HTTP vs. HTTPS: o que uma conexão segura protege

O HTTP define as requisições e respostas trocadas entre um cliente e um servidor web. O HTTPS usa a mesma semântica da web sobre uma conexão protegida: os dados são criptografados e o cliente confere se o servidor está autorizado a responder pelo nome que aparece na barra de endereços. Isso protege a troca durante o trajeto, mas não garante a honestidade do dono do site.

O que muda com o HTTPS

Com o HTTP comum, outra parte no caminho da rede pode conseguir ler ou alterar o conteúdo. O HTTPS negocia um canal seguro e verifica um certificado para o nome de host solicitado. Os sites modernos podem usar TLS sobre TCP no HTTP/1.1 ou no HTTP/2, ou QUIC no HTTP/3. Ou seja, o HTTPS não está preso a uma única versão do HTTP. Ele protege a confidencialidade e a integridade dos dados entre o navegador e a ponta dessa conexão protegida.

Alguns dados da conexão podem continuar visíveis para a rede, como o endereço IP remoto e o volume aproximado de dados transferidos. Proxies, inspeção corporativa e recursos de terceiros também podem mudar onde ficam as fronteiras de confiança. O HTTPS não torna privada qualquer ação nem substitui a segurança da conta.

O que um certificado prova

O navegador verifica se o certificado cobre o nome solicitado, se tem uma cadeia de confiança aceitável e se atende à política de segurança dele. Um aviso de nome de host errado, de certificado expirado ou de emissor não confiável não deve ser resolvido desligando a verificação. Leia o erro exato: um relógio errado no dispositivo também pode fazer as datas parecerem inválidas.

Um certificado válido para example.org liga o navegador a esse nome; ele não comprova que o site vende produtos legítimos ou diz a verdade. Um site de phishing pode obter um certificado válido para o próprio domínio enganoso. Confira o nome de host inteiro antes de digitar uma senha, principalmente depois de clicar em uma mensagem ou em um anúncio. Para verificar o servidor, use a verificação de serviços ativos da 2IP.

O que usuários e donos de sites devem fazer

Os usuários devem evitar enviar senhas ou dados de pagamento por HTTP. Se o HTTPS mostrar um aviso, não o ignore em ações sensíveis. Os donos de sites devem redirecionar as requisições HTTP para HTTPS, manter certificados para todos os nomes de host em uso e evitar carregar recursos sensíveis da página por HTTP. Depois de uma migração, teste os formulários, os recursos incorporados e as URLs canônicas, e não apenas a página inicial.

A RFC 9110 define os esquemas HTTP e HTTPS e a semântica que eles compartilham. A ferramenta Informações do site, da 2IP, pode mostrar detalhes técnicos, mas eles não dizem nada sobre a honestidade do dono. Um guia separado explica como interpretar os erros de certificado TLS.