ফ্রি বনাম পেইড এসএসএল সার্টিফিকেট: আপনার আসলে কোনটা দরকার

মূল প্রশ্নটার মীমাংসা শুরুতেই করে ফেলি, কারণ এ নিয়ে বেশিরভাগ লেখা চারশো শব্দ খরচ করে প্রশ্নটা এড়াতে।

Let's Encrypt-এর ফ্রি সার্টিফিকেট আপনার ট্র্যাফিক ঠিক ততটাই শক্তিশালীভাবে এনক্রিপ্ট করে, যতটা বছরে ৩০০ ডলারের সার্টিফিকেট করে। একই অ্যালগরিদম, একই কী দৈর্ঘ্য, আড়ি পাতার বিরুদ্ধে একই সুরক্ষা। যে পাতা আপনাকে বলছে পেইড সার্টিফিকেট "বেশি নিরাপদ", সেই পাতা একটা সার্টিফিকেট বিক্রি করছে।

টাকা দিয়ে যা কেনেন তা এনক্রিপশন নয়। কেনেন পরিচয় যাচাই আর একটি ওয়ারেন্টি। এ দুটি সত্যিকারের পণ্য, সত্যিকারের কাজেও লাগে — আর বেশিরভাগ ওয়েবসাইটের এর কোনোটিই লাগে না। এই লেখাটা আপনি কোন দলে, তা বোঝার জন্য।

সার্টিফিকেট আসলে কী করে

দুটি আলাদা কাজ, আর এ দুটো গুলিয়ে ফেলা থেকেই বিভ্রান্তির শুরু।

এনক্রিপশন। ব্রাউজার আর সার্ভারের মাঝের সবকিছু এলোমেলো করে দেওয়া হয়। ক্যাফের ওয়াই-ফাইয়ে বসা কেউ যেন পাসওয়ার্ড পড়তে না পারে, সেটি এটাই ঠেকায়। ফ্রি হোক বা পেইড, প্রতিটি সার্টিফিকেট এটি একইভাবে করে।

পরিচয়। সার্টিফিকেট বলে দেয় ওপাশে কে আছে। এখানেই পার্থক্য, আর পুরোটাই নির্ভর করে ইস্যু করার আগে সার্টিফিকেট কর্তৃপক্ষ কতটা কঠোরভাবে যাচাই করেছে তার ওপর।

পার্থক্য বলতে এটুকুই। নিচের সবকিছুই এখান থেকেই আসে।

তিনটি যাচাই স্তর

DV ডোমেইনটি প্রমাণ করে। ভিজিটর জানতে পারেন তিনি আসল example.com-এর সঙ্গেই কথা বলছেন, কোনো ছদ্মবেশীর সঙ্গে নয় — তালার চিহ্নটি চিরকাল ঠিক এটাই বুঝিয়েছে।

OV এর সঙ্গে সার্টিফিকেটের ভেতরে আপনার আইনি প্রতিষ্ঠানের নামও বসায়। দুটি ডায়ালগ পার না হলে কেউ সেটি দেখে না, তবে দেখা যায় — আর কিছু প্রকিউরমেন্ট প্রক্রিয়া ও পেমেন্ট প্রোভাইডার এটি চায়।

EV একসময় অ্যাড্রেস বারে সবুজ রঙে কোম্পানির নাম দেখাত। ব্রাউজারগুলো বহু বছর আগেই সেই প্রদর্শন তুলে দিয়েছে — গবেষণায় দেখা যায় এতে ব্যবহারকারীর আচরণ বদলায় না, তাই Chrome ও Firefox দুটোই ২০১৯ সালের দিকে এটি বাদ দেয়। অর্থাৎ EV যে দৃশ্যমান সুবিধার কথা বলে বিক্রি হতো, তা আর নেই। মাঝেমধ্যে চুক্তিতে এটি বাধ্যতামূলক করা হয়, আর কার্যত এখন সেটাই এটি কেনার একমাত্র কারণ।

তাহলে কখন সত্যিই টাকা দেবেন?

চারটি পরিস্থিতি, আর কেবল চারটিই।

১. ওয়াইল্ডকার্ড সার্টিফিকেট দরকার। একটি সার্টিফিকেট যা *.example.com ঢাকে — যেকোনো সাবডোমেইন, এমনকি যেগুলো এখনো বানাননি সেগুলোও। Let's Encrypt ফ্রিতে ওয়াইল্ডকার্ড দেয়, তবে কেবল DNS-01 ভ্যালিডেশনে — অর্থাৎ আপনার ডিএনএস প্রোভাইডারের এপিআই থাকতে হবে আর ACME ক্লায়েন্টকে সেটি চালাতে হবে। আপনার সেটআপ তা না পারলে কিনে নেওয়া সুবিধার যৌক্তিক দাম।

২. বাইরের কেউ OV বা EV চাইছে। ব্যাংক, পেমেন্ট প্রসেসর, সরকারি দরপত্র, এন্টারপ্রাইজ সিকিউরিটি প্রশ্নমালা। যখন এটি চুক্তির শর্ত, তখন এটি কারিগরি সিদ্ধান্তই নয়, ভেবে দেখারও কিছু নেই।

৩. ওয়ারেন্টি চান। পেইড সার্টিফিকেটের সঙ্গে ওয়ারেন্টি থাকে — কখনো দশ লাখ ডলারের বেশি বলে বিজ্ঞাপন দেওয়া হয়। কী ঢাকে তা পড়ে দেখুন: সার্টিফিকেট কর্তৃপক্ষ ভুল করে সার্টিফিকেট ইস্যু করার কারণে শেষ ব্যবহারকারীর টাকা গেলে সেটি তাকে দেয়। আপনার সাইট আক্রান্ত হলে আপনাকে দেয় না। জিনিসটা সত্যি, আর এর দাবি প্রায় কখনোই ওঠে না।

৪. আপনার প্ল্যাটফর্ম স্বয়ংক্রিয়ভাবে রিনিউ করতে পারে না, আর আপনি সময় কিনতে চান। দীর্ঘ মেয়াদের ম্যানুয়াল সার্টিফিকেট মানে ছিল কম রিনিউয়াল। ২০২৬ সালে এসে এই যুক্তিটি অনেকটাই ভেঙে পড়েছে — পরের অংশ দেখুন।

এই চারটির কোনোটিই না মিললে ফ্রি সার্টিফিকেট ব্যবহার করুন। আপনি কৃপণতা করছেন না; সঠিক পণ্যটাই কিনছেন।

২০২৬ সালের যে পরিবর্তন দামের চেয়েও বেশি গুরুত্বপূর্ণ

২০২৬ সালের মার্চে CA/Browser Forum পাবলিকলি বিশ্বস্ত সার্টিফিকেটের সর্বোচ্চ মেয়াদ ৩৯৮ দিন থেকে কমিয়ে ২০০ দিন করেছে, আর পরের ধাপগুলোতে এটি আরও কমবে।

এটি চুপচাপ কেনার প্রধান বাস্তব যুক্তিটাই ধসিয়ে দেয়: আপনি আর একটি সার্টিফিকেট কিনে এক বছরের জন্য ভুলে থাকতে পারবেন না। টাকা দিন বা না দিন, এখন সবাইকেই বছরে অন্তত দুবার রিনিউ করতে হবে।

ফলে গুরুত্বপূর্ণ প্রশ্নটা আর "ফ্রি না পেইড" নয়। প্রশ্নটা হলো, "মানুষ ছাড়াই রিনিউয়াল হয় কি না"। স্বয়ংক্রিয় ফ্রি সার্টিফিকেট ম্যানুয়াল পেইড সার্টিফিকেটের চেয়ে নিঃসন্দেহে ভালো, কারণ ম্যানুয়াল সার্টিফিকেটের ব্যর্থতার চেহারা হলো — এমন এক দিনে হোমপেজজুড়ে ব্রাউজারের নিরাপত্তা সতর্কবার্তা, যেদিন কেউ ক্যালেন্ডার দেখছিল না।

Let's Encrypt বরাবরই ৯০ দিনের সার্টিফিকেট দিয়ে এসেছে, ঠিক অটোমেশনে বাধ্য করার জন্যই। এক দশক ধরে সেটিকে দুর্বলতা মনে হয়েছে। এখন সেটিকে দূরদর্শিতা মনে হচ্ছে।

ফ্রি সার্টিফিকেট নেওয়া

cPanel হোস্টিংয়ে কার্যত কিছুই করতে হয় না। AutoSSL অ্যাকাউন্টের প্রতিটি ডোমেইনের জন্য নিজে থেকেই সার্টিফিকেট ইস্যু ও রিনিউ করে। Security → SSL/TLS Status দেখুন — ডোমেইনগুলোতে সবুজ তালা দেখালে কাজ শেষ, আর আমাদের প্রতিটি হোস্টিং প্যাকেজের সঙ্গেই ফ্রি সার্টিফিকেট আসে।

AutoSSL ভাঙে যে দুটি কারণে, দুটোই জানা দরকার:

• ডোমেইনটিকে ওই সার্ভারেই রিজলভ করতে হবে। ডিএনএস অন্য কোথাও দেখালে ভ্যালিডেশন চুপচাপ ব্যর্থ হয় আর সার্টিফিকেট কখনো ইস্যুই হয় না।
• http দিয়ে পৌঁছানো যায় না এমন সাবডোমেইন ভ্যালিডেট হবে না। ভ্যালিডেশন পথে রিডাইরেক্ট বা পাসওয়ার্ড সুরক্ষা — দুটোই এটি ভাঙে।

নিজের সার্ভারে certbot ইস্যু করা সামলায় আর একটি systemd টাইমার বসায়, যা নিজে থেকেই রিনিউ করে:

sudo certbot --nginx -d example.com -d www.example.com
sudo certbot renew --dry-run

ড্রাই রানটাই আসল ধাপ — এটি এখনই প্রমাণ করে দেয় রিনিউয়াল কাজ করে, সত্তর দিন পর গিয়ে জানতে হয় না যে করে না।

যেটিই কিনুন, ঠিকভাবে বসান

সমস্যাটা খুব কমই সার্টিফিকেটের। সাধারণত কনফিগারেশনের।

• example.com ও www.example.com দুটোই ঢাকুন। একটির সার্টিফিকেট আর ভিজিটর এল অন্যটিতে — মানে নিরাপত্তা সতর্কবার্তা। এটিই সবচেয়ে সাধারণ ভুল কনফিগারেশন।
• http থেকে https-এ রিডাইরেক্ট করুন, একবারে, সার্ভারেই। তিনটি রিডাইরেক্টের শৃঙ্খল নয়।
• মিক্সড কনটেন্ট ঠিক করুন। https-এ লোড হওয়া পেজ যদি http দিয়ে কোনো ছবি টানে, তালা চলে যায়। WordPress-এ এর কারণ সাধারণত ডেটাবেসে হার্ড-কোড করা পুরোনো URL।
• পুরো চেইন দিন। মধ্যবর্তী সার্টিফিকেট না থাকলে ব্রাউজার প্রায়ই সামলে নেয়; কিছু Android ডিভাইস আর এপিআই ক্লায়েন্ট নেয় না, আর তখন "আমার তো কাজ করছে" ধরনের বাগ রিপোর্ট আসে, যেগুলো আসলে সত্যি।
• HSTS চালু করুন https সব জায়গায় কাজ করছে নিশ্চিত হওয়ার পরে, আগে নয়। এটি ইচ্ছে করেই ফেরানো কঠিন করা।
• মেয়াদ বাইরে থেকে মনিটর করুন। স্বয়ংক্রিয় রিনিউয়ালও মাঝে মাঝে ব্যর্থ হয়।

echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null \
  | openssl x509 -noout -dates -issuer -subject

সার্টিফিকেট যা করে না

স্পষ্ট করে বলা দরকার, কারণ তালার চিহ্নটিকে মানুষ অনেক বেশি কিছু ভেবে নেয়।

• এটি বোঝায় না যে সাইটটি বিশ্বাসযোগ্য। ফিশিং সাইটও কয়েক সেকেন্ডে ফ্রি DV সার্টিফিকেট নিতে পারে, আর বেশিরভাগ নেয়ও। তালা মানে "এনক্রিপ্টেড", "সৎ" নয়।
• এটি দুর্বল অ্যাপ্লিকেশনকে রক্ষা করে না। https দিয়ে করা SQL ইনজেকশনও SQL ইনজেকশনই। যে স্তরটি রক্ষা করে তার জন্য দেখুন Linux সার্ভার সুরক্ষিত করার গাইড।
• এটি আর অর্থবহ কোনো র‍্যাঙ্কিং ফ্যাক্টর নয়। ২০১৪ সাল থেকে https একটি সংকেত, কিন্তু এখন এটি এতই সর্বজনীন যে এটি থাকা সুবিধা নয়, ন্যূনতম শর্ত। যেটি গুরুত্বপূর্ণ তা হলো এটি না ভাঙা — দেখুন Core Web Vitals ও টেকনিক্যাল এসইও।

সংক্ষেপে

সার্টিফিকেটের মেয়াদ শেষ হলে আসলে কী ঘটে

এটি জানা দরকার, কারণ ব্যর্থতাটি বেশিরভাগ মানুষের ধারণার চেয়ে অনেক বেশি গুরুতর — আর রিনিউয়ালকে কতটা গুরুত্ব দেবেন তা এটিই ঠিক করে দেয়।

ব্রাউজার ছোট কোনো সতর্কবার্তা দেখায় না। দেখায় পুরো পাতাজুড়ে একটি পর্দা — "Your connection is not private", লাল রঙে, আর সাইটের কনটেন্ট তার পেছনে লুকানো। এগোতে হলে "Advanced" লিংকে ক্লিক করতে হয়, যা বেশিরভাগ ভিজিটর খুঁজেই পাবেন না, আর পাওয়া উচিতও নয়।

ফলাফলগুলো একটার ওপর আরেকটা চাপে:

• প্রতিটি ভিজিটর আটকে যান, আপনাকে বিশ্বাস করা পুরোনো গ্রাহকসহ।
• আপনার এপিআই বন্ধ হয়ে যায়। প্রোগ্রাম দিয়ে আপনার সাইট ডাকা যেকোনো কিছু সার্টিফিকেট যাচাইয়ে ব্যর্থ হয়, সাধারণত কাজের কোনো বার্তা ছাড়াই। মোবাইল অ্যাপ ভেঙে পড়ে।
• পেমেন্ট ইন্টিগ্রেশন ব্যর্থ হয়, কারণ ওয়েবহুক ও কলব্যাক সার্টিফিকেট কড়াভাবে যাচাই করে।
• ইমেইল ভাঙে, যদি একই সার্টিফিকেট আপনার মেইল হোস্টনেমও ঢাকে।
• সার্চ ক্রলিং থেমে যায়। সার্টিফিকেট এররের পেছনে থাকা সাইট Google ইনডেক্স করবে না।

আর এটি ঘটে ঠিক যে মুহূর্তে মেয়াদ ফুরায় — সাধারণত রাতের বেলা, সপ্তাহান্তে, যখন যিনি এ বিষয়ে জানেন তাঁকে পাওয়া যায় না।

এ কারণেই ২০২৬ সালে সার্টিফিকেটের মেয়াদ কমে আসা ফ্রি-বনাম-পেইড প্রশ্নের চেয়ে বেশি গুরুত্বপূর্ণ। দুটি প্রতিরোধ, দুটোই সস্তা:

1. রিনিউয়াল স্বয়ংক্রিয় করুন, আর ধরে না নিয়ে একটি ড্রাই রান দিয়ে প্রমাণ করুন যে সেটি কাজ করে।
2. নিজের অবকাঠামোর বাইরে থেকে মেয়াদ মনিটর করুন। ২১, ১৪ ও ৭ দিনে সতর্ক করে এমন একটি পরীক্ষার খরচ শূন্য, আর সেটিই ধরে ফেলে যখন অটোমেশন কয়েক মাস আগে চুপচাপ থেমে গেছে।

দ্বিতীয়টাই মানুষ বাদ দেয়, আর সেটাই আসল ব্যর্থতা ধরে — কারণ স্বয়ংক্রিয় রিনিউয়াল শব্দ করে ব্যর্থ হয় না। চুপচাপ ব্যর্থ হয়, আর আপনি জানতে পারেন কোনো গ্রাহকের কাছ থেকে।

সচরাচর জিজ্ঞাসা

ফ্রি এসএসএল সার্টিফিকেট কি পেইডের চেয়ে কম নিরাপদ? না। এনক্রিপশন হুবহু এক — একই অ্যালগরিদম, একই কী শক্তি, ব্রাউজারে একই বিশ্বাসযোগ্যতা। পার্থক্য কেবল ইস্যু করার আগে সার্টিফিকেট কর্তৃপক্ষ কতটা পরিচয় যাচাই করেছে তাতে, যা ব্যবসায়িক প্রশ্ন, নিরাপত্তার নয়।

Let's Encrypt সার্টিফিকেট কি সব ব্রাউজারে কাজ করে? হ্যাঁ। বর্তমান প্রতিটি ব্রাউজার ও অপারেটিং সিস্টেম Let's Encrypt-কে বিশ্বাস করে। খুব পুরোনো ডিভাইসে — ধরুন ২০১৬-পূর্ব Android — সমস্যা হতে পারে, যা ২০২৬ সালে বাস্তব বাধা নয়, বড়জোর একটি পাদটীকা।

সার্টিফিকেটের মেয়াদ এখন এত দ্রুত শেষ হয় কেন? CA/Browser Forum ২০২৬ সালের মার্চে সর্বোচ্চ মেয়াদ ২০০ দিনে নামিয়েছে, আর এটি আরও কমার কথা আছে। কম মেয়াদ চুরি যাওয়া কী দিয়ে করা ক্ষতির পরিসর ছোট করে আর অটোমেশনে বাধ্য করে। বাস্তবে: নিশ্চিত করুন রিনিউয়াল স্বয়ংক্রিয় এবং মনিটর করা।

সাইটে পেমেন্ট না নিলেও কি এসএসএল লাগে? হ্যাঁ। ব্রাউজার সাধারণ http পেজকে "Not secure" চিহ্নিত করে, যা ভিজিটরদের চোখে পড়ে — আর যেকোনো ফর্ম, এমনকি কনট্যাক্ট ফর্মও, এটি ছাড়া তথ্য খোলা অবস্থায় পাঠায়। যেকোনো যোগ্য হোস্টে এটি ফ্রি, তাই না নেওয়ার কোনো যুক্তি নেই।

EV সার্টিফিকেট কি আস্থা বা কনভার্শন বাড়ায়? সাধারণ ভিজিটরের কাছে এখন আর কোনো দৃশ্যমান পার্থক্য নেই; ব্রাউজারগুলো বহু বছর আগেই অ্যাড্রেস বারে কোম্পানির নাম দেখানো বন্ধ করেছে। কনভার্শন বাড়ার দাবিগুলো আসে সার্টিফিকেট বিক্রেতাদের কাছ থেকে, আর সেগুলো সাধারণত ওই পরিবর্তনের আগেকার।

পেইড সার্টিফিকেট কি নতুন হোস্টে সরানো যায়? যায়, যদি প্রাইভেট কী আপনার কাছে থাকে। সার্টিফিকেট, কী আর মধ্যবর্তী চেইন কপি করে নিন। বাস্তবে প্রায়ই কম ঝামেলা হয় নতুন সার্ভারে নতুন একটি ফ্রি সার্টিফিকেট ইস্যু করা, আর পেইডটি কেবল যে ডোমেইনের জন্য সত্যিই দরকার ছিল সেখানেই রাখা।