Šta su HTTPS i SSL? Kako rade sigurne web stranice, objašnjeno jednostavno

HTTPS je sigurna verzija HTTP-a, protokola kojim pretraživači razgovaraju s web stranicama. Svaki zahtjev i odgovor umotava u šifrovanu vezu koristeći TLS (Transport Layer Security), pa niko između posjetioca i web stranice ne može da pročita ili izmijeni ono što se šalje. SSL je stariji naziv za istu ideju — originalni protokol koji je TLS zamijenio — zato ljudi i dalje govore „SSL certifikat”.

Zašto je HTTPS važan kada gradite uz AI

Svaka aplikacija koju objavite treba da bude servirana preko HTTPS-a. To nije samo dobra praksa:

• Pretraživači to očekuju. Stranice na običnom HTTP-u dobijaju oznaku „Nesigurno”, a neke funkcije pretraživača — kao što su pristup lokaciji, kamera i mikrofon, te service workeri za offline aplikacije — uglavnom rade samo na sigurnim (HTTPS) stranicama.
• Prijave i obrasci. Bez HTTPS-a, lozinke, sesijski kolačići i podaci iz obrazaca putuju kao čitljiv tekst. Svako na istom javnom Wi-Fi-ju bi ih potencijalno mogao uhvatiti.
• Plaćanja i treće strane. Provajderi plaćanja, OAuth prijava i mnogi API-ji zahtijevaju HTTPS adrese za preusmjeravanje i povratne pozive.
• Povjerenje i pretraga. Posjetioci primijete upozorenje, a Google je rekao da HTTPS tretira kao signal za rangiranje.

Dobra vijest: na većini savremenih platformi za hosting HTTPS se postavlja automatski. Ono što uglavnom trebate jeste da razumijete dijelove dovoljno dobro da ga popravite kada prilagođena domena ili upozorenje o mješovitom sadržaju pođe po zlu.

Svakodnevna analogija

Slanje podataka preko običnog HTTP-a je kao slanje razglednice: svaki poštanski radnik koji je dira može je pročitati, pa čak i izmijeniti poruku.

HTTPS je kao slanje zapečaćene koverte koja se vidi da je dirana — i prije toga provjera službene identifikacije primaoca. Certifikat je ta lična karta, koju izdaje pouzdano tijelo (tijelo za izdavanje certifikata) koje je provjerilo da web stranica zaista kontroliše domenu. Šifrovanje je zapečaćena koverta. Lična karta dokazuje da pišete na pravu adresu; koverta čuva sadržaj privatnim.

Kako HTTPS radi, jednostavno

Kada pretraživač otvori https://shop.example.com:

1. Pozdrav. Pretraživač se povezuje i kaže koje metode šifrovanja podržava.
2. Certifikat. Server šalje svoj certifikat, koji kaže „ovaj ključ pripada shop.example.com” i potpisan je od strane tijela za izdavanje certifikata.
3. Provjera. Pretraživač provjerava potpis u odnosu na tijela kojima već vjeruje, provjerava da certifikat nije istekao i da se domena poklapa.
4. Ključevi. Pretraživač i server se dogovaraju o novom tajnom ključu za ovu sesiju, a da ga nikada ne pošalju otvoreno.
5. Šifrovani razgovor. Svi zahtjevi i odgovori — stranice, podaci iz obrazaca, kolačići — sada putuju šifrovano.

Ovo TLS rukovanje traje nekoliko milisekundi i odvija se automatski. Posjetilac vidi samo ikonu katanca (ili, u nekim pretraživačima, neutralnu ikonu informacija o stranici).

Šta HTTPS štiti, a šta ne

HTTPS šifruje sadržaj zahtjeva, uključujući putanju stranice i upitni niz. Ali naziv domene koju posjećujete obično je i dalje vidljiv mrežama duž puta. Zato nikada ne stavljajte lične podatke u URL-ove — oni završe i u logovima i u historiji pretraživača.

Primjer: povezivanje prilagođene domene

Recimo da objavljujete aplikaciju za rezervacije i želite da bude na book.myyogastudio.com:

1. Dodajete DNS zapis koji pokazuje book.myyogastudio.com na vaš hosting. Pogledajte kako rade domene i DNS.
2. Hosting dokazuje tijelu za izdavanje certifikata da kontroliše taj naziv — obično odgovaranjem na izazov na toj domeni — i dobija certifikat.
3. Hosting instalira certifikat i automatski ga obnavlja prije isteka. Certifikati su namjerno kratkotrajni, pa je automatska obnova važna.
4. Posjetioci koji otvore http://book.myyogastudio.com bivaju preusmjereni na https://.

Ako je korak 1 pogrešan — zapis pokazuje na drugo mjesto ili je proxy u sredini — korak 2 može da padne i posjetioci vide grešku certifikata. To je najčešći HTTPS problem na koji ljudi naiđu pri povezivanju prilagođene domene.

Ključni pojmovi

Česte zablude

• „Katanac znači da je web stranica pouzdana.” Znači da je veza privatna i da se domena poklapa. Prevaranti također dobijaju certifikate.
• „HTTPS je potreban samo za stranice za plaćanje.” Svaka stranica s prijavom, obrascem ili kolačićem ga treba — a to je skoro svaka aplikacija. Samo ga koristite svuda.
• „Certifikati su skupi.” Besplatni, pouzdani certifikati su standard, a većina hostinga ih upravlja umjesto vas.
• „HTTPS čini moju aplikaciju sigurnom.” Štiti vezu. Vaša aplikacija i dalje treba provjere dozvola na serveru, sigurno čuvanje tajni i validaciju unosa. Pogledajte sigurnosnu listu za aplikacije izrađene uz AI.
• „HTTPS usporava stranice.” Savremeni TLS dodaje vrlo malo opterećenja, a funkcije poput HTTP/2, koje ubrzavaju stranice, u pretraživačima uglavnom zahtijevaju HTTPS.

Popravljanje uobičajenih HTTPS problema

Šta tražiti od AI graditelja

• „Pobrini se da se svaka slika, skripta i font učitavaju preko HTTPS-a ili relativne adrese — bez http:// linkova.”
• „Preusmjeri sav HTTP saobraćaj na HTTPS.”
• „Postavi sesijske kolačiće sa Secure i HttpOnly zastavicama.”
• „Koristi https:// za svaku OAuth, plaćanje i webhook povratnu adresu.”
• „Moja prilagođena domena pokazuje grešku certifikata — koji DNS zapis hosting očekuje?”

HTTPS u Mythexu

Kada povežete prilagođenu domenu na Mythexu (funkcija Pro plana), dodajete CNAME zapis koji pokazuje na slug.mythex.ai cilj koji vam Mythex prikaže, kliknete Verify, a Mythex automatski izdaje HTTPS za domenu. Dokumentacija pokriva dvije najčešće prepreke: ako je vaš DNS na Cloudflareu, postavite zapis na „DNS only” (sivi oblak), a ne proxied, kako bi Mythex mogao izdati certifikat; i DNS može proći provjeru prije nego što je HTTPS potpuno postavljen, pa sačekajte nekoliko minuta i ponovo provjerite. Pogledajte prilagođene domene u dokumentaciji i naš vodič za povezivanje prilagođene domene.

Pitanja