Što su HTTPS i SSL? Kako rade sigurne web stranice, objašnjeno jednostavno

HTTPS je sigurna verzija HTTP-a, protokola kojim preglednici razgovaraju s web stranicama. Svaki zahtjev i odgovor omota u šifriranu vezu pomoću TLS-a (Transport Layer Security), pa nitko između posjetitelja i web stranice ne može pročitati niti promijeniti ono što se šalje. SSL je stariji naziv za istu ideju, odnosno prvotni protokol koji je TLS zamijenio, zato ljudi i dalje govore „SSL certifikat”.

Zašto je HTTPS važan kad gradite s AI-jem

Svaka aplikacija koju objavite trebala bi se poslužiti preko HTTPS-a. To nije samo dobra praksa:

• Preglednici to očekuju. Stranice na običnom HTTP-u označavaju se kao „Not secure”, a neke značajke preglednika, poput pristupa lokaciji, kameri i mikrofonu te service workera za aplikacije koje rade offline, uglavnom rade samo na sigurnim (HTTPS) stranicama.
• Prijave i obrasci. Bez HTTPS-a lozinke, sesijski kolačići i podaci iz obrazaca putuju kao čitljiv tekst. Svatko na istoj javnoj Wi-Fi mreži u kafiću ih potencijalno može uhvatiti.
• Plaćanja i treće strane. Davatelji plaćanja, OAuth prijava i mnogi API-ji zahtijevaju HTTPS adrese za preusmjeravanje i povratni poziv.
• Povjerenje i pretraga. Posjetitelji primijete upozorenje, a Google je rekao da HTTPS tretira kao signal pri rangiranju.

Dobra vijest: na većini modernih hosting platformi HTTPS se postavlja automatski. Ono što uglavnom trebate jest razumjeti dijelove dovoljno dobro da ga popravite kad prilagođena domena ili upozorenje o miješanom sadržaju zakažu.

Svakodnevna analogija

Slanje podataka preko običnog HTTP-a je kao slanje razglednice: svaki poštar koji je dira može je pročitati, pa je čak i izmijeniti.

HTTPS je kao slanje zapečaćene koverte s jamstvom da nije otvarana, a prije toga provjerite službenu identifikaciju primatelja. Certifikat je ta identifikacijska iskaznica, koju izdaje pouzdano tijelo (certifikacijsko tijelo) i koje je provjerilo da web stranica stvarno kontrolira domenu. Šifriranje je zapečaćena koverta. Identifikacija dokazuje da pišete pravoj adresi, a koverta čuva sadržaj privatnim.

Kako HTTPS radi, jednostavno

Kad preglednik otvori https://shop.example.com:

1. Pozdrav. Preglednik se spaja i kaže koje metode šifriranja podržava.
2. Certifikat. Poslužitelj šalje svoj certifikat, koji kaže „ovaj ključ pripada shop.example.com” i potpisan je od certifikacijskog tijela.
3. Provjera. Preglednik provjerava potpis prema tijelima kojima već vjeruje, provjerava da certifikat nije istekao i da se domena podudara.
4. Ključevi. Preglednik i poslužitelj dogovore novi tajni ključ za ovu sesiju, a da ga nikad ne pošalju otvoreno.
5. Šifrirani razgovor. Svi zahtjevi i odgovori, stranice, podaci iz obrazaca i kolačići sada putuju šifrirani.

Ovo TLS rukovanje traje nekoliko milisekundi i odvija se automatski. Posjetitelj vidi samo ikonu katanca (ili, u nekim preglednicima, neutralnu ikonu informacija o stranici).

Što HTTPS štiti, a što ne

HTTPS šifrira sadržaj zahtjeva, uključujući putanju stranice i query string. Ali naziv domene koju posjećujete obično je i dalje vidljiv mrežama na putu. Zato i ne treba stavljati osobne podatke u URL-ove, jer završe i u logovima i u povijesti preglednika.

Radni primjer: povezivanje prilagođene domene

Recimo da objavite aplikaciju za rezervacije i želite je na book.myyogastudio.com:

1. Dodajete DNS zapis koji book.myyogastudio.com usmjerava na vaš hosting. Pogledajte kako rade domene i DNS.
2. Host dokazuje certifikacijskom tijelu da kontrolira to ime, obično odgovaranjem na izazov na toj domeni, i prima certifikat.
3. Host instalira certifikat i automatski ga obnavlja prije isteka. Certifikati su namjerno kratkotrajni, pa je automatska obnova važna.
4. Posjetitelji na http://book.myyogastudio.com preusmjeravaju se na https://.

Ako je prvi korak pogrešan, jer zapis pokazuje drugamo ili je proxy u sredini, drugi korak može zakazati i posjetitelji vide grešku certifikata. To je najčešći HTTPS problem na koji ljudi naiđu pri povezivanju prilagođene domene.

Ključni pojmovi

Česte zablude

• „Katanac znači da je stranica pouzdana.” Znači da je veza privatna i da se domena podudara. I prevaranti dobivaju certifikate.
• „HTTPS treba samo na stranicama za plaćanje.” Svaka stranica s prijavom, obrascem ili kolačićem ga treba, a to je gotovo svaka aplikacija. Koristite ga svugdje.
• „Certifikati su skupi.” Besplatni, pouzdani certifikati su standard, a većina hostova ih upravlja umjesto vas.
• „HTTPS čini moju aplikaciju sigurnom.” Osigurava vezu. Vaša aplikacija i dalje treba provjere dopuštenja na poslužitelju, sigurno rukovanje tajnama i validaciju unosa. Pogledajte sigurnosnu listu za aplikacije izrađene s AI-jem.
• „HTTPS usporava stranice.” Moderni TLS dodaje vrlo malo opterećenja, a značajke poput HTTP/2, koje ubrzavaju stranice, u preglednicima uglavnom zahtijevaju HTTPS.

Rješavanje čestih HTTPS problema

Što tražiti od AI alata za izradu

• „Pobrini se da se svaka slika, skripta i font učitavaju preko HTTPS-a ili relativnog URL-a, bez http:// poveznica.”
• „Preusmjeri sav HTTP promet na HTTPS.”
• „Postavi sesijske kolačiće sa zastavicama Secure i HttpOnly.”
• „Koristi https:// za svaki OAuth, plaćanje i webhook povratni URL.”
• „Moja prilagođena domena pokazuje grešku certifikata. Koji DNS zapis host očekuje?”

HTTPS u Mythexu

Kad na Mythexu povežete prilagođenu domenu (značajka Pro plana), dodajete CNAME zapis koji pokazuje na slug.mythex.ai cilj koji vam Mythex prikaže, kliknete Verify i Mythex automatski izdaje HTTPS za domenu. Dokumentacija pokriva dvije najčešće prepreke: ako je vaš DNS na Cloudflareu, postavite zapis na „DNS only” (siva oblačić), a ne proxied, kako bi Mythex mogao izdati certifikat; a DNS se može verificirati prije nego što je HTTPS potpuno postavljen, pa pričekajte nekoliko minuta i ponovno verificirajte. Pogledajte prilagođene domene u dokumentaciji i naš vodič za povezivanje prilagođene domene.

Pitanja