HTTP a HTTPS: co chroni bezpieczne połączenie

HTTP określa zasady wymiany żądań i odpowiedzi między klientem a serwerem WWW. HTTPS korzysta z tej samej semantyki, ale przez chronione połączenie: dane są szyfrowane, a klient sprawdza, czy serwer jest uprawniony do nazwy widocznej w pasku adresu. Chroni to wymianę danych w drodze, ale nie świadczy o uczciwości właściciela strony.

Co zmienia HTTPS

Przy zwykłym HTTP ktoś inny na trasie sieciowej może odczytać lub zmienić treść. HTTPS negocjuje bezpieczny kanał i sprawdza certyfikat dla żądanej nazwy hosta. Współczesne strony mogą używać TLS przez TCP w HTTP/1.1 lub HTTP/2 albo QUIC w HTTP/3, więc HTTPS nie jest związany z jedną wersją HTTP. Zapewnia poufność i integralność danych między przeglądarką a punktem końcowym zabezpieczonego połączenia.

Niektóre informacje o połączeniu pozostają jednak widoczne dla sieci, na przykład zdalny adres IP i przybliżona ilość przesłanych danych. Serwery proxy, inspekcja ruchu w firmach i zasoby zewnętrzne mogą też przesuwać granice zaufania. HTTPS nie sprawia, że każde działanie staje się prywatne, i nie zastępuje zabezpieczenia konta.

Czego dowodzi certyfikat

Przeglądarka sprawdza, czy certyfikat obejmuje żądaną nazwę, ma akceptowalny łańcuch zaufania i spełnia jej zasady bezpieczeństwa. Ostrzeżenia o błędnej nazwie hosta, wygaśnięciu lub niezaufanym wystawcy nie należy „rozwiązywać” przez wyłączenie weryfikacji. Przeczytaj dokładny komunikat: daty mogą wydawać się nieprawidłowe także wtedy, gdy zegar urządzenia jest źle ustawiony.

Ważny certyfikat dla example.org łączy przeglądarkę z tą nazwą, ale nie dowodzi, że strona sprzedaje oryginalne towary ani że mówi prawdę. Strona phishingowa też może uzyskać ważny certyfikat dla własnej, wprowadzającej w błąd domeny. Zanim wpiszesz hasło, sprawdź całą nazwę hosta – zwłaszcza gdy na stronę prowadził link z wiadomości lub reklamy. Działające usługi serwera sprawdzisz w narzędziu 2IP „Sprawdź aktywne usługi na serwerze”.

Co powinni robić użytkownicy i właściciele

Użytkownicy nie powinni wysyłać haseł ani danych płatniczych przez HTTP. Jeśli HTTPS wyświetla ostrzeżenie, nie omijaj go przy wrażliwych operacjach. Właściciele powinni przekierowywać żądania HTTP na HTTPS, utrzymywać certyfikaty dla każdej używanej nazwy hosta i nie ładować wrażliwych zasobów strony przez HTTP. Po migracji przetestuj nie tylko stronę główną, ale też formularze, osadzone zasoby i kanoniczne adresy URL.

Schematy HTTP i HTTPS oraz ich wspólną semantykę definiuje RFC 9110. Narzędzie 2IP „Informacje o stronie” pokaże szczegóły techniczne, ale nie ocenia uczciwości właściciela. Jak czytać błędy certyfikatów TLS, wyjaśniamy w osobnym artykule.