Какво представляват HTTPS и SSL? Как работят сигурните уебсайтове, обяснено просто

HTTPS е защитената версия на HTTP – протокола, който браузърите използват, за да комуникират с уебсайтовете. Той обвива всяка заявка и всеки отговор в криптирана връзка чрез TLS (Transport Layer Security), така че никой между посетителя и сайта не може да прочете или да промени изпратеното. SSL е по-старото име за същата идея – оригиналният протокол, който TLS замени, затова хората още казват „SSL сертификат“.

Защо HTTPS е важен, когато създаваш с AI

Всяко приложение, което публикуваш, трябва да се обслужва през HTTPS. Това не е само добра практика:

Браузърите го очакват. Сайтовете през обикновен HTTP се маркират като „Не е защитено“, а някои функции на браузъра – например достъп до местоположението, камера и микрофон, и service workers за офлайн приложения – обикновено работят само на защитени (HTTPS) страници.
Входове и формуляри. Без HTTPS паролите, сесийните бисквитки и данните от формуляри пътуват като четим текст. Всеки в същата кафе Wi-Fi мрежа потенциално може да ги прихване.
Плащания и трети страни. Доставчиците на плащания, входът чрез OAuth и много API изискват HTTPS адреси за пренасочване и обратно извикване.
Доверие и търсене. Посетителите забелязват предупреждението, а Google е казал, че третира HTTPS като сигнал за класиране.

Добрата новина: в повечето съвременни хостинг платформи HTTPS се настройва автоматично. Най-вече трябва да разбереш частите достатъчно добре, за да поправиш нещо, когато не работи при собствен домейн или при предупреждение за смесено съдържание.

Ежедневна аналогия

Изпращането на данни през обикновен HTTP е като пращане на картичка по пощата: всеки пощенски служител, който я докосне, може да я прочете, а някой дори може да промени съобщението.

HTTPS е като изпращане на запечатан плик, който показва, ако е бил отварян – и предварително проверяваш официалната самоличност на получателя. Сертификатът е тази карта за самоличност, издадена от доверен орган (издател на сертификати), който е проверил, че уебсайтът наистина контролира домейна. Криптирането е запечатаният плик. Картата доказва, че пишеш на правилния адрес; плика пази съдържанието поверително.

Как работи HTTPS, накратко

Когато браузър отвори https://shop.example.com:

Поздрав. Браузърът се свързва и казва кои методи за криптиране поддържа.
Сертификат. Сървърът изпраща сертификата си, който казва „този ключ принадлежи на shop.example.com“ и е подписан от издател на сертификати.
Проверка. Браузърът проверява подписа спрямо органите, на които вече се доверява, проверява дали сертификатът не е изтекъл и дали домейнът съвпада.
Ключове. Браузърът и сървърът се споразумяват за нов секретен ключ за тази сесия, без никога да го изпращат открито.
Криптиран разговор. Всички заявки и отговори – страници, данни от формуляри, бисквитки – вече пътуват криптирани.

Това TLS ръкостискане отнема няколко милисекунди и се случва автоматично. Посетителят вижда само иконата с катинарче (или в някои браузъри неутрална икона с информация за сайта).

Какво защитава HTTPS и какво не

Защитава	Не защитава
Данните при пренос между браузъра и сървъра	Данните, след като са на твоя сървър или в базата ти
От подслушване в обществена Wi-Fi мрежа	От злонамерен или измамен уебсайт
От промяна на страниците по пътя	От грешки в приложението ти, например липсващи проверки на права
Бисквитките и паролите, докато се изпращат	От слаби пароли или изтекли API ключове

HTTPS криптира съдържанието на заявките, включително пътя на страницата и параметрите в адреса. Но името на домейна, който посещаваш, обикновено остава видимо за мрежите по пътя. Това е една от причините никога да не слагаш лични данни в адресите – те така или иначе попадат в логове и в историята на браузъра.

Примерен случай: свързване на собствен домейн

Приеми, че публикуваш приложение за резервации и искаш то да е на book.myyogastudio.com:

Добавяш DNS запис, който сочи book.myyogastudio.com към твоя хост. Виж как работят домейните и DNS.
Хостът доказва пред издател на сертификати, че контролира това име – обикновено като отговори на предизвикателство на този домейн – и получава сертификат.
Хостът инсталира сертификата и го подновява автоматично, преди да изтече. Сертификатите умишлено са с кратък живот, затова автоматичното подновяване е важно.
Посетителите на http://book.myyogastudio.com се пренасочват към https://.

Ако стъпка 1 е грешна – записът сочи другаде или между тях има прокси – стъпка 2 може да се провали и посетителите виждат грешка в сертификата. Това е най-честият проблем с HTTPS, с който хората се сблъскват при свързване на собствен домейн.

Ключови термини

Термин	Значение
TLS	Transport Layer Security, протоколът за криптиране зад HTTPS.
SSL	Secure Sockets Layer, остарелият предшественик на TLS. Името още се използва.
Сертификат	Подписан файл, който свързва домейн с публичен ключ.
Издател на сертификати (CA)	Организация, на която браузърите се доверяват за издаване на сертификати, като Let's Encrypt.
Валидиране на домейн (DV)	Сертификат, който доказва контрол върху домейна – това използват почти всички сайтове.
Wildcard сертификат	Покрива всички поддомейни на едно ниво, като `*.example.com`.
Смесено съдържание	HTTPS страница, която зарежда някои ресурси през обикновен HTTP. Браузърите ги блокират или предупреждават.
HSTS	Заглавие, което казва на браузърите винаги да използват HTTPS за сайта ти оттук нататък.
Порт 443	Стандартният порт за HTTPS (HTTP използва порт 80).

Чести погрешни схващания

„Катинарчето означава, че сайтът е надежден.“ То означава, че връзката е поверителна и домейнът съвпада. Измамниците също получават сертификати.
„HTTPS е нужен само за страниците с плащания.“ Всяка страница с вход, формуляр или бисквитка го изисква – което е почти всяко приложение. Просто го използвай навсякъде.
„Сертификатите са скъпи.“ Безплатните, доверени сертификати са стандарт, а повечето хостове ги управляват вместо теб.
„HTTPS прави приложението ми сигурно.“ Той защитава връзката. Приложението ти все още се нуждае от проверки на правата от страна на сървъра, безопасно боравене с тайните и валидиране на входните данни. Виж контролния списък за сигурност за приложения, създадени с AI.
„HTTPS прави сайтовете бавни.“ Съвременният TLS добавя много малко натоварване, а функции като HTTP/2, които ускоряват сайтовете, обикновено изискват HTTPS в браузърите.

Поправка на чести проблеми с HTTPS

Симптом	Вероятна причина
„Връзката ви не е поверителна“	Сертификатът не покрива точно този домейн, е изтекъл или още не е издаден
Работи с `www.`, но не и без него (или обратното)	Само едно от имената има DNS и сертификат
Липсва катинарче, „Not secure“ на някои страници	Смесено съдържание: изображение, скрипт или шрифт, зареден през `http://`
Грешка в сертификата веднага след свързване на домейн	DNS още се разпространява или прокси пред сайта блокира проверката на сертификата

Какво да поискаш от AI инструмента

„Увери се, че всяко изображение, скрипт и шрифт се зарежда през HTTPS или с относителен адрес – без http:// връзки.“
„Пренасочвай целия HTTP трафик към HTTPS.“
„Задавай сесийните бисквитки с флаговете Secure и HttpOnly.“
„Използвай https:// за всеки адрес за обратно извикване при OAuth, плащания и webhooks.“
„Собственият ми домейн показва грешка в сертификата – какъв DNS запис очаква хостът?“

HTTPS в Mythex

Когато свържеш собствен домейн в Mythex (функция на Pro), добавяш CNAME запис, който сочи към целта slug.mythex.ai, която Mythex ти показва, натискаш Verify и Mythex издава HTTPS за домейна автоматично. Документацията описва двете най-чести пречки: ако DNS-ът ти е при Cloudflare, задай записа на „DNS only“ (сив облак), а не проксиран, за да може Mythex да издаде сертификата; и DNS може да се потвърди, преди HTTPS да е напълно настроен, затова изчакай няколко минути и провери отново. Виж собствените домейни в документацията и нашето ръководство за свързване на собствен домейн.

Въпроси

Каква е разликата между HTTP и HTTPS?

HTTP изпраща данните между браузъра и уебсайта като четим текст. HTTPS е HTTP, изпратен през криптирана TLS връзка, така че хората в същата мрежа или по маршрута не могат да четат или променят изпратеното, а браузърът може да провери, че комуникира с истинския сайт.

SSL и TLS едно и също ли са?

TLS е съвременният наследник на SSL. Всички версии на SSL са остарели и несигурни, а днешните сигурни уебсайтове използват TLS. Хората още казват „SSL сертификат“ по навик, но сертификатите се използват с TLS.

Означава ли катинарчето, че даден уебсайт е безопасен?

Не. Катинарчето означава, че връзката е криптирана и че сертификатът съвпада с домейна. Измамен сайт също може да има валиден сертификат. Той показва, че никой не може да подслушва връзката, но не и че собственикът на сайта е надежден.

Трябва ли да плащам за SSL сертификат?

Обикновено не. Безплатни, автоматизирани издатели на сертификати, като Let's Encrypt, издават сертификати, на които браузърите се доверяват, а повечето хостинг платформи ги получават и подновяват вместо теб. Платените сертификати основно добавят поддръжка или допълнителни проверки на самоличността.

Защо сайтът ми показва „Not Secure“?

Честите причини са отварянето на сайта през http:// вместо https://, сертификат, който е изтекъл или не покрива точно този домейн, или страница, която зарежда изображения или скриптове през обикновен http:// (смесено съдържание).