Як працює система SSL і HTTPS в гемблінгу

Онлайн-казино обробляють платежі, документи KYC, історію сесій і висновків. Будь-який витік - штрафи, блокування еквайрингу, репутаційний збиток. SSL/TLS і HTTPS - базова «броня» каналу «браузер ↔ сервер», а в зрілих інфраструктурах ще й «CDN/WAF ↔ origin» і mTLS на внутрішніх API (PAM, RGS, платіжні вебхуки). Розберемо, що під капотом і як все правильно налаштовувати саме для гемблінгу.

База: чим відрізняються SSL, TLS і HTTPS

TLS - протокол шифрування транспорту (наступник застарілого SSL).

HTTPS - звичайний HTTP, тунельований через TLS.

Цілі: конфіденційність (шифрування), цілісність (MAC/AEAD) і автентичність сервера (сертифікат).

Що відбувається в рукостисканні TLS (дуже коротко)

1. Клієнт «вітається»: алгоритми, SNI (який домен), ALPN (HTTP/1. 1 або HTTP/2/3).

2. Сервер відповідає сертифікатом + ланцюжком довіри та параметрами шифрування.

3. Сторони домовляються про ключі (ECDHE → Perfect Forward Secrecy).

4. Перевірка сертифіката (ланцюжок, термін, відкликаний/ні, ім'я збігається).

5. Шифрований канал готовий; далі йде звичайний HTTP - вже всередині TLS.

Оптимізації: Resumption/Session Tickets, 0-RTT в TLS 1. 3 (економить RTT, але вимагає обережності через повтори запитів).

Сертифікати та PKI (що важливо операторам)

Типи: DV (домен), OV (організація), EV (розширена перевірка). Для казино зазвичай OV/EV на публічні домени.

Wildcard для'.example. com'і/або SAN для декількох доменів.

Certificate Transparency: публікація в CT-логах, моніторимо «чужі» випуски на наш бренд.

OCSP stapling: сервер «підшиває» статус відкликання, прискорюючи перевірку.

💡 Внутрішні сервіси (адмінка, вебхуки, сервіс-ту-сервіс) - частіше на mTLS від приватного CA: сервер і клієнт пред'являють сертифікати один одному.

HTTPS в реальному каскаді iGaming


Браузер гравця → CDN/WAF → (TLS) → Origin/Frontend
↓ (TLS)
API Gateway / PAM
↓ (mTLS)
RGS / Payments

Ключовий принцип: шифрування на кожному стику. Якщо TLS обривається на CDN, між CDN і origin повинен бути обов'язковий TLS, інакше перехоплення можливе всередині периметра партнера.

Що саме шифруємо і де це важливо

Депозити/висновки: особистий кабінет, поповнення, Visa Direct/Mastercard Send статуси - строго HTTPS.

KYC: завантаження документів і чати з саппортом - тільки HTTPS + безпечні куки.

Історія гри/баланс: приватні дані, обов'язкове шифрування.

WebSockets: використовуємо wss://( TLS для сокетів) в лайв-казино/чатах.

Вебхуки PSP: приймаємо по HTTPS, часто з mTLS + підпис тіл.

«Гігієна» TLS-конфігурації

Версії: увімкнути TLS 1. 2/1. 3, відключити SSLv3/TLS 1. 0/1. 1.

Шифри: ECDHE + AES-GCM/ChaCha20-Poly1305 (PFS).

HSTS: `Strict-Transport-Security: max-age=31536000; includeSubDomains; preload'після усунення mixed content.

Security headers:

`Content-Security-Policy` (с `frame-ancestors` вместо `X-Frame-Options`)
`X-Content-Type-Options: nosniff`
`Referrer-Policy: no-referrer-when-downgrade'( або суворіше)
Кукі: `Secure; HttpOnly; SameSite = Lax/Strict'для сесій.
Заборона mixed content: жодного HTTP-контенту на HTTPS-сторінках.
Ключі: RSA-2048/3072 або EC-P256/P384; зберігання в HSM/KMS, ротація по політиці.

Часті архітектурні розширення

mTLS для: адмінки, бек-офісних API, платіжних вебхуків, з'єднань CDN→origin.

SNI/ALPN: економія IP і апгрейд до HTTP/2/3.

Пінінг: не жорсткий HPKP (застарів), а моніторинг CT і pin-списки на рівні мобільних клієнтів/SDK.

DDoS-шари: WAF/CDN з TLS-термінацією + захист L7, але повторимо - шифруємо і «за CDN».

Моніторинг та експлуатація

Автопродовження (АСМЕ/автоматизація), алерти за 30/14/7/1 день до закінчення.

Скан конфігурації після релізів; тести на TLS Misconfig.

Метрики: помилки рукостискання, версія/ALPN, share HTTP/2/3, латентність.

CT-моніторинг: оповіщення про підозрілі сертифікати на ваш бренд.

Логи: спроби даунгрейда, сплески'cipher _ mismatch','bad _ record _ mac'.

DR/BCP: запасні сертифікати, процедури revoke/replace/rotate.

Інциденти та реакція (runbook)

1. Підозра на компрометацію ключа → негайний revoke, випуск нового, ротація на всіх балансерах/ingress.

2. Mixed content → блок в CI/CD + звіти SAST/лінтерів.

3. Протухлий сертифікат → аварійний випуск + ретроспектива (чому моніторинг не спрацював).

4. Фішингові домени → CT-алерт → скарга в СА/браузерні вендори, комунікація гравцям.

Типові помилки в гемблінгу

TLS закінчується на CDN → немає шифрування CDN→origin.

Відсутній HSTS або включений без усунення mixed content (ламається сайт).

Сесійні куки без'SameSite '/' HttpOnly'.

Адмінка доступна з публічних доменів з DV-сертифікатом замість mTLS і IP-allow-list.

Немає CT-моніторингу: зловмисник випускає схожий домен - гравці ведуться.

Не шифруються внутрішні з'єднання між сервісами.

Міні-гайд за вибором сертифікатів

Публічні домени (бренд): OV/EV (+ SAN/Wildcard по архітектурі).

Машинні канали (PSP вебхукі, адмін-API): приватний CA + mTLS.

Окремі сертифікати для адмінки та публічного фронту (різні ключі, різні політики).

Централізована автоматизація (ACME) і єдині шаблони nginx/Envoy/Ingress.

Чек-лист оператора (коротко)

Конфіг: TLS 1. 2/1. 3, ECDHE+AES-GCM/ChaCha, OCSP stapling, HSTS preload, CSP, Secure/HttpOnly/SameSite, запрет mixed content.

Інфра: TLS до origin, mTLS на внутрішніх/критичних API, ключі в HSM/KMS, CT-моніторинг.

Процеси: автопродовження, алерти, пентест периметра, runbook revoke/rotate, перевірки після кожного релізу.

Політика доступу: адмінка на окремому домені, IP-allow-list, 2FA, розмежування ролей.

Чек-лист гравця

У адресному рядку https://і «замок» без помилок.

Не вводьте КУС/платіжні дані, якщо браузер лається на сертифікат або «змішаний контент».

Перевіряйте домен до літери; не клікайте «казино» з листів - заходьте з закладок.

FAQ (коротко)

Чи потрібен EV-сертифікат? Не обов'язковий. Головне - коректна конфігурація TLS і процеси. EV може підвищити довіру в B2B.

Якщо PSP бере карткові дані, можна без HTTPS? Ні, ні. Залишаються логіни, токени, KYC, чати, історія - все це персональні дані.

0-RTT в TLS 1. 3 безпечний? Для ідемпотентних GET - так; для POST-ів в гемблінгу краще відключити або обмежити.

Для ліцензованого оператора HTTPS - не галочка, а система: сильний TLS-профіль, HSTS і CSP, безпечні куки, шифрування «за CDN», mTLS на внутрішніх каналах і дисципліна ключів. Це захищає платежі і KYC-дані, прискорює онбординг у PSP/банків і підвищує довіру гравців - тобто безпосередньо впливає на виручку і ліцензії.