Что такое HTTPS?

Протокол передачи гипертекста Secure (HTTPS) является безопасной версией протокола HTTP, который использует SSL /TLS протокол для шифрования и аутентификации. HTTPS определяется RFC 2818 (Май 2000 г.) и по умолчанию использует порт 443 вместо порта 80 HTTP.

Протокол HTTPS позволяет пользователям веб-сайтов безопасно передавать через Интернет конфиденциальные данные, такие как номера кредитных карт, банковскую информацию и учетные данные. По этой причине HTTPS особенно важен для защиты таких действий в Интернете, как покупки, банковские операции и удаленная работа. Однако HTTPS быстро становится стандартным протоколом для Найти веб-сайты, независимо от того, обмениваются ли они конфиденциальными данными с пользователями.

HTTPS добавляет шифрование, идентификациякачества целостность к протоколу HTTP:

Шифрование: Поскольку HTTP изначально разрабатывался как открытый текстовый протокол, он уязвим для прослушивания и человек в середине атаки. Включив SSL /TLS шифрование, HTTPS предотвращает перехват и чтение данных, отправляемых через Интернет, третьими лицами. Через криптография с открытым ключом и SSL /TLS рукопожатие, зашифрованный сеанс связи может быть безопасно установлен между двумя сторонами, которые никогда не встречались лично (например, веб-сервером и браузером), путем создания общего секретного ключа.

Аутентификация: В отличие от HTTP, HTTPS включает надежную аутентификацию через SSL /TLS протокол. SSL веб-сайта /TLS сертификат включает Открытый ключ что веб-браузер может использовать для подтверждения того, что документы, отправленные сервером (например, HTML-страницы), были подписаны цифровой подписью кем-то, у кого есть соответствующие закрытый ключ. Если сертификат сервера подписан публично доверенным центр сертификации (CA), например SSL.com, браузер согласится с тем, что любая идентифицирующая информация, включенная в сертификат, была проверена доверенной третьей стороной.

Веб-сайты HTTPS также можно настроить для взаимная аутентификация, в котором веб-браузер представляет сертификат клиента, идентифицирующий пользователя. Взаимная проверка подлинности полезна для таких ситуаций, как удаленная работа, где желательно включить многофакторную проверку подлинности, снижая риск фишинг или другие атаки, связанные с кражей учетных данных. Для получения дополнительной информации о настройке клиентских сертификатов в веб-браузерах прочтите это как.

Целостность: Каждый документ (например, веб-страница, изображение или файл JavaScript), отправленный в браузер веб-сервером HTTPS, включает цифровую подпись, которую веб-браузер может использовать, чтобы определить, что документ не был изменен третьей стороной или иным образом повреждены во время транспортировки. Сервер вычисляет криптографический хеш содержимого документа, включенного в его цифровой сертификат, который браузер может самостоятельно вычислить, чтобы подтвердить целостность документа.

Взятые вместе, эти гарантии шифрования, аутентификации и целостности делают HTTPS много более безопасный протокол для просмотра и ведения бизнеса в Интернете, чем HTTP.

Центры сертификации используют три основных методы проверки при выдаче цифровых сертификатов. Используемый метод проверки определяет информацию, которая будет включена в SSL /TLS сертификат:

• Проверка домена (DV) просто подтверждает, что доменное имя, на которое распространяется сертификат, находится под контролем организации, запросившей сертификат.
• Организация / индивидуальная проверка (OV / IV) сертификаты включают подтвержденное название предприятия или другой организации (OV), либо отдельного лица (IV).
• Extended Validation (EV) сертификаты представляют собой высший стандарт доверия в Интернете и требуют от центра сертификации больших усилий для проверки. Сертификаты EV выдаются только предприятиям и другим зарегистрированным организациям, но не отдельным лицам, и включают подтвержденное название этой организации.

Для получения дополнительной информации о просмотре содержимого цифрового сертификата веб-сайта, пожалуйста, прочтите нашу статью, Как я могу проверить, что сайт управляется законным бизнесом?

Есть несколько веских причин использовать HTTPS на своем веб-сайте и настаивать на HTTPS при просмотре, покупках и работе в Интернете в качестве пользователя:

Целостность и аутентификация: Благодаря шифрованию и аутентификации HTTPS защищает целостность связи между веб-сайтом и браузерами пользователя. Ваши пользователи будут знать, что данные, отправленные с вашего веб-сервера, не были перехвачены и / или изменены третьей стороной при передаче. И, если вы сделали дополнительные инвестиции в сертификаты EV или OV, они также смогут сказать, что информация действительно пришло из вашего бизнеса или организации.

Конфиденциальность: Конечно, никто не хочет, чтобы злоумышленники собирали номера их кредитных карт и пароли во время покупок или банковских операций в Интернете, и HTTPS отлично подходит для предотвращения этого. Но ты бы на самом деле хочу, чтобы все остальное, что вы видите и делаете в Интернете, было открытой книгой для всех, кто хочет шпионить (включая правительства, работодателей или кого-то, кто создает профиль для де-Анонимизация ваша онлайн-деятельность)? HTTPS здесь тоже играет важную роль.

Пользовательский опыт: Недавние изменения в пользовательском интерфейсе браузера привели к тому, что HTTP-сайты были помечены как небезопасный. Вы хотите, чтобы браузеры ваших клиентов сообщали им, что ваш веб-сайт «небезопасен», или отображали перечеркнутый замок при его посещении? Конечно нет!

Совместимость: Текущие изменения в браузере приближают HTTP к несовместимости. Mozilla Firefox недавно анонсировал необязательный Режим только HTTPS, а Google Chrome неуклонно переходит на блокировать смешанный контент (Ресурсы HTTP, связанные со страницами HTTPS). При просмотре вместе с предупреждениями браузера о «небезопасности» для веб-сайтов HTTP легко увидеть, что для HTTP написано на стене. В 2020 году все основные браузеры и мобильные устройства поддерживают HTTPS, поэтому вы не потеряете пользователей, переключившись с HTTP.

SEO: Поисковые системы (включая Google) используют HTTPS в качестве сигнал ранжирования при создании результатов поиска. Таким образом, владельцы веб-сайтов могут легко повысить SEO, просто настроив свои веб-серверы на использование HTTPS, а не HTTP.

Короче говоря, у общедоступных веб-сайтов больше нет веских причин продолжать поддерживать HTTP. Даже Правительство Соединенных Штатов. на борту!

HTTPS добавляет шифрование к протоколу HTTP, заключив HTTP в SSL /TLS протокол (именно поэтому SSL называется протоколом туннелирования), так что все сообщения шифруются в обоих направлениях между двумя компьютерами в сети (например, клиентом и веб-сервером). Хотя перехватчик потенциально может получить доступ к IP-адресам, номерам портов, доменным именам, объему передаваемой информации и продолжительности сеанса, все фактические данные, которыми обмениваются, надежно зашифрованы с помощью SSL /TLS, в том числе:

• Запросить URL (какая веб-страница была запрошена клиентом)
• Содержание веб-сайта
• Параметры запроса
• Заголовки
• Cookie

HTTPS также использует SSL /TLS протокол для идентификация. SSL /TLS использует цифровые документы, известные как Сертификаты X.509 связать криптографический пары ключей идентичности объектов, таких как веб-сайты, частные лица и компании. Каждая пара ключей включает в себя закрытый ключ, который хранится в безопасности, и Открытый ключ, который может быть широко распространен. Любой человек с открытым ключом может использовать его для:

• Отправить сообщение, которое может расшифровать только владелец закрытого ключа.
• Подтвердите, что сообщение было подписано цифровой подписью с помощью соответствующего закрытого ключа.

Если сертификат, представленный веб-сайтом HTTPS, был подписан публично доверенным центр сертификации (CA), Такие, как SSL.comпользователи могут быть уверены, что личность веб-сайта была подтверждена надежной и тщательно проверенной третьей стороной.

В 2020 году веб-сайты, которые не используют HTTPS и не обслуживают смешанный контент (обслуживающие ресурсы, такие как изображения через HTTP со страниц HTTPS) подвержены предупреждениям и ошибкам безопасности браузера. Кроме того, эти веб-сайты без необходимости ставят под угрозу конфиденциальность и безопасность своих пользователей и не являются предпочтительными для алгоритмов поисковых систем. Следовательно, веб-сайты с HTTP и смешанным содержанием могут ожидать больше предупреждений и ошибок браузера, снизить доверие пользователей и худшее SEO чем если бы они включили HTTPS.

URL HTTPS начинается с https:// вместо http://, Современные веб-браузеры также указывают, что пользователь посещает защищенный веб-сайт HTTPS, отображая символ закрытого замка слева от URL-адреса:

В современных браузерах, таких как Chrome, Firefox и Safari, пользователи могут нажмите на замок чтобы узнать, содержит ли цифровой сертификат веб-сайта HTTPS идентифицирующая информация о его владельце.

Чтобы защитить общедоступный веб-сайт с помощью HTTPS, необходимо установить SSL /TLS сертификат подписанный общественно доверенным центр сертификации (CA) на вашем веб-сервере. SSL.com's база знаний включает множество полезных руководств и инструкций по настройке широкого спектра платформ веб-серверов для поддержки HTTPS.

Более общие руководства по настройке HTTP-сервера и устранению неполадок см. В SSL /TLS Лучшие практики на 2020 год и Устранение неполадок SSL /TLS Ошибки браузера и предупреждения.