Què són HTTPS i SSL? Com funcionen els llocs web segurs, explicat simplement
HTTPS és la versió segura de HTTP, el protocol que fan servir els navegadors per parlar amb els llocs web. Embolcalla cada petició i cada resposta en una connexió xifrada amb TLS (Transport Layer Security), de manera que ningú entre el visitant i el lloc web pot llegir ni manipular el que s'envia. SSL és el nom antic de la mateixa idea —el protocol original que va substituir TLS—, per això la gent continua dient « certificat SSL ».
Per què importa HTTPS quan construeixes amb IA
Qualsevol app que publiquis hauria de servir-se per HTTPS. No és només una bona pràctica:
- Els navegadors ho esperen. Els llocs en HTTP simple es marquen com « No segur », i algunes funcions del navegador —com l'accés a la ubicació, la càmera i el micròfon, o els service workers per a apps sense connexió— generalment només funcionen en pàgines segures (HTTPS).
- Inicis de sessió i formularis. Sense HTTPS, les contrasenyes, les cookies de sessió i les dades dels formularis viatgen en text llegible. Qualsevol persona a la mateixa Wi-Fi de la cafeteria podria capturar-les.
- Pagaments i tercers. Els proveïdors de pagament, l'inici de sessió OAuth i moltes API exigeixen URL de redirecció i de callback amb HTTPS.
- Confiança i cerca. Els visitants veuen l'avís, i Google ha dit que considera HTTPS un senyal de posicionament.
La bona notícia: a la majoria de plataformes d'allotjament modernes, HTTPS es configura automàticament. El que més necessites és entendre les parts prou bé per arreglar-ho quan un domini personalitzat o un avís de contingut mixt falla.
Una analogia quotidiana
Enviar dades per HTTP simple és com enviar una postal: cada carter que la manipula la pot llegir, i algú fins i tot podria canviar el missatge.
HTTPS és com enviar un sobre tancat i a prova de manipulacions, i primer comprovar la identitat oficial del destinatari. El certificat és aquesta targeta d'identitat, emesa per una autoritat de confiança (l'autoritat de certificació) que ha verificat que el lloc web controla realment el domini. El xifratge és el sobre tancat. La identitat demostra que escrius a l'adreça correcta; el sobre manté el contingut privat.
Com funciona HTTPS, en resum
Quan un navegador obre https://botiga.exemple.com:
- Hola. El navegador es connecta i diu quins mètodes de xifratge suporta.
- Certificat. El servidor envia el seu certificat, que diu « aquesta clau pertany a
botiga.exemple.com» i està signat per una autoritat de certificació. - Comprovació. El navegador verifica la signatura amb les autoritats en què ja confia, comprova que el certificat no hagi caducat i que el domini coincideix.
- Claus. El navegador i el servidor es posen d'acord en una clau secreta nova per a aquesta sessió, sense enviar-la mai a la vista de tothom.
- Conversa xifrada. Totes les peticions i respostes —pàgines, dades de formularis, cookies— ara viatgen xifrades.
Aquest handshake TLS triga uns quants mil·lisegons i passa automàticament. El visitant només veu la icona del candau (o, en alguns navegadors, una icona neutra d'informació del lloc).
Què protegeix i què no protegeix HTTPS
| Protegeix | No protegeix |
|---|---|
| Les dades en trànsit entre el navegador i el servidor | Les dades un cop són al teu servidor o a la teva base de dades |
| Contra l'espionatge a la Wi-Fi pública | Contra un lloc web maliciós o d'estafa |
| Contra que algú alteri les pàgines pel camí | Contra errors a la teva app, com la falta de comprovacions de permisos |
| Les cookies i les contrasenyes mentre s'envien | Contra contrasenyes febles o claus d'API filtrades |
HTTPS xifra el contingut de les peticions, incloent-hi el camí de la pàgina i la query string. Però el nom de domini que visites sol continuar sent visible per a les xarxes pel camí. Aquesta és una raó més per no posar mai dades personals a les URL: també acaben als registres i a l'historial del navegador.
Un exemple pas a pas: connectar un domini personalitzat
Digues que publiques una app de reserves i la vols a reserves.elmeuestudiodeioga.com:
- Afegeixes un registre DNS que apunta
reserves.elmeuestudiodeioga.comal teu allotjament. Consulta com funcionen els dominis i el DNS. - L'allotjament demostra a una autoritat de certificació que controla aquest nom —normalment responent a un repte en aquest domini— i rep un certificat.
- L'allotjament instal·la el certificat i el renova automàticament abans que caduqui. Els certificats són deliberadament de vida curta, per això la renovació automàtica importa.
- Els visitants de
http://reserves.elmeuestudiodeioga.comes redirigeixen ahttps://.
Si el pas 1 està malament —el registre apunta a un altre lloc, o hi ha un proxy pel mig—, el pas 2 pot fallar i els visitants veuran un error de certificat. Aquest és el problema d'HTTPS més habitual quan es connecta un domini personalitzat.
Termes clau
| Terme | Significat |
|---|---|
| TLS | Transport Layer Security, el protocol de xifratge que hi ha darrere de HTTPS. |
| SSL | Secure Sockets Layer, el predecessor obsolet de TLS. El nom encara perdura. |
| Certificat | Un fitxer signat que vincula un domini a una clau pública. |
| Autoritat de certificació (CA) | Una organització en què confien els navegadors per emetre certificats, com Let's Encrypt. |
| Validació de domini (DV) | Un certificat que demostra el control del domini: el que fan servir gairebé tots els llocs. |
| Certificat comodí | Cobreix tots els subdominis d'un nivell, com *.exemple.com. |
| Contingut mixt | Una pàgina HTTPS que carrega alguns recursos per HTTP simple. Els navegadors els bloquegen o avisen. |
| HSTS | Una capçalera que indica als navegadors que utilitzin sempre HTTPS per al teu lloc a partir d'aquell moment. |
| Port 443 | El port estàndard per a HTTPS (HTTP fa servir el port 80). |
Idees errònies habituals
- « El candau vol dir que el lloc és de confiança.» Vol dir que la connexió és privada i que el domini coincideix. Els estafadors també obtenen certificats.
- « HTTPS només cal per a les pàgines de pagament.» Qualsevol pàgina amb inici de sessió, un formulari o una cookie el necessita, és a dir, gairebé totes les apps. Fes-lo servir a tot arreu.
- « Els certificats són cars.» Els certificats gratuïts i de confiança són estàndard, i la majoria d'allotjaments els gestionen per a tu.
- « HTTPS fa segura la meva app.» Assegura la connexió. La teva app encara necessita comprovacions de permisos al servidor, una gestió segura dels secrets i validació de les entrades. Consulta la llista de comprovacions de seguretat per a apps creades amb IA.
- « HTTPS alenteix els llocs.» El TLS modern afegeix molt poca sobrecàrrega, i funcions com HTTP/2, que fan els llocs més ràpids, en general requereixen HTTPS als navegadors.
Com solucionar problemes habituals d'HTTPS
| Símptoma | Causa probable |
|---|---|
| « La teva connexió no és privada » | El certificat no cobreix aquest domini exacte, ha caducat o encara no s'ha emès |
Funciona amb www. però no amb el domini sense prefix (o al revés) | Només un dels noms té DNS i certificat |
| Falta el candau, « No segur » en algunes pàgines | Contingut mixt: una imatge, un script o una tipografia carregats amb http:// |
| Error de certificat just després de connectar un domini | El DNS encara es propaga, o un proxy davant bloqueja la comprovació del certificat |
Què demanar al teu constructor d'IA
- « Fes que totes les imatges, scripts i tipografies es carreguin per HTTPS o amb una URL relativa: sense enllaços
http://. » - « Redirigeix tot el trànsit HTTP cap a HTTPS. »
- « Defineix les cookies de sessió amb les marques
SecureiHttpOnly. » - « Fes servir
https://per a totes les URL de callback d'OAuth, de pagament i de webhooks. » - « El meu domini personalitzat mostra un error de certificat: quin registre DNS espera l'allotjament? »
HTTPS a Mythex
Quan connectes un domini personalitzat a Mythex (una funció del Pro), afegeixes un registre CNAME que apunta al destí slug.mythex.ai que Mythex et mostra, fas clic a Verify i Mythex emet HTTPS per al domini automàticament. La documentació explica els dos entrebancs més habituals: si el teu DNS és a Cloudflare, posa el registre en mode « Només DNS » (núvol gris) en lloc de proxy, perquè Mythex pugui emetre el certificat; i el DNS pot verificar-se abans que HTTPS estigui completament configurat, així que espera uns minuts i torna a verificar. Consulta dominis personalitzats a la documentació i la nostra guia per connectar un domini personalitzat.
Preguntes
Quina diferència hi ha entre HTTP i HTTPS?
HTTP envia les dades entre el navegador i el lloc web com a text llegible. HTTPS és HTTP enviat a través d'una connexió TLS xifrada, de manera que les persones de la mateixa xarxa o de la ruta no poden llegir ni canviar el que s'envia, i el navegador pot comprovar que parla amb el lloc real.
SSL i TLS són el mateix?
TLS és el successor modern de SSL. Totes les versions de SSL estan obsoletes i són insegures, i els llocs web segurs d'avui fan servir TLS. La gent continua dient « certificat SSL » per costum, però els certificats s'utilitzen amb TLS.
El candau vol dir que un lloc web és segur?
No. El candau vol dir que la connexió està xifrada i que el certificat coincideix amb el domini. Un lloc d'estafa també pot tenir un certificat vàlid. Només indica que ningú no pot espiar la connexió, no que el propietari del lloc sigui de fiar.
He de pagar per un certificat SSL?
Normalment no. Autoritats de certificació gratuïtes i automatitzades, com Let's Encrypt, emeten certificats que els navegadors accepten, i la majoria de plataformes d'allotjament els obtenen i renoven per a tu. Els certificats de pagament sobretot afegeixen suport o verificacions d'identitat addicionals.
Per què el meu lloc diu No segur?
Les causes habituals són obrir el lloc amb http:// en lloc de https://, un certificat caducat o que no cobreix exactament aquest domini, o una pàgina que carrega imatges o scripts amb http:// sense xifrar (contingut mixt).