HTTPS અને SSL શું છે? સુરક્ષિત વેબસાઇટ્સ કેવી રીતે કામ કરે છે, સરળ ભાષામાં

HTTPS એ HTTP નું સુરક્ષિત સ્વરૂપ છે, જે પ્રોટોકોલ બ્રાઉઝર વેબસાઇટ્સ સાથે વાત કરવા માટે વાપરે છે. તે દરેક વિનંતી અને પ્રતિસાદને TLS (Transport Layer Security) વડે એન્ક્રિપ્ટેડ કનેક્શનમાં લપેટે છે, જેથી મુલાકાતી અને વેબસાઇટ વચ્ચે કોઈ પણ વ્યક્તિ મોકલાતી સામગ્રી વાંચી કે બદલી શકે નહીં. SSL એ એ જ વિચારનું જૂનું નામ છે — મૂળ પ્રોટોકોલ, જેની જગ્યાએ TLS આવ્યો — એટલે લોકો હજી "SSL certificate" કહે છે.

AI સાથે બિલ્ડ કરતી વખતે HTTPS શા માટે મહત્વનું છે

તમે પ્રકાશિત કરો એ કોઈ પણ એપ HTTPS પર સેવા પામવી જોઈએ. એ માત્ર સારી પ્રથા નથી:

બ્રાઉઝર્સ તેની અપેક્ષા રાખે છે. સાદા HTTP પરની સાઇટ્સ "Not secure" તરીકે ચિહ્નિત થાય છે, અને કેટલીક બ્રાઉઝર સુવિધાઓ — જેમ કે લોકેશન ઍક્સેસ, કેમેરા અને માઇક્રોફોન, તથા ઑફલાઇન એપ માટેના service workers — સામાન્ય રીતે માત્ર સુરક્ષિત (HTTPS) પેજ પર જ કામ કરે છે.
લૉગિન અને ફોર્મ. HTTPS વગર પાસવર્ડ, session cookies અને ફોર્મ ડેટા વાંચી શકાય તેવા લખાણમાં મુસાફરી કરે છે. એ જ કૅફેના Wi-Fi પરના કોઈને તે પકડી લેવાની શક્યતા છે.
પેમેન્ટ અને તૃતીય પક્ષો. પેમેન્ટ પ્રોવાઇડર્સ, OAuth સાઇન-ઇન અને ઘણા API ને HTTPS redirect અને callback URLs જોઈએ.
ભરોસો અને સર્ચ. મુલાકાતીઓ ચેતવણી જુએ છે, અને Google કહી ચૂક્યું છે કે તે HTTPS ને રેન્કિંગ સિગ્નલ તરીકે ગણે છે.

સારી વાત એ છે કે મોટાભાગના આધુનિક હોસ્ટિંગ પ્લેટફોર્મ પર HTTPS આપમેળે સેટ થાય છે. તમારે મુખ્યત્વે એટલું સમજવાનું છે કે જ્યારે કસ્ટમ domain અથવા mixed-content ની ચેતવણી ખોટી પડે ત્યારે તેને ઠીક કરી શકો.

રોજિંદું ઉદાહરણ

સાદા HTTP પર ડેટા મોકલવો એ પોસ્ટકાર્ડ મોકલવા જેવું છે: સંદેશો સંભાળનાર દરેક પોસ્ટમેન તેને વાંચી શકે છે, અને કોઈ સંદેશો બદલી પણ શકે છે.

HTTPS એ સીલબંધ, છેડછાડ દેખાડતો પરબિડીયું મોકલવા જેવું છે — અને પહેલાં પ્રાપ્તકર્તાનું સત્તાવાર ઓળખપત્ર તપાસવા જેવું. Certificate એ તે ઓળખપત્ર છે, જે એક વિશ્વસનીય સત્તાધિકારી (certificate authority) આપે છે, જેણે ચકાસ્યું છે કે વેબસાઇટ ખરેખર તે domain ને નિયંત્રિત કરે છે. એન્ક્રિપ્શન એ સીલબંધ પરબિડીયું છે. ઓળખપત્ર સાબિત કરે છે કે તમે સાચા સરનામાને લખી રહ્યા છો; પરબિડીયું સામગ્રીને ખાનગી રાખે છે.

HTTPS સરળ રીતે કેવી રીતે કામ કરે છે

જ્યારે બ્રાઉઝર https://shop.example.com ખોલે છે:

Hello. બ્રાઉઝર કનેક્ટ થાય છે અને કહે છે કે તે કઈ એન્ક્રિપ્શન પદ્ધતિઓ સમર્થન કરે છે.
Certificate. સર્વર પોતાનું certificate મોકલે છે, જે કહે છે કે "આ key shop.example.com ની છે" અને તે એક certificate authority દ્વારા સાઇન થયેલું છે.
ચકાસણી. બ્રાઉઝર સહી એવા સત્તાધિકારીઓ સામે ચકાસે છે જેના પર તે પહેલેથી ભરોસો કરે છે, certificate ની મુદત પૂરી થઈ નથી તે તપાસે છે, અને domain મેળ ખાય છે કે નહીં તે જુએ છે.
Keys. બ્રાઉઝર અને સર્વર આ સત્ર માટે એક નવી ગુપ્ત key પર સંમત થાય છે, અને તે ખુલ્લેઆમ ક્યારેય મોકલ્યા વિના.
એન્ક્રિપ્ટેડ વાતચીત. હવે બધી વિનંતીઓ અને પ્રતિસાદો — પેજ, ફોર્મ ડેટા, cookies — એન્ક્રિપ્ટેડ રીતે મુસાફરી કરે છે.

આ TLS handshake થોડી મિલિસેકન્ડ લે છે અને આપમેળે થાય છે. મુલાકાતીને માત્ર padlock આઇકન દેખાય છે (અથવા કેટલાક બ્રાઉઝરમાં તટસ્થ સાઇટ-માહિતી આઇકન).

HTTPS શું સુરક્ષિત કરે છે અને શું નથી કરતું

સુરક્ષિત કરે છે	સુરક્ષિત નથી કરતું
બ્રાઉઝર અને સર્વર વચ્ચે મુસાફરી કરતો ડેટા	એકવાર તમારા સર્વર પર કે database માં પહોંચ્યા પછીનો ડેટા
જાહેર Wi-Fi પર ઝાંખી સામે	દૂષિત કે છેતરપિંડી કરતી વેબસાઇટ સામે
રસ્તામાં પેજ બદલાતા અટકાવે છે	તમારી એપમાં રહેલી ભૂલો સામે, જેમ કે permission તપાસ ગુમ હોવી
મોકલાતી વખતે cookies અને પાસવર્ડ	નબળા પાસવર્ડ કે લીક થયેલી API keys સામે

HTTPS વિનંતીઓની સામગ્રીને એન્ક્રિપ્ટ કરે છે, જેમાં પેજનો path અને query string પણ સામેલ છે. પણ તમે જે domain name ની મુલાકાત લો છો તે રસ્તાના નેટવર્ક્સને સામાન્ય રીતે દેખાય છે. એક કારણ એ પણ છે કે વ્યક્તિગત ડેટા ક્યારેય URL માં ન મૂકો — તે લૉગ અને બ્રાઉઝર ઇતિહાસમાં પણ પહોંચે છે.

કામનું ઉદાહરણ: કસ્ટમ domain જોડવું

ધારો કે તમે booking એપ પ્રકાશિત કરો છો અને તે book.myyogastudio.com પર જોઈએ છે:

તમે book.myyogastudio.com ને તમારા હોસ્ટ તરફ નિર્દેશ કરતો DNS રેકોર્ડ ઉમેરો છો. જુઓ domains અને DNS કેવી રીતે કામ કરે છે.
હોસ્ટ certificate authority ને સાબિત કરે છે કે તે તે નામને નિયંત્રિત કરે છે — સામાન્ય રીતે તે domain પરના એક પડકારનો જવાબ આપીને — અને certificate મેળવે છે.
હોસ્ટ તેને ઇન્સ્ટોલ કરે છે અને મુદત પૂરી થતાં પહેલાં આપમેળે રિન્યૂ કરે છે. Certificates ઇરાદાપૂર્વક ટૂંકા-ગાળાના હોય છે, એટલે આપમેળે રિન્યૂ થવું મહત્વનું છે.
http://book.myyogastudio.com પરના મુલાકાતીઓ https:// પર રીડાયરેક્ટ થાય છે.

જો પગલું 1 ખોટું હોય — રેકોર્ડ બીજે નિર્દેશ કરે છે, અથવા વચ્ચે proxy છે — તો પગલું 2 નિષ્ફળ જઈ શકે છે અને મુલાકાતીઓ certificate ભૂલ જુએ છે. કસ્ટમ domain જોડતી વખતે લોકોને થતી સૌથી સામાન્ય HTTPS સમસ્યા એ જ છે.

મુખ્ય શબ્દો

શબ્દ	અર્થ
TLS	Transport Layer Security, HTTPS પાછળનો એન્ક્રિપ્શન પ્રોટોકોલ.
SSL	Secure Sockets Layer, TLS નો જૂનો પુરોગામી. નામ હજી ચાલુ છે.
Certificate	domain ને public key સાથે જોડતી સાઇન થયેલી ફાઇલ.
Certificate authority (CA)	certificates આપવા માટે બ્રાઉઝર્સ જેના પર ભરોસો કરે છે તેવી સંસ્થા, જેમ કે Let's Encrypt.
Domain validation (DV)	domain પર નિયંત્રણ સાબિત કરતું certificate — લગભગ બધી સાઇટ્સ આ વાપરે છે.
Wildcard certificate	એક સ્તર સુધીના બધા સબડોમેનને આવરી લે છે, જેમ કે `*.example.com`.
Mixed content	HTTPS પેજ જે કેટલાક સંસાધનો સાદા HTTP પર લોડ કરે છે. બ્રાઉઝર તેને બ્લોક કરે છે અથવા ચેતવણી આપે છે.
HSTS	બ્રાઉઝરને કહેતું હેડર કે ત્યારથી તમારી સાઇટ માટે હંમેશા HTTPS વાપરે.
Port 443	HTTPS માટેનો માનક port (HTTP port 80 વાપરે છે).

સામાન્ય ગેરસમજો

"padlock નો અર્થ છે કે સાઇટ વિશ્વસનીય છે." તેનો અર્થ છે કે કનેક્શન ખાનગી છે અને domain મેળ ખાય છે. છેતરપિંડી કરનારા પણ certificates મેળવે છે.
"HTTPS ફક્ત પેમેન્ટ પેજ માટે જોઈએ." લૉગિન, ફોર્મ કે cookie ધરાવતા દરેક પેજને તેની જરૂર છે — જે લગભગ દરેક એપ છે. તેનો બધે ઉપયોગ કરો.
"Certificates મોંઘા હોય છે." મફત, વિશ્વસનીય certificates સામાન્ય છે, અને મોટાભાગના હોસ્ટ તેનું સંચાલન તમારા માટે કરે છે.
"HTTPS થી મારી એપ સુરક્ષિત થઈ જાય છે." તે કનેક્શનને સુરક્ષિત કરે છે. તમારી એપને હજી પણ સર્વર-બાજુ permission તપાસ, સુરક્ષિત secret સંચાલન અને input validation જોઈએ. જુઓ AI થી બનેલી એપ માટે સુરક્ષા ચેકલિસ્ટ.
"HTTPS થી સાઇટ ધીમી થાય છે." આધુનિક TLS માં બહુ ઓછો ઓવરહેડ ઉમેરાય છે, અને HTTP/2 જેવી સુવિધાઓ જે સાઇટને ઝડપી બનાવે છે તે બ્રાઉઝર્સમાં સામાન્ય રીતે HTTPS માંગે છે.

સામાન્ય HTTPS સમસ્યાઓ ઠીક કરવી

લક્ષણ	સંભવિત કારણ
"Your connection is not private"	Certificate આ ચોક્કસ domain ને આવરી લેતું નથી, મુદત પૂરી થઈ ગઈ છે, અથવા હજી જારી થયું નથી
`www.` પર કામ કરે છે પણ બેર domain પર નહીં (અથવા ઊલટું)	માત્ર એક નામ પાસે DNS અને certificate છે
padlock ગાયબ, કેટલાક પેજ પર "Not secure"	Mixed content: છબી, script કે font `http://` પર લોડ થાય છે
domain જોડ્યા પછી તરત certificate ભૂલ	DNS હજી પ્રસરી રહ્યું છે, અથવા આગળ રહેલું proxy certificate ચકાસણીને અવરોધે છે

તમારા AI બિલ્ડરને શું પૂછવું

"ખાતરી કરો કે દરેક છબી, script અને font HTTPS પર અથવા સંબંધિત URL પર લોડ થાય — કોઈ http:// લિંક નહીં."
"બધા HTTP ટ્રાફિકને HTTPS પર રીડાયરેક્ટ કરો."
"Session cookies ને Secure અને HttpOnly flags સાથે સેટ કરો."
"દરેક OAuth, પેમેન્ટ અને webhook callback URL માટે https:// વાપરો."
"મારા કસ્ટમ domain પર certificate ભૂલ આવે છે — હોસ્ટ કયો DNS રેકોર્ડ અપેક્ષે છે?"

Mythex માં HTTPS

Mythex પર કસ્ટમ domain જોડો ત્યારે (જે Pro સુવિધા છે), તમે Mythex દર્શાવે તે slug.mythex.ai લક્ષ્ય તરફ CNAME રેકોર્ડ ઉમેરો છો, Verify પર ક્લિક કરો, અને Mythex domain માટે HTTPS આપમેળે જારી કરે છે. docs બે સામાન્ય મુશ્કેલીઓ આવરી લે છે: જો તમારું DNS Cloudflare પર છે, તો Mythex certificate જારી કરી શકે તે માટે રેકોર્ડને "DNS only" (grey cloud) સેટ કરો, proxied નહીં; અને DNS HTTPS સંપૂર્ણ સેટ થાય તે પહેલાં ચકાસાઈ શકે છે, એટલે થોડી મિનિટો રાહ જુઓ અને ફરી verify કરો. જુઓ docs માં કસ્ટમ domains અને અમારી માર્ગદર્શિકા કસ્ટમ domain કેવી રીતે જોડવું.

પ્રશ્નો

HTTP અને HTTPS વચ્ચે શો ફરક છે?

HTTP બ્રાઉઝર અને વેબસાઇટ વચ્ચે ડેટા વાંચી શકાય તેવા લખાણ તરીકે મોકલે છે. HTTPS એ HTTP જ છે, પણ એન્ક્રિપ્ટેડ TLS કનેક્શન દ્વારા મોકલાય છે. તેથી એક જ નેટવર્ક પરના લોકો કે રસ્તામાં કોઈ પણ મોકલાતું વાંચી કે બદલી શકતા નથી, અને બ્રાઉઝર ચકાસી શકે છે કે તે સાચી સાઇટ સાથે વાત કરી રહ્યું છે.

શું SSL અને TLS એક જ વસ્તુ છે?

TLS એ SSL નો આધુનિક અનુગામી છે. SSL નાં બધાં વર્ઝન જૂનાં અને અસુરક્ષિત છે, અને આજની સુરક્ષિત વેબસાઇટ્સ TLS વાપરે છે. આદતથી લોકો હજી "SSL certificate" કહે છે, પણ certificates TLS સાથે વપરાય છે.

શું padlock નો અર્થ છે કે વેબસાઇટ સુરક્ષિત છે?

ના. Padlock નો અર્થ છે કે કનેક્શન એન્ક્રિપ્ટેડ છે અને certificate domain સાથે મેળ ખાય છે. કોઈ છેતરપિંડી કરતી સાઇટ પાસે પણ માન્ય certificate હોઈ શકે છે. તે એટલું જ કહે છે કે કનેક્શન પર કોઈ ઝાંખી કરી શકતું નથી, પણ સાઇટનો માલિક વિશ્વસનીય છે કે નહીં તે નહીં.

શું SSL certificate માટે પૈસા ચૂકવવા પડે?

સામાન્ય રીતે નહીં. Let's Encrypt જેવી મફત, સ્વચાલિત certificate authorities એવા certificates આપે છે જેના પર બ્રાઉઝર ભરોસો કરે છે, અને મોટાભાગના હોસ્ટિંગ પ્લેટફોર્મ તેમને તમારા માટે મેળવે અને રિન્યૂ કરે છે. પેઇડ certificates મુખ્યત્વે વધારાનો સપોર્ટ કે ઓળખ ચકાસણી ઉમેરે છે.

મારી સાઇટ "Not Secure" કેમ બતાવે છે?

સામાન્ય કારણો છે: સાઇટ `http://` ને બદલે `https://` પર ખોલવી, certificate ની મુદત પૂરી થઈ જવી કે તે બરાબર તે domain ને આવરી ન લેતું હોવું, અથવા પેજ છબીઓ કે scripts સાદા `http://` પર લોડ કરતું હોવું (mixed content).