Co to jest https?
Autor: Redakcja Domeny.ForSale Opublikowano
W skrócie: HTTPS to sposób komunikacji przeglądarki ze stroną internetową, który szyfruje przesyłane dane i pomaga potwierdzić, że łączysz się z właściwym serwerem dla danej domeny. Chroni między innymi hasła, formularze i treść odpowiedzi przed podsłuchaniem lub zmianą po drodze. Nie gwarantuje jednak, że sama strona jest uczciwa — witryna oszustów również może korzystać z HTTPS.
Jak działa HTTPS i czym różni się od HTTP?
HTTP to protokół, czyli zestaw zasad przesyłania żądań i odpowiedzi między przeglądarką a serwerem. Przeglądarka prosi na przykład o stronę produktu, a serwer odsyła jej zawartość. Zwykły HTTP nie szyfruje tej komunikacji.
HTTPS to HTTP chroniony przez TLS — protokół zabezpieczający połączenie. Przed przesłaniem właściwych danych przeglądarka i serwer uzgadniają parametry ochrony, a przeglądarka sprawdza przedstawiony certyfikat. Potem komunikacja jest szyfrowana.
HTTPS zapewnia trzy podstawowe właściwości:
- Poufność: osoba obserwująca ruch sieciowy nie może po prostu odczytać przesyłanej treści.
- Integralność: zmiana danych podczas transmisji zostanie wykryta.
- Uwierzytelnienie serwera: przeglądarka sprawdza, czy certyfikat jest zaufany i pasuje do odwiedzanej domeny.
Przykładowo: gdy logujesz się do sklepu przez publiczne Wi-Fi, HTTPS chroni hasło w drodze z przeglądarki do serwera obsługującego połączenie. Przy zwykłym HTTP ktoś mający odpowiedni dostęp do ruchu sieciowego mógłby odczytać przesyłane dane. HTTPS nie ochroni jednak hasła przed złośliwym programem działającym na Twoim urządzeniu.
Do czego służy certyfikat HTTPS?
Certyfikat cyfrowy wiąże nazwę domeny z kluczem publicznym używanym przy zabezpieczaniu połączenia. W typowym przypadku wystawia go urząd certyfikacji, czyli podmiot, któremu przeglądarki ufają w ramach systemu certyfikatów. Przeglądarka sprawdza między innymi zgodność nazwy domeny, okres ważności i łańcuch zaufania certyfikatu.
W ofertach hostingowych nadal często występuje określenie „certyfikat SSL”. To potoczna nazwa: współczesne połączenia HTTPS korzystają z TLS, następcy przestarzałego SSL. Sam certyfikat nie wystarczy — serwer musi jeszcze poprawnie obsługiwać szyfrowane połączenia.
Podstawowy certyfikat z walidacją domeny potwierdza kontrolę nad domeną, a nie uczciwość jej właściciela. Dostępne są zarówno certyfikaty bezpłatne, jak i płatne. Cena sama w sobie nie oznacza silniejszego szyfrowania; różnice mogą dotyczyć zakresu weryfikacji, obsługiwanych nazw lub wsparcia. Aktualne warunki wydawania i odnawiania sprawdzaj w dokumentacji hostingu lub wystawcy.
Czego HTTPS nie gwarantuje?
Bezpieczne połączenie nie jest tym samym co bezpieczna firma lub oferta. Oszust może zarejestrować domenę podobną do adresu banku i uzyskać dla niej prawidłowy certyfikat. Połączenie z taką stroną będzie szyfrowane, ale wpisane dane trafią do oszusta.
HTTPS nie zabezpiecza również przed każdym wyciekiem. Nie naprawia luk w aplikacji, nie chroni automatycznie bazy danych na serwerze i nie powstrzymuje właściciela strony przed niewłaściwym wykorzystaniem otrzymanych informacji. Zabezpiecza transmisję, a nie cały proces przetwarzania danych.
Nie daje też pełnej anonimowości. Operator sieci może widzieć adres IP serwera, czas połączenia i ilość ruchu, a zależnie od użytych technologii także nazwę odwiedzanej domeny. HTTPS szyfruje natomiast ścieżkę adresu, parametry zapytania i treść komunikacji. Widoczność domeny nie oznacza więc automatycznie widoczności konkretnego czytanego artykułu.
Jak sprawdzić połączenie i reagować na ostrzeżenia?
Sprawdź, czy adres zaczyna się od https://, oraz otwórz informacje o połączeniu przy pasku adresu. Wygląd ikony zależy od przeglądarki — nie zawsze jest to kłódka. Informacja o zabezpieczeniu dotyczy połączenia, nie oceny wiarygodności treści strony.
Przed wpisaniem hasła lub danych płatniczych przeczytaj dokładnie nazwę domeny. W adresie bank.example.com domeną nadrzędną jest example.com; samo słowo „bank” nie dowodzi związku z bankiem. Podobnie logo i wygląd formularza można skopiować.
Jeśli przeglądarka ostrzega przed nieważnym certyfikatem lub niezabezpieczonym połączeniem, nie omijaj ostrzeżenia, aby się zalogować. Przyczyną może być błąd konfiguracji, nieprawidłowa data urządzenia albo problem z siecią, ale bez sprawdzenia nie da się tego rozstrzygnąć. Zweryfikuj adres i zegar urządzenia, a w razie potrzeby skontaktuj się z administratorem strony.
Jak włączyć HTTPS na własnej stronie?
Najprościej zacząć od panelu hostingu: wielu dostawców udostępnia wystawienie certyfikatu i automatyczne odnawianie. Potwierdź w oficjalnej dokumentacji, jakie domeny obejmuje usługa i czy wymaga dodatkowej konfiguracji. Włączenie certyfikatu to dopiero początek sprawdzenia wdrożenia.
- Obejmij certyfikatem używane nazwy, na przykład domenę główną oraz wariant z
www, jeśli go obsługujesz. - Uruchom HTTPS i przetestuj stronę, szczególnie logowanie, formularze, płatności i integracje.
- Ustaw stałe przekierowania z HTTP na HTTPS, zachowując ścieżki podstron.
- Zmień adresy zasobów na HTTPS. Obrazy, skrypty lub style pobierane przez HTTP tworzą tzw. mieszaną zawartość; przeglądarka może takie zasoby blokować albo próbować pobrać bezpiecznie.
- Zaktualizuj adres witryny w CMS, linki wewnętrzne i mapę strony, a następnie sprawdź działanie odnawiania certyfikatu.
Po ustabilizowaniu konfiguracji można wdrożyć HSTS — mechanizm nakazujący przeglądarce korzystanie z HTTPS przy kolejnych połączeniach. Wymaga ostrożności, zwłaszcza przy obejmowaniu subdomen, ponieważ błędne ustawienia mogą utrudnić dostęp do usług.
Pierwszy praktyczny test wykonaj na najważniejszym formularzu swojej strony: sprawdź zabezpieczenie połączenia, brak ostrzeżeń oraz to, czy wejście przez HTTP poprawnie przekierowuje do HTTPS.
Zobacz też: Co to jest CDN?
Przeczytaj także
