HTTP e HTTPS: cosa protegge una connessione sicura
HTTP definisce richieste e risposte tra un client e un server web. HTTPS usa la stessa semantica web su una connessione protetta: i dati sono cifrati e il client verifica che il server sia autorizzato per il nome nella barra degli indirizzi. Ciò protegge lo scambio durante la trasmissione, non l'onestà del proprietario del sito.
Cosa cambia con HTTPS
Con il normale HTTP, un altro soggetto lungo il percorso di rete può essere in grado di leggere o alterare i contenuti. HTTPS negozia un canale sicuro e verifica un certificato per il nome host richiesto. I siti moderni possono usare TLS su TCP per HTTP/1.1 o HTTP/2, oppure QUIC per HTTP/3. HTTPS quindi non è legato a una sola versione di HTTP. Protegge la riservatezza e l'integrità dei dati tra il browser e l'endpoint di quella connessione protetta.
Alcune informazioni su una connessione possono restare visibili alla rete, come l'indirizzo IP remoto e la quantità approssimativa di dati trasferiti. Proxy, ispezione aziendale e risorse di terze parti possono inoltre spostare i confini della fiducia. HTTPS non rende privata ogni azione e non sostituisce la sicurezza dell'account.
Cosa dimostra un certificato
Il browser verifica che il certificato copra il nome richiesto, abbia una catena di fiducia accettabile e rispetti le sue regole di sicurezza. Un avviso relativo a un nome host errato, alla scadenza o a un emittente non attendibile non va risolto disattivando la verifica. Leggi l'errore preciso: anche un orologio del dispositivo impostato male può far sembrare non valide le date.
Un certificato valido per example.org collega il browser a quel nome; non stabilisce che il sito venda prodotti autentici o dica la verità. Un sito di phishing può ottenere un certificato valido per il proprio dominio ingannevole. Controlla l'intero nome host prima di inserire una password, soprattutto dopo aver seguito un messaggio o un annuncio. Come controllo aggiuntivo puoi usare lo strumento Verifica servizi attivi su un server di 2IP.
Cosa dovrebbero fare utenti e proprietari
Gli utenti dovrebbero evitare di inviare password o dati di pagamento tramite HTTP. Se HTTPS mostra un avviso, non ignorarlo per operazioni sensibili. I proprietari dovrebbero reindirizzare le richieste HTTP verso HTTPS, mantenere i certificati per ogni nome host utilizzato ed evitare di caricare risorse sensibili della pagina tramite HTTP. Dopo una migrazione, verifica moduli, risorse incorporate e URL canonici oltre alla pagina iniziale.
La RFC 9110 definisce gli schemi HTTP e HTTPS e la semantica comune. Lo strumento Informazioni sul sito web può mostrare dettagli tecnici, ma questi dettagli non valutano l'onestà del proprietario. Una guida separata spiega come interpretare gli errori dei certificati TLS.