yükləmələri və çatlar - yalnız HTTPS + təhlükəsiz cookies.

Oyun tarixi/balans: şəxsi məlumatlar, məcburi şifrələmə.

WebSockets: canlı casino/söhbətlərdə wss ://( soket üçün TLS) istifadə edirik.

PSP vebhukları: tez-tez mTLS + imza ilə HTTPS qəbul edirik.

«Gigiyena» TLS konfiqurasiyası

Versiyası: TLS daxil 1. 2/1. 3, söndürmək SSLv3/TLS 1. 0/1. 1.

Şifrələr: ECDHE + AES-GCM/ChaCha20-Poly1305 (PFS).

HSTS: `Strict-Transport-Security: max-age=31536000; includeSubDomains; mixed content aradan qaldırıldıqdan sonra preload '.

Security headers:

`Content-Security-Policy` (с `frame-ancestors` вместо `X-Frame-Options`)
`X-Content-Type-Options: nosniff`
'Referrer-Policy: no-referrer-when-downgrade' (və ya daha sərt)
Cookie: 'Secure; HttpOnly; SameSite = Lax/Strict 'seanslar üçün.
mixed content qadağası: HTTPS səhifələrində HTTP məzmunu yoxdur.
Açarlar: RSA-2048/3072 və ya EC-P256/P384; HSM/KMS-də saxlama, siyasət rotasiyası.

Tez-tez memarlıq genişləndirilməsi

mTLS üçün: adminks, back-ofis API, ödəniş vebhukları, CDN → origin əlaqələri.

SNI/ALPN: IP qənaət və HTTP/2/3 qədər yeniləmə.

Pinning: sərt HPKP (köhnəlmiş) deyil, mobil müştəri/SDK səviyyəsində CT və pin-siyahıların monitorinqi.

DDoS qatları: TLS terminasiyası + L7 qorunması ilə WAF/CDN, lakin təkrar - şifrləmə və «CDN arxasında».

Monitorinq və əməliyyat

Avtomobil satışı (ASME/avtomatlaşdırma), bitməsinə 30/14/7/1 gün qalmış alertalar.

Buraxılışlardan sonra konfiqurasiya skan; TLS Misconfig testləri.

Metriklər: əl sıxma səhvləri, versiya/ALPN, paylaşım HTTP/2/3, gizlilik.

CT-monitorinq: marka şübhəli sertifikatlar haqqında xəbərdarlıq.

Log: downgread cəhdləri, 'cipher _ mismatch', 'bad _ record _ mac' sıçrayışları.

DR/BCP: ehtiyat sertifikatlar, revoke/replace/rotate prosedurları.

Hadisələr və reaksiya (runbook)

1. Açarın pozulmasına şübhə → dərhal revoke, yeni buraxılış, bütün balanslayıcılarda/ingress.

2. Mixed content → CI/CD-də blok + SAST/linter hesabatları.

3. Köhnəlmiş sertifikat → təcili buraxılış + retrospektiv (monitorinq niyə işləmədi).

4. Fişinq domenləri → CT-alert → CA/browser satıcılarına şikayət, oyunçulara ünsiyyət.

Hembling tipik səhvlər

TLS CDN → heç bir şifrələmə CDN → origin bitir.

HSTS yoxdur və ya mixed content (site qırılır) aradan qaldırılmadan aktivləşdirilmişdir.

«SameSite »/« HttpOnly» olmadan kuklalar.

Admin mTLS və IP-allow-list əvəzinə DV sertifikatı ilə ictimai domenlərdən mövcuddur.

CT monitorinqi yoxdur: təcavüzkar oxşar domen buraxır - oyunçular aparılır.

Xidmətlər arasında daxili bağlantılar şifrələnmir.

Sertifikatların seçimi üzrə mini bələdçi

Ümumi domenlər (marka): OV/EV (memarlıq üzrə + SAN/Wildcard).

Maşın kanalları (PSP vebhuk, admin-API): xüsusi CA + mTLS.

Administration və ictimai cəbhə üçün ayrı sertifikatlar (müxtəlif açarlar, fərqli siyasətlər).

Mərkəzləşdirilmiş avtomatlaşdırma (ACME) və nginx/Envoy/Ingress vahid şablonları.

Operator çek siyahısı (qısa)

: TLS 1. 2/1. 3, ECDHE+AES-GCM/ChaCha, OCSP stapling, HSTS preload, CSP, Secure/HttpOnly/SameSite, запрет mixed content.

Infra: origin TLS, daxili/kritik API mTLS, HSM/KMS açarları, CT monitorinq.

Proseslər: avtomobil istehsalı, alert, pentest perimetri, runbook revoke/rotate, hər buraxılışdan sonra yoxlamalar.

Giriş siyasəti: ayrıca domen admin, IP-allow-list, 2FA, rolların fərqləndirilməsi.

Oyunçu çek siyahısı

https ://ünvan xəttində və «kilid» xətasız.

Browser sertifikat və ya «qarışıq məzmun» söyürsə, CUS/ödəniş məlumatlarını daxil etməyin.

Domeni hərfdən əvvəl yoxlayın; məktublardan «casino» klikləməyin - əlfəcinlərdən daxil olun.

FAQ (qısa)

EV sertifikatı lazımdırmı? Məcburi deyil. Əsas odur ki, düzgün TLS konfiqurasiyası və prosesləri. EV B2B-də inamı artıra bilər.

PSP kart məlumatları götürürsə, HTTPS olmadan ola bilərmi? Yox. Loginlər, tokenlər, KYC, söhbətlər, tarix - bütün bunlar şəxsi məlumatlardır.

0-RTT в TLS 1. 3 təhlükəsiz? İdempotent GET üçün - bəli; hembling POST üçün söndürmək və ya məhdudlaşdırmaq daha yaxşıdır.

Lisenziyalı HTTPS operatoru üçün - bir işarə deyil, sistem: güclü TLS profili, HSTS və CSP, təhlükəsiz cookie, şifrələmə «CDN», daxili kanallarda mTLS və açar intizamı. Bu, ödənişləri və KYC məlumatlarını qoruyur, PSP/bankların satışını sürətləndirir və oyunçuların etibarını artırır - yəni gəlir və lisenziyalara birbaşa təsir göstərir.