תעודות דיגיטליות חיוניות לתקשורת דיגיטלית מאובטחת, במיוחד להצפנה, אימות ושלמות. תעודות אלו מבוססות על תשתית מפתח ציבורי (PKI) ומונפקות על ידי רשויות אישורים (CA) . להלן סקירה כללית של סוגי התעודות העיקריים ומטרותיהם:

תעודות SSL / TLS #

משמש לאבטחת תקשורת בין שרתי אינטרנט ודפדפנים (HTTPS). סוגים:

אימות דומיין (DV) #

• מאמת בעלות על דומיין בלבד.
• מהיר ולא יקר.

דוגמה: אתרים אישיים או בלוגים.

אימות ארגון (OV) #

• מאמת בעלות על דומיין וזהות ארגון.
• רמת אמון טובה יותר, משמשת לעסקים קטנים ובינוניים.

אימות מורחב (EV) #

• אימות קפדני ביותר של זהות וקיום חוקי.
• מציג את שם החברה בשורת הכתובת (בדפדפנים מסוימים).

דוגמה: אתרי בנקים ומסחר אלקטרוני.

תעודות Wildcard #

• אבטחת דומיין וכל תת-הדומיינים שלו (למשל, *.example.com).

תעודות מרובות דומיינים (SAN/UCC) #

• אבטחו מספר שמות דומיין מלאים באמצעות תעודה אחת.

תעודות חתימת קוד #

משמש את המפתחים לחתימה דיגיטלית על תוכנה , תוך הבטחה שהקוד לא שונה או טופל לאחר החתימה.

• חתימת קוד סטנדרטית – מאמת את המפרסם ומוודא את שלמות הקוד.
• חתימת קוד EV – מוסיף אימות מחמיר יותר, ועוזר להימנע מאזהרות של Windows SmartScreen.

אישורי דוא"ל (S/MIME) #

משמש לחתימה דיגיטלית והצפנת הודעות דוא"ל.

• מבטיח את האותנטיות של השולח.
• מונע האזנות סתר וזיופים.

דוגמה: תקשורת דוא"ל ארגונית, נתונים משפטיים או רפואיים.

תעודות לקוח #

משמש לאימות לקוחות (משתמשים או מכשירים) מול שרתים.

• עובד כמו סיסמת משתמש, אבל עם קריפטוגרפיה חזקה יותר.
• נפוץ ב-VPN, ממשקי API מאובטחים, mTLS ורשתות ארגוניות.

תעודות שורש וביניים #

חלק משרשרת האמון של התעודות:

• תעודת שורש – אישור ברמה העליונה המהימן על ידי מערכות (מותקן מראש במערכת ההפעלה/דפדפנים).
• תעודת ביניים – מונפק על ידי root, בשימוש על ידי רשויות CA להנפקת תעודות ישות קצה.

שרשרת אמון זו מאפשרת לדפדפנים לאמת את האישור של אתר אינטרנט על ידי מעקב אחר הנתיב חזרה לשורש מהימן.

תעודות בחתימה עצמית #

נוצר ונחתם על ידי אותו גוף.

• משמש במערכות פנימיות או בסביבות פיתוח.
• לא מהימן כברירת מחדל (גורם לאזהרות בדפדפנים).

טבלת השוואה של סוגי תעודות דיגיטליות #

סוג אישור	מטרה	אימות זהות	מקרה שימוש נפוץ	מהימן על ידי דפדפנים
DV SSL	אתרים מאובטחים (HTTPS בסיסי)	דומיין בלבד	בלוגים, אתרים אישיים	יש
OV SSL	אתרים מאובטחים (ארגון מאומת)	דומיין + ארגון	אתרים עסקיים	יש
EV SSL	אתרים מאובטחים בעלי אמינות גבוהה	דומיין + ארגון משפטי	בנקים, מסחר אלקטרוני	יש
SSL כלליים	אבטחת כל תת-הדומיינים	משתנה	אתרים גדולים עם הרבה תת-דומיינים	יש
סן / UCC	אבטחת דומיינים מרובים	משתנה	אירוח מרובי אתרים, שרתי Exchange	יש
חתימת קוד	תוכנת/קוד חתימה	ארגון או אדם פרטי	שותפי תוכנה	לא מבוסס דפדפן
חתימת קוד EV	חתום על קוד עם תמיכה ב-SmartScreen	בדיקת ארגון מורחבת	ספקי תוכנה ארגונית	לא מבוסס דפדפן
דוא"ל S/MIME	דוא"ל מאובטח (חתימה/הצפנה)	דוא"ל + זהות	דוא"ל תאגידי ומשפטי	עם תצורה
אימות לקוח	אימות משתמשים/מכשירים	זהות הלקוח	VPN, ממשקי API, אפליקציות פנימיות	לא מבוסס דפדפן
תעודת שורש	עוגן אמון עבור היררכיית CA	לא רלוונטי (מותקן מראש)	רשויות אישורים מהימנות (למשל, DigiCert, Let's Encrypt)	יש
תעודת ביניים	קישור אישורי שורש וישות קצה	הונפק על ידי רשות אישורים בסיסית	הנפקה מנוהלת על ידי CA	יש
אישור חתום עצמי	שימוש מקומי/פיתוחי	אין (הנפקה עצמית)	פיתוח, בדיקות פנימיות	לא

דיאגרמת שרשרת האמון #

+---------------------------+ | רשות אישורים מהימנה של שורש | | (מותקנת מראש במערכות)| +-------------+--------------+ | v +--------------------------+ | רשות אישורים ביניים (1..n) | | (הונפק על ידי רשות אישורים של שורש) | +------------+-------------+ | v +---------------------------+ | תעודת ישות קצה | | (אתר אינטרנט, לקוח, דוא"ל) | | - DV, OV, EV וכו' | +----------------------------+ דפדפנים/לקוחות מאמתים את השרשרת מעלה → ביניים → שורש.

לדוגמה, בעת ביקור באתר https://relianoid.com :

• הדפדפן מקבל את אישור הישות הסופית.
• זה בודק שזה נחתם על ידי גורם מתווך ידוע.
• לאחר מכן זה מבטיח שגורם ביניים אמין דרך רשות אישורים בסיסית.