HTTPS और SSL क्या हैं? सुरक्षित websites कैसे काम करती हैं, सरल भाषा में
HTTPS, HTTP का सुरक्षित रूप है, वह protocol जिससे browsers websites से बात करते हैं। यह हर request और response को TLS (Transport Layer Security) से एक encrypted connection में लपेटता है, ताकि visitor और website के बीच बैठा कोई भी व्यक्ति भेजी गई चीज़ें न पढ़ सके, न बदल सके। SSL उसी विचार का पुराना नाम है, यानी वह मूल protocol जिसकी जगह TLS आया, इसीलिए लोग अब भी “SSL certificate” कहते हैं।
AI से बनाते समय HTTPS क्यों ज़रूरी है
आपका प्रकाशित हर app HTTPS पर परोसा जाना चाहिए। यह सिर्फ अच्छी आदत नहीं है:
- Browsers इसकी उम्मीद करते हैं। सादे HTTP वाली sites पर “Not secure” लिखा आता है, और कुछ browser features, जैसे location access, camera और microphone, तथा offline apps के लिए service workers, आम तौर पर सिर्फ सुरक्षित (HTTPS) pages पर ही चलते हैं।
- Login और forms। HTTPS के बिना passwords, session cookies और form data पढ़ने लायक text में सफर करते हैं। एक ही café Wi-Fi पर बैठा कोई भी इन्हें पकड़ सकता है।
- Payments और third parties। Payment providers, OAuth sign-in और कई APIs HTTPS redirect और callback URLs माँगते हैं।
- भरोसा और search। Visitors चेतावनी देखते हैं, और Google कह चुका है कि वह HTTPS को ranking संकेत मानता है।
अच्छी खबर यह है कि ज़्यादातर आधुनिक hosting platforms पर HTTPS अपने आप सेट हो जाता है। आपको मुख्य रूप से इतना समझना होता है कि जब custom domain या mixed-content की चेतावनी में गड़बड़ हो, तो उसे ठीक कर सकें।
रोज़ की मिसाल
सादे HTTP पर डेटा भेजना ऐसा है जैसे पोस्टकार्ड भेजना: जो भी डाक कर्मचारी उसे छुए, वह उसे पढ़ सकता है, और कोई संदेश बदल भी सकता है।
HTTPS ऐसा है जैसे सील बंद, छेड़छाड़ पता चलने वाला लिफाफा भेजना, और पहले प्राप्तकर्ता का आधिकारिक पहचान पत्र देख लेना। Certificate वही पहचान पत्र है, जो एक भरोसेमंद अधिकारी (certificate authority) ने जारी किया है, जिसने जाँच लिया है कि website सचमुच उस domain की मालिक है। Encryption वह सील बंद लिफाफा है। पहचान पत्र साबित करता है कि आप सही पते पर लिख रहे हैं; लिफाफा अंदर की बात को निजी रखता है।
HTTPS कैसे काम करता है, सरल शब्दों में
जब browser https://shop.example.com खोलता है:
- नमस्ते। Browser connect होता है और बताता है कि वह कौन-से encryption तरीके समझता है।
- Certificate। Server अपना certificate भेजता है, जो कहता है “यह key
shop.example.comकी है” और जिस पर एक certificate authority के हस्ताक्षर हैं। - जाँच। Browser हस्ताक्षर को उन authorities से मिलाता है जिन पर वह पहले से भरोसा करता है, जाँचता है कि certificate expire नहीं हुआ, और domain मेल खाता है।
- Keys। Browser और server इस session के लिए एक नई secret key पर सहमत होते हैं, और उसे खुले में कभी नहीं भेजते।
- Encrypted बातचीत। अब सारे requests और responses (pages, form data, cookies) encrypted रूप में सफर करते हैं।
इस TLS handshake में कुछ मिलीसेकंड लगते हैं और यह अपने आप होता है। Visitor को बस padlock का icon दिखता है (या कुछ browsers में एक सामान्य site-info icon)।
HTTPS क्या बचाता है और क्या नहीं
| यह बचाता है | यह नहीं बचाता |
|---|---|
| Browser और server के बीच रास्ते में भेजा गया data | Data एक बार आपके server या database में पहुँचने के बाद |
| सार्वजनिक Wi-Fi पर झाँकने से | किसी दुर्भावनापूर्ण या scam website से |
| रास्ते में pages बदलने से | आपके app में bugs से, जैसे permission checks का न होना |
| भेजे जाते समय cookies और passwords | कमज़ोर passwords या लीक हुई API keys से |
HTTPS requests की सामग्री को encrypt करता है, जिसमें page का path और query string भी शामिल है। पर जिस domain नाम पर आप जाते हैं वह रास्ते के networks को आम तौर पर अब भी दिखता है। यह एक कारण है कि URLs में कभी personal data न डालें, क्योंकि वह logs और browser history में भी पहुँच जाता है।
उदाहरण: custom domain जोड़ना
मान लीजिए आपने एक booking app प्रकाशित किया है और वह book.myyogastudio.com पर चाहते हैं:
- आप एक DNS record जोड़ते हैं जो
book.myyogastudio.comको आपके host की ओर इशारा करे। देखें domains और DNS कैसे काम करते हैं। - Host एक certificate authority को साबित करता है कि उसका उस नाम पर नियंत्रण है, आम तौर पर उस domain पर एक challenge का जवाब देकर, और certificate प्राप्त करता है।
- Host उसे install करता है और expire होने से पहले अपने आप नवीनीकृत करता है। Certificates जान-बूझकर थोड़े समय के लिए होते हैं, इसलिए अपने आप renew होना ज़रूरी है।
http://book.myyogastudio.comपर आने वाले visitorshttps://पर भेजे जाते हैं।
अगर चरण 1 गलत है, यानी record कहीं और इशारा करता है, या बीच में कोई proxy है, तो चरण 2 विफल हो सकता है और visitors को certificate की गलती दिखती है। custom domain जोड़ते समय लोगों को यही सबसे आम HTTPS समस्या मिलती है।
मुख्य शब्द
| शब्द | अर्थ |
|---|---|
| TLS | Transport Layer Security, HTTPS के पीछे का encryption protocol। |
| SSL | Secure Sockets Layer, TLS का पुराना पूर्वज। नाम अब भी चलता है। |
| Certificate | एक हस्ताक्षरित फाइल जो domain को public key से जोड़ती है। |
| Certificate authority (CA) | एक संस्था जिस पर browsers भरोसा करते हैं और जो certificates जारी करती है, जैसे Let's Encrypt। |
| Domain validation (DV) | ऐसा certificate जो domain पर नियंत्रण साबित करता है, जिसे लगभग सभी sites इस्तेमाल करती हैं। |
| Wildcard certificate | एक स्तर गहरे तक के सभी subdomains को कवर करता है, जैसे *.example.com। |
| Mixed content | एक HTTPS page का कुछ resources को सादे HTTP से लोड करना। Browsers इस पर रोक लगाते हैं या चेतावनी देते हैं। |
| HSTS | एक header जो browsers को बताता है कि अब से आपकी site के लिए हमेशा HTTPS इस्तेमाल करें। |
| Port 443 | HTTPS का मानक port (HTTP port 80 इस्तेमाल करता है)। |
आम गलतफहमियाँ
- “Padlock का मतलब है कि site भरोसेमंद है।” इसका मतलब है कि connection निजी है और domain मेल खाता है। Scammers भी certificates लेते हैं।
- “HTTPS सिर्फ payment pages के लिए चाहिए।” जिस page पर login, form या cookie है, उसे इसकी ज़रूरत है, जो लगभग हर app है। इसे हर जगह इस्तेमाल करें।
- “Certificates महँगे होते हैं।” मुफ्त, भरोसेमंद certificates आम हैं, और ज़्यादातर hosts इन्हें आपके लिए संभालते हैं।
- “HTTPS से मेरा app सुरक्षित हो जाता है।” यह connection को सुरक्षित करता है। आपके app को फिर भी server-side permission checks, सुरक्षित secret handling और input validation चाहिए। देखें AI से बने apps के लिए security checklist।
- “HTTPS से sites धीमी होती हैं।” आधुनिक TLS में बहुत कम overhead है, और HTTP/2 जैसी सुविधाएँ जो sites को तेज़ बनाती हैं, browsers में आम तौर पर HTTPS माँगती हैं।
आम HTTPS समस्याएँ और उनके कारण
| लक्षण | संभावित कारण |
|---|---|
| “Your connection is not private” | Certificate इस सटीक domain को कवर नहीं करता, expire हो गया है, या अभी जारी ही नहीं हुआ |
www. पर चलता है पर बिना उसके domain पर नहीं (या उल्टा) | सिर्फ एक नाम का DNS और certificate है |
| कुछ pages पर padlock नहीं, “Not secure” | Mixed content: कोई image, script या font http:// से लोड हो रहा है |
| Domain जोड़ने के तुरंत बाद certificate error | DNS अभी propagate हो रहा है, या सामने लगा proxy certificate check रोक रहा है |
अपने AI builder से क्या माँगें
- “सुनिश्चित करो कि हर image, script और font HTTPS पर या relative URL से लोड हो, कोई
http://link नहीं।” - “सारे HTTP traffic को HTTPS पर redirect करो।”
- “Session cookies को
SecureऔरHttpOnlyflags के साथ सेट करो।” - “हर OAuth, payment और webhook callback URL के लिए
https://इस्तेमाल करो।” - “मेरे custom domain पर certificate error दिखता है, host किस DNS record की अपेक्षा करता है?”
Mythex में HTTPS
Mythex पर custom domain जोड़ते समय (जो एक Pro सुविधा है), आप एक CNAME record जोड़ते हैं जो Mythex द्वारा दिखाए गए slug.mythex.ai target की ओर इशारा करे, फिर Verify दबाते हैं, और Mythex उस domain के लिए HTTPS अपने आप जारी कर देता है। Docs दो सबसे आम अड़चनें बताते हैं: अगर आपका DNS Cloudflare पर है, तो record को proxied की जगह “DNS only” (grey cloud) पर रखें, ताकि Mythex certificate जारी कर सके; और HTTPS पूरी तरह सेट होने से पहले DNS verify हो सकता है, इसलिए कुछ मिनट रुककर फिर verify करें। Docs में custom domains देखें, और हमारी guide custom domain कैसे जोड़ें भी।
सवाल
HTTP और HTTPS में क्या फर्क है?
HTTP browser और website के बीच data को पढ़ा जा सकने वाले text की तरह भेजता है। HTTPS वही HTTP है, जो एक encrypted TLS connection से भेजा जाता है, इसलिए एक ही network पर या रास्ते में बैठे लोग भेजी गई चीज़ें पढ़ या बदल नहीं सकते, और browser जाँच सकता है कि वह असली site से बात कर रहा है।
क्या SSL और TLS एक ही चीज़ हैं?
TLS, SSL का आधुनिक उत्तराधिकारी है। SSL के सभी वर्ज़न पुराने और असुरक्षित हैं, और आज की सुरक्षित websites TLS इस्तेमाल करती हैं। लोग आदतन अब भी “SSL certificate” कहते हैं, पर certificates TLS के साथ इस्तेमाल होते हैं।
क्या padlock का मतलब है कि website सुरक्षित है?
नहीं। Padlock का मतलब है कि connection encrypted है और certificate domain से मेल खाता है। कोई scam site भी वैध certificate रख सकती है। इससे पता चलता है कि connection पर कोई झाँक नहीं सकता, यह नहीं कि site का मालिक भरोसेमंद है।
क्या SSL certificate के लिए पैसे देने पड़ते हैं?
आम तौर पर नहीं। Let's Encrypt जैसे मुफ्त, स्वचालित certificate authorities ऐसे certificates जारी करते हैं जिन पर browsers भरोसा करते हैं, और ज़्यादातर hosting platforms इन्हें आपके लिए लेते और नवीनीकृत करते हैं। Paid certificates मुख्य रूप से support या अतिरिक्त पहचान जाँच जोड़ते हैं।
मेरी site पर “Not Secure” क्यों लिखा आता है?
आम कारण हैं: site को https:// की जगह http:// से खोलना, ऐसा certificate जो expire हो गया है या उस सटीक domain को कवर नहीं करता, या कोई page images या scripts को सादे http:// से लोड कर रहा है (mixed content)।