HTTP ve HTTPS: güvenli bağlantı neyi korur?

HTTP, bir istemci ile bir web sunucusu arasındaki istekleri ve yanıtları tanımlar. HTTPS aynı HTTP kurallarını korumalı bir bağlantı üzerinden uygular: veriler şifrelenir ve istemci, sunucunun adres çubuğundaki ad için yetkili olduğunu kontrol eder. Bu, site sahibinin dürüstlüğünü değil, aktarım sırasındaki alışverişi korur.

HTTPS neyi değiştirir?

Sıradan HTTP ile ağ yolundaki başka bir taraf içeriği okuyabilir veya değiştirebilir. HTTPS güvenli bir kanal üzerinde anlaşır ve istenen ana bilgisayar adı için bir sertifikayı kontrol eder. Modern siteler HTTP/1.1 veya HTTP/2 için TCP üzerinden TLS, HTTP/3 için ise QUIC kullanabilir. Dolayısıyla HTTPS yalnızca tek bir HTTP sürümüne bağlı değildir. Tarayıcı ile o güvenli bağlantının uç noktası arasındaki verilerin gizliliğini ve bütünlüğünü korur.

Bir bağlantıyla ilgili bazı bilgiler ağa görünür kalabilir; örneğin uzak IP adresi ve aktarılan yaklaşık veri miktarı. Proxy'ler, kurumsal trafik denetimi ve üçüncü taraf kaynaklar da güven sınırlarının nerede olduğunu değiştirebilir. HTTPS her eylemi gizli kılmaz ve hesap güvenliğinin yerini tutmaz.

Sertifika neyi kanıtlar?

Tarayıcı, sertifikanın istenen adı kapsadığını, kabul edilebilir bir güven zincirine sahip olduğunu ve güvenlik politikasını karşıladığını kontrol eder. Yanlış ana bilgisayar adı, süre sonu veya güvenilmeyen bir veren kuruluş hakkındaki bir uyarı, doğrulamayı kapatarak çözülmemelidir. Hatanın tam metnini okuyun: cihaz saatinin yanlış olması da tarihlerin geçersiz görünmesine neden olabilir.

example.org için geçerli bir sertifika tarayıcıyı o ada bağlar; sitenin gerçek ürünler sattığını veya doğruyu söylediğini kanıtlamaz. Bir oltalama sitesi kendi yanıltıcı alan adı için geçerli bir sertifika alabilir. Özellikle bir mesajdaki veya reklamdaki bağlantıyı izledikten sonra, şifre girmeden önce ana bilgisayar adının tamamını kontrol edin. Ek bir kontrol için 2IP sunucu hizmetleri kontrolünü kullanın.

Kullanıcılar ve site sahipleri ne yapmalı?

Kullanıcılar şifrelerini veya ödeme bilgilerini HTTP üzerinden göndermekten kaçınmalıdır. HTTPS bir uyarı gösterirse hassas işlemler için bu uyarıyı atlamayın. Site sahipleri HTTP isteklerini HTTPS'e yönlendirmeli, kullanılan her ana bilgisayar adı için sertifikaların bakımını yapmalı ve hassas sayfa kaynaklarını HTTP üzerinden yüklemekten kaçınmalıdır. Bir taşımadan sonra ana sayfanın yanı sıra formları, gömülü kaynakları ve kanonik URL'leri de test edin.

RFC 9110, HTTP ve HTTPS şemalarını ve ortak anlamlarını tanımlar. 2IP web sitesi bilgileri aracı teknik ayrıntıları gösterir; ama bu ayrıntılar site sahibinin dürüstlüğü hakkında bir şey söylemez. Ayrı bir rehber, TLS sertifika hatalarının nasıl yorumlanacağını açıklar.