ওয়েবসাইটে এসএসএল সার্টিফিকেট কী? ফ্রিতে এসএসএল ইনস্টল করবেন কীভাবে?

ব্রাউজারের address bar-এ তালার চিহ্ন কিংবা https:// দেখা এখন আর শুধু e-commerce website-এর বিষয় নয়। Login form, contact form, পাঠকের browser এবং server-এর মধ্যে যে data চলাচল করে, সেটি পথের মধ্যে অন্য কেউ পড়তে বা বদলাতে না পারে—এই মৌলিক সুরক্ষার জন্য TLS দরকার। দৈনন্দিন কথায় অনেকে একে SSL বলেন। তাই Free SSL Certificate install করা ছোট blog থেকে বড় business website—সব ক্ষেত্রেই একটি জরুরি baseline।

তবে certificate চালু করলেই website “সম্পূর্ণ নিরাপদ” হয়ে যায় না। HTTPS data চলাচলের পথ encrypt করে এবং visitor-কে সঠিক domain-এর server-এর সঙ্গে সংযোগ স্থাপনে সাহায্য করে; এটি দুর্বল password, পুরোনো plugin, malware, SQL injection বা hacked admin account সারায় না। ভালো ফল পেতে certificate, redirect, mixed content, renewal automation এবং website security—সবগুলোকে একটি ধারাবাহিক কাজ হিসেবে দেখতে হবে।

এই বাংলা গাইডে DV certificate, TLS handshake, ACME, hosting control panel, WordPress URL, 301 redirect, CDN, test এবং troubleshooting ধাপে ধাপে বোঝানো হয়েছে। cPanel, Plesk, DirectAdmin বা অন্য dashboard-এ menu-এর নাম কিছুটা আলাদা হতে পারে। তাই button-এর লেখা মুখস্থ না করে মূল workflow বুঝুন এবং production site-এ পরিবর্তনের আগে backup রাখুন।

সংক্ষেপে উত্তর: Free SSL Certificate সাধারণত Domain Validation বা DV পদ্ধতিতে domain-এর নিয়ন্ত্রণ যাচাই করে এবং HTTPS চালু করতে ব্যবহার হয়। DNS সঠিক করুন, ACME বা hosting panel দিয়ে certificate issue করুন, HTTPS test করুন, তারপর HTTP থেকে HTTPS-এ একবারের 301 redirect দিন। Automatic renewal চালু রেখে expiry alert ও mixed-content scan নিয়মিত পরীক্ষা করতে হবে।

Table of Contents

এই গাইডে যা জানবেন

SSL, TLS ও HTTPS আসলে কী?
Free SSL Certificate ও DV যাচাই কীভাবে কাজ করে?
ইনস্টলের আগে DNS, domain ও backup প্রস্তুত করুন
Hosting control panel দিয়ে Free SSL Certificate ইনস্টল
ACME client দিয়ে certificate নেওয়ার সাধারণ workflow
WordPress-এ HTTPS URL ঠিক করার ধাপ
HTTP থেকে HTTPS-এ সঠিক 301 redirect ও canonical
Mixed content কী এবং কীভাবে ঠিক করবেন?
Automatic renewal কেন পরীক্ষা করা জরুরি?
CDN ও origin server-এর TLS mode ঠিক করুন
ইনস্টলের পর কী কী পরীক্ষা করবেন?
সাধারণ SSL error ও সমাধানের ক্রম
Free SSL থাকলেও কোন নিরাপত্তা কাজগুলো আলাদা?

SSL, TLS ও HTTPS আসলে কী?

SSL ছিল encrypted web connection-এর পুরোনো protocol family। আধুনিক server ও browser বাস্তবে TLS ব্যবহার করে, কিন্তু “SSL certificate” নামটি বাজারে প্রচলিত থেকে গেছে। HTTPS হলো HTTP-এর ওপর TLS সুরক্ষা। Visitor যখন HTTPS URL খোলে, browser ও server নিরাপদ encryption parameters ঠিক করে, server তার certificate দেখায় এবং তারপর encrypted session-এ request ও response আদান-প্রদান করে।

Certificate-এ domain পরিচয়, issuer, public key, validity information এবং digital signature থাকে। Browser trusted certificate authority-এর chain, requested hostname এবং certificate বর্তমানে গ্রহণযোগ্য কি না পরীক্ষা করে। মিল না থাকলে warning দেখায়। Private key server-এ গোপন থাকে; এটি email, ticket বা public repository-তে দেওয়া যাবে না। Private key ফাঁস হয়েছে সন্দেহ হলে পুরোনো certificate revoke করে নতুন key-সহ certificate issue করতে হবে।

Free SSL Certificate ও DV যাচাই কীভাবে কাজ করে?

অধিকাংশ free certificate হলো Domain Validation বা DV certificate। এখানে certificate authority যাচাই করে আবেদনকারী domain-এর নির্দিষ্ট DNS record, web path বা server configuration নিয়ন্ত্রণ করতে পারেন কি না। এটি কোম্পানির আর্থিক অবস্থা বা ব্যবসায়িক সুনাম যাচাই করে না। তাই DV certificate থাকা মানে connection encrypted; website-এর মালিক অবশ্যই বিশ্বস্ত—এমন নিশ্চয়তা নয়।

HTTP challenge-এ ACME client domain-এর একটি পরিচিত path-এ token প্রকাশ করে। DNS challenge-এ নির্দিষ্ট TXT record যোগ করা হয়; wildcard certificate-এর ক্ষেত্রে এটি প্রায়ই দরকার হয়। Hosting provider স্বয়ংক্রিয়ভাবে challenge সম্পন্ন করলে ব্যবহারকারী শুধু domain select করে issue button চাপেন। DNS অন্য provider-এ থাকলে validation record পৌঁছাতে সময় লাগতে পারে এবং proxy বা ভুল document root challenge ব্যর্থ করতে পারে।

ইনস্টলের আগে DNS, domain ও backup প্রস্তুত করুন

প্রথমে domain-এর A বা AAAA record সঠিক server-এ যাচ্ছে কি না যাচাই করুন। www এবং non-www—যে hostname visitor ব্যবহার করে, certificate-এ সেটি অন্তর্ভুক্ত থাকা দরকার। পুরোনো IPv6 record ভুল server-এ থাকলে কিছু visitor certificate error দেখতে পারেন। CDN বা reverse proxy থাকলে origin এবং edge—দুই জায়গায় TLS কীভাবে চলবে provider-এর documentation দেখে নিন।

Website files, database, বর্তমান virtual-host configuration এবং redirect rules-এর backup নিন। maintenance window দরকার কি না traffic pattern দেখে ঠিক করুন। বর্তমান canonical URL, WordPress Address, Site Address, API endpoint, payment callback ও third-party webhook-এর তালিকা লিখুন। এই inventory থাকলে HTTPS পরিবর্তনের পর কোন integration ভাঙল তা দ্রুত বোঝা যায়।

Hosting control panel দিয়ে Free SSL Certificate ইনস্টল

Dashboard-এ SSL/TLS, Security, Certificates, Let’s Encrypt বা AutoSSL ধরনের menu খুঁজুন। সংশ্লিষ্ট domain ও প্রয়োজনীয় subdomain select করে issue বা install দিন। “Include www” বেছে নিলে DNS-এ www record থাকতে হবে। Mail hostname যোগ করার আগে সেটিও একই server-এ resolve করছে কি না দেখুন। Issue চলাকালে বারবার button চাপলে rate limit বা multiple job তৈরি হতে পারে; log শেষ হওয়া পর্যন্ত অপেক্ষা করুন।

সফল হলে browser-এ HTTPS URL খুলুন এবং certificate hostname error আছে কি না দেখুন। শুধু homepage নয়, login, checkout, image-heavy article এবং subdomain test করুন। Server certificate chain সম্পূর্ণ পাঠাচ্ছে কি না external TLS checker বা browser developer tools দিয়ে দেখা যায়। Private key download করার প্রয়োজন না থাকলে করবেন না; panel-managed certificate server-এই নিরাপদে থাকুক।

ACME client দিয়ে certificate নেওয়ার সাধারণ workflow

Control panel না থাকলে server-compatible ACME client ব্যবহার করা যায়। প্রথমে official repository বা operating-system package থেকে client নিন, domain ও email দিয়ে account তৈরি করুন, তারপর web server অনুযায়ী challenge method নির্বাচন করুন। Client যদি configuration নিজে বদলায়, পরিবর্তনের diff দেখুন। Manual webroot method ব্যবহার করলে সঠিক document root দিতে হবে। DNS API token ব্যবহার করলে শুধু প্রয়োজনীয় zone edit permission দিন; full account credential দেবেন না।

Certificate issue হওয়ার পর web server configuration-এ certificate chain এবং private-key path বসিয়ে configuration syntax test করুন। Test সফল হলে graceful reload দিন, যাতে চলমান request অযথা বন্ধ না হয়। Renewal command-এর dry run চালান। Root বা broad permission নিয়ে অচেনা script চালানো বিপজ্জনক; আপনার OS, web server এবং ACME client-এর official নির্দেশনা অনুসরণ করুন।

WordPress-এ HTTPS URL ঠিক করার ধাপ

WordPress dashboard-এর Settings → General অংশে WordPress Address এবং Site Address HTTPS করুন, তবে reverse proxy বা unusual setup হলে আগে host-এর নির্দেশনা নিন। Database-এ hard-coded HTTP URL থাকলে serialization-aware search-and-replace tool বা trusted migration tool ব্যবহার করুন। সাধারণ text replace serialized data ভেঙে দিতে পারে। কাজের আগে database backup এবং পরে page, menu, widget ও form পরীক্ষা জরুরি।

Cache plugin, server cache, CDN cache এবং browser cache পরিষ্কার করুন। Security বা optimization plugin স্বয়ংক্রিয় redirect দিলে server rule-এর সঙ্গে duplicate loop তৈরি হচ্ছে কি না দেখুন। HTTPS চালুর পর admin dashboard থেকে বের হয়ে গেলে cookie domain, proxy header বা site URL mismatch পরীক্ষা করুন। WordPress speed ও cache-এর পরের ধাপ জানতে WordPress Speed Optimization গাইড পড়তে পারেন।

HTTP থেকে HTTPS-এ সঠিক 301 redirect ও canonical

HTTPS version ভালোভাবে কাজ করছে নিশ্চিত হওয়ার পর HTTP request-কে একই path ও query বজায় রেখে এক ধাপে HTTPS URL-এ 301 redirect করুন। আগে HTTP থেকে www, তারপর HTTPS non-www—এভাবে বহু hop তৈরি না করে একটি canonical hostname বেছে direct redirect দিন। Redirect rule web server, CDN এবং plugin—তিন জায়গায় একসঙ্গে দিলে loop হতে পারে; একটি authoritative layer ঠিক করুন।

HTML-এর canonical tag, XML sitemap, internal link, hreflang, Open Graph URL এবং structured data-তে HTTPS ব্যবহার করুন। Search Console-এ প্রযোজ্য property পর্যবেক্ষণ করুন এবং analytics annotation রাখুন। 301 থাকার পরও internal link HTTP রাখলে crawl ও performance অকারণে নষ্ট হয়। পুরোনো external link redirect দিয়ে কাজ করবে, কিন্তু গুরুত্বপূর্ণ partner-কে নতুন URL দিতে পারেন।

Mixed content কী এবং কীভাবে ঠিক করবেন?

HTTPS page-এর ভেতরে image, script, font, stylesheet বা iframe যদি HTTP দিয়ে load হয়, তাকে mixed content বলা হয়। Browser সক্রিয় script block করতে পারে, ফলে layout বা form ভেঙে যায়; image-এর ক্ষেত্রেও warning দেখা দিতে পারে। Developer tools-এর Console ও Network tab-এ blocked বা insecure request filter করে আসল URL খুঁজুন। শুধু plugin দিয়ে warning লুকিয়ে না রেখে source URL ঠিক করুন।

নিজস্ব media URL HTTPS করুন, theme বা CSS-এর hard-coded path বদলান এবং third-party asset provider HTTPS সমর্থন করে কি না দেখুন। না করলে asset নিরাপদ source-এ host করুন বা integration বাদ দিন। Protocol-relative URL-এর বদলে স্পষ্ট HTTPS ব্যবহার করাই আধুনিক setup-এ সহজ। Content Security Policy report-only mode দিয়ে অজানা mixed resource শনাক্ত করা যায়; policy enforce করার আগে রিপোর্ট বিশ্লেষণ করুন।

Automatic renewal কেন পরীক্ষা করা জরুরি?

Certificate-এর মেয়াদ provider ও policy অনুযায়ী বদলাতে পারে; তাই নির্দিষ্ট দিনের সংখ্যা মুখস্থ করে নির্ভর করা ঠিক নয়। ACME-এর উদ্দেশ্যই হলো মেয়াদ শেষ হওয়ার আগেই স্বয়ংক্রিয় renewal। Hosting panel-এ AutoSSL বা renewal enabled আছে কি না এবং scheduled task সফল হচ্ছে কি না দেখুন। Renewal-এর পর web server নতুন certificate reload করছে কি না এটিও সমান গুরুত্বপূর্ণ।

Expiry monitoring আলাদা রাখুন, কারণ automation silently ব্যর্থ হতে পারে। DNS বদল, closed port, expired API token, storage permission, account migration বা challenge path block হওয়া সাধারণ কারণ। Notification একটি দায়িত্বপ্রাপ্ত inbox-এ পাঠান এবং ছুটির সময় backup contact রাখুন। মাসে অন্তত একবার log ও next-renewal status পরীক্ষা করলে শেষ মুহূর্তের browser warning এড়ানো সহজ।

CDN ও origin server-এর TLS mode ঠিক করুন

CDN ব্যবহার করলে visitor থেকে CDN এবং CDN থেকে origin—দুটি connection থাকে। শুধু প্রথম অংশ encrypted রেখে origin-এ plain HTTP ব্যবহার করলে end-to-end সুরক্ষা অসম্পূর্ণ হতে পারে। সম্ভব হলে origin-এ valid certificate বসিয়ে strict validation mode ব্যবহার করুন। “Flexible” ধরনের compatibility mode সাময়িক troubleshooting ছাড়া স্থায়ী সমাধান নয় এবং ভুল redirect loop তৈরি করতে পারে।

Origin certificate public browser-এর জন্য নাকি কেবল CDN-এর জন্য—পার্থক্য বুঝুন। CDN bypass করে সরাসরি origin খুলতে হলে public-trusted certificate দরকার হতে পারে। Firewall দিয়ে শুধু CDN range allow করলে range update policy রাখুন। CDN pause করলে site কীভাবে চলবে তা আগে test করুন এবং provider বদলের সময় certificate ও DNS migration order নথিভুক্ত রাখুন।

ইনস্টলের পর কী কী পরীক্ষা করবেন?

পরীক্ষা	ভালো ফল	সমস্যা হলে
Hostname	www ও মূল domain-এ warning নেই	SAN ও DNS মিলান
Redirect	এক hop-এ HTTPS	CDN/server/plugin rule দেখুন
Mixed content	Console-এ insecure request নেই	asset URL সংশোধন করুন
Renewal	dry run সফল	challenge ও permission ঠিক করুন
Form/API	submit ও callback কাজ করে	endpoint, CORS ও webhook বদলান

Mobile network, home broadband এবং private browser window—কমপক্ষে কয়েকটি environment-এ test করুন। পুরোনো DNS cache বা service worker ভিন্ন ফল দিতে পারে। Critical checkout বা login flow-এর screenshot ও timestamp রাখুন। Monitoring tool দিয়ে HTTPS availability এবং certificate error ধরুন; কেবল homepage-এর status code দেখলে functional failure ধরা নাও পড়তে পারে।

সাধারণ SSL error ও সমাধানের ক্রম

Name mismatch হলে visitor যে hostname খুলছে সেটি certificate-এ আছে কি না দেখুন। Chain error হলে full chain configuration এবং CDN origin mode যাচাই করুন। Too many redirects হলে proxy header, WordPress URL এবং duplicate HTTPS rule দেখুন। Validation fail হলে DNS, IPv6, firewall, proxy ও /.well-known/acme-challenge/ path পরীক্ষা করুন। Server time ভুল হলেও certificate validation সমস্যা হতে পারে।

সমাধানের সময় security warning bypass করে password দেওয়া ঠিক নয়। প্রথমে configuration backup, তারপর একটি পরিবর্তন, তারপর test—এই ক্রম রাখুন। একসঙ্গে DNS, plugin, CDN ও server rule বদলালে আসল কারণ বোঝা কঠিন হয়। জরুরি rollback-এর জন্য আগের working configuration প্রস্তুত রাখুন; private key বা hosting login support forum-এ প্রকাশ করবেন না।

Free SSL থাকলেও কোন নিরাপত্তা কাজগুলো আলাদা?

HTTPS থাকলেও compromised plugin visitor-কে malware দিতে পারে, weak password দিয়ে attacker admin হতে পারে এবং insecure form server-side database attack ঘটাতে পারে। তাই software update, least-privilege access, multi-factor authentication, firewall, malware monitoring, backup ও incident response দরকার। Control panel শক্ত করার ব্যবহারিক ধাপের জন্য কন্ট্রোল প্যানেল নিরাপত্তার ১০টি উপায় দেখুন।

Certificate seal বা lock icon-কে marketing trust badge হিসেবে অতিরঞ্জিত করবেন না। Visitor-কে privacy policy, পরিষ্কার contact information এবং নিরাপদ payment flow দিন। Free ও paid certificate-এর encryption শক্তি শুধু দাম দিয়ে নির্ধারিত হয় না; validation type, support, warranty বা management service ভিন্ন হতে পারে। ছোট site-এর জন্য automated DV certificate যথেষ্ট হতে পারে, আর regulated organization নিজস্ব compliance ও support requirement অনুযায়ী সিদ্ধান্ত নেবে।

কাজ শুরুর আগে চেকলিস্ট

Domain, www ও প্রয়োজনীয় subdomain সঠিক server-এ resolve করছে।
Files, database ও বর্তমান redirect configuration-এর backup নেওয়া হয়েছে।
Certificate issue ও full-chain installation কোনো warning ছাড়া সম্পন্ন হয়েছে।
WordPress URL, internal link, canonical ও sitemap HTTPS করা হয়েছে।
Mixed content, login, form, checkout, API ও mobile view পরীক্ষা করা হয়েছে।
এক ধাপের 301 redirect এবং একটি canonical hostname নির্ধারণ করা হয়েছে।
Automatic renewal, dry run, expiry alert ও দায়িত্বপ্রাপ্ত contact প্রস্তুত।
Software update, MFA, backup ও monitoring চালু—SSL-কে একমাত্র নিরাপত্তা ধরা হয়নি।

সাধারণ প্রশ্ন ও উত্তর

Free SSL Certificate কি সত্যিই বিনামূল্যে?

অনেক certificate authority DV certificate-এর জন্য আলাদা certificate fee নেয় না। তবে hosting management, installation support, dedicated IP বা premium monitoring-এর জন্য provider টাকা নিতে পারে। শর্ত ও renewal ব্যবস্থা আগে দেখুন।

SSL আর TLS কি একই?

কথ্য ব্যবহারে SSL বলা হলেও আধুনিক secure web connection TLS ব্যবহার করে। “SSL certificate” মূলত প্রচলিত নাম; server-এ পুরোনো ও অনিরাপদ protocol চালু না রেখে supported TLS configuration ব্যবহার করা উচিত।

Free SSL কি SEO ranking নিশ্চিত করে?

না। HTTPS একটি মৌলিক quality ও security signal হলেও certificate install করলেই ranking নিশ্চিত হয় না। Helpful content, crawlability, page experience, relevance এবং বহু অন্য বিষয় একসঙ্গে কাজ করে।

Wildcard certificate কখন দরকার?

অনেক dynamic subdomain সুরক্ষিত করতে wildcard সুবিধাজনক হতে পারে। সাধারণত DNS-based validation দরকার হয়। মাত্র দু-একটি স্থির subdomain হলে সেগুলো আলাদাভাবে certificate-এ যোগ করাও সহজ।

SSL চালুর পর site ভেঙে গেলে কী করব?

আগে mixed content, WordPress URL, proxy header, cache এবং duplicate redirect দেখুন। একটি করে পরিবর্তন করুন ও log রাখুন। প্রয়োজনে backup configuration-এ সাময়িক rollback করে host-এর সহায়তা নিন।

Certificate renew হলে কি নিজে install করতে হবে?

ভালো ACME বা hosting setup-এ issue, install ও reload স্বয়ংক্রিয় হয়। কিন্তু automation ধরে না নিয়ে renewal dry run, log, expiry monitor এবং notification নিয়মিত যাচাই করতে হবে।

Free SSL থাকলে hacked website নিরাপদ হয়ে যাবে?

না। TLS শুধু data transit সুরক্ষিত করে। Malware, stolen password বা vulnerable code পরিষ্কার করতে incident response, credential rotation, patch, backup ও root-cause investigation দরকার।

শেষ কথা

Free SSL Certificate চালু করা কঠিন নয়, কিন্তু সঠিক কাজটি কেবল “Install” button-এ শেষ হয় না। DNS ও hostname প্রস্তুত করা, certificate chain যাচাই, WordPress ও internal URL বদল, এক ধাপের redirect, mixed content পরিষ্কার এবং automatic renewal test—এই পুরো workflow শেষ করলেই visitor ধারাবাহিকভাবে HTTPS পায়।

আজই প্রথমে আপনার domain-এর HTTP ও HTTPS version পরীক্ষা করুন, একটি backup নিন এবং hosting panel-এ automated certificate সুবিধা খুঁজুন। পরিবর্তনের পর গুরুত্বপূর্ণ form ও login নিজে ব্যবহার করে দেখুন। তারপর expiry monitoring ও মাসিক review calendar-এ যোগ করুন। ছোট এই শৃঙ্খলাই ভবিষ্যতের অপ্রত্যাশিত warning এবং traffic loss অনেক কমিয়ে দেয়।

Certificate authority-এর policy, ACME client, browser requirement ও hosting panel-এর menu সময়ের সঙ্গে বদলাতে পারে। কাজের দিন আপনার provider এবং ব্যবহৃত tool-এর official documentation দেখে বর্তমান ধাপ ও compatibility যাচাই করুন।