HTTP berbanding HTTPS: apa yang dilindungi sambungan selamat

HTTP mentakrifkan permintaan dan respons antara klien dengan pelayan web. HTTPS menggunakan semantik web yang sama melalui sambungan yang dilindungi: data disulitkan, dan klien menyemak bahawa pelayan itu diberi kuasa untuk nama dalam bar alamat. Perlindungan ini meliputi pertukaran data semasa penghantaran, bukan kejujuran pemilik laman.

Apa yang diubah oleh HTTPS

Dengan HTTP biasa, pihak lain dalam laluan rangkaian mungkin boleh membaca atau mengubah kandungan. HTTPS merundingkan saluran selamat dan menyemak sijil bagi nama hos yang diminta. Laman moden boleh menggunakan TLS di atas TCP untuk HTTP/1.1 atau HTTP/2, atau QUIC untuk HTTP/3. Jadi, HTTPS tidak terikat pada satu versi HTTP sahaja. Ia melindungi kerahsiaan dan integriti data antara pelayar dengan titik akhir sambungan selamat tersebut.

Sesetengah fakta tentang sambungan masih boleh kelihatan kepada rangkaian, seperti alamat IP jauh dan anggaran jumlah data yang dipindahkan. Proksi, pemeriksaan trafik di syarikat dan sumber pihak ketiga juga boleh mengubah kedudukan sempadan kepercayaan. HTTPS tidak menjadikan setiap tindakan peribadi, dan tidak menggantikan keselamatan akaun.

Apa yang dibuktikan oleh sijil

Pelayar menyemak bahawa sijil meliputi nama yang diminta, mempunyai rantaian kepercayaan yang boleh diterima dan mematuhi dasar keselamatannya. Amaran tentang nama hos yang salah, sijil tamat tempoh atau pengeluar yang tidak dipercayai tidak patut diatasi dengan mematikan pengesahan. Baca ralat dengan teliti: jam peranti yang salah juga boleh membuatkan tarikh kelihatan tidak sah.

Sijil yang sah untuk example.org menghubungkan pelayar dengan nama itu; ia tidak membuktikan laman tersebut menjual barangan tulen atau bercakap benar. Laman pancingan data boleh mendapatkan sijil yang sah untuk domainnya sendiri yang mengelirukan. Semak keseluruhan nama hos sebelum memasukkan kata laluan, terutamanya selepas mengikut pautan dalam mesej atau iklan. Sebagai langkah tambahan, cuba semakan perkhidmatan aktif pada pelayan 2IP.

Apa yang patut dilakukan pengguna dan pemilik laman

Pengguna patut mengelak daripada menghantar kata laluan atau butiran pembayaran melalui HTTP. Jika HTTPS memaparkan amaran, jangan abaikannya untuk tindakan yang sensitif. Pemilik laman patut mengubah hala permintaan HTTP ke HTTPS, menyelenggara sijil bagi setiap nama hos yang digunakan dan mengelak daripada memuatkan sumber halaman yang sensitif melalui HTTP. Selepas migrasi, uji borang, sumber terbenam dan URL kanonik, bukan halaman utama sahaja.

RFC 9110 mentakrifkan skema HTTP dan HTTPS serta semantik yang dikongsi kedua-duanya. Alat maklumat laman web 2IP boleh menunjukkan butiran teknikal, tetapi butiran itu tidak menilai kejujuran pemilik. Panduan berasingan menerangkan cara mentafsir ralat sijil TLS.