Mi az a HTTPS és az SSL? Hogyan működnek a biztonságos weboldalak, egyszerűen

A HTTPS a HTTP biztonságos változata, vagyis az a protokoll, amellyel a böngészők a weboldalakkal kommunikálnak. Minden kérést és választ egy titkosított kapcsolatba csomagol TLS (Transport Layer Security) használatával, így a látogató és a weboldal között senki nem olvashatja és nem módosíthatja az elküldött adatokat. Az SSL ugyanennek az ötletnek a régebbi neve — az eredeti protokoll, amelyet a TLS váltott fel —, ezért mondják az emberek még mindig, hogy „SSL-tanúsítvány”.

Miért fontos a HTTPS AI-val építve

Minden közzétett alkalmazást HTTPS-en kell kiszolgálni. Ez nem csak jó gyakorlat:

A böngészők ezt várják. A sima HTTP-n elérhető oldalak „Nem biztonságos” címkét kapnak, és több böngészőfunkció — például a helyzethozzáférés, a kamera és a mikrofon, illetve az offline alkalmazások szervizworkerei — általában csak biztonságos (HTTPS) oldalakon működik.
Bejelentkezések és űrlapok. HTTPS nélkül a jelszavak, a munkamenet-sütik és az űrlapadatok olvasható szövegként utaznak. Bárki, aki ugyanazon a kávézói Wi-Fi-n van, potenciálisan elfoghatja őket.
Fizetések és külső szolgáltatások. A fizetésszolgáltatók, az OAuth-os bejelentkezés és sok API HTTPS-átirányítási és visszahívási címeket követel meg.
Bizalom és keresés. A látogatók észreveszik a figyelmeztetést, a Google pedig jelezte, hogy a HTTPS-t rangsorolási jelzésként kezeli.

A jó hír: a legtöbb modern tárhelyszolgáltatón a HTTPS automatikusan be van állítva. Leginkább azt kell megérteni eléggé, hogy ki tudd javítani, ha egy egyedi domain vagy egy vegyes tartalmú figyelmeztetés elromlik.

Hétköznapi hasonlat

Az adatok küldése sima HTTP-n olyan, mint egy képeslap postázása: minden postás, aki kezébe veszi, elolvashatja, sőt az üzenetet is megváltoztathatja.

A HTTPS olyan, mint egy lezárt, hamisítást jelző borítékban küldeni — és előtte ellenőrizni a címzett hivatalos igazolványát. A tanúsítvány ez az igazolvány, amelyet egy megbízható hatóság (a tanúsítványkiadó) állított ki, miután ellenőrizte, hogy a weboldal valóban uralja a domaint. A titkosítás a lezárt boríték. Az igazolvány bizonyítja, hogy a helyes címre írsz; a boríték megőrzi a tartalom titkosságát.

Hogyan működik a HTTPS, egyszerűen

Amikor a böngésző megnyitja a https://shop.example.com címet:

Üdvözlés. A böngésző csatlakozik, és megmondja, mely titkosítási módokat támogatja.
Tanúsítvány. A szerver elküldi a tanúsítványát, amely szerint „ez a kulcs a shop.example.com-hoz tartozik”, és egy tanúsítványkiadó aláírta.
Ellenőrzés. A böngésző ellenőrzi az aláírást azokkal a hatóságokkal szemben, amelyekben már megbízik, ellenőrzi, hogy a tanúsítvány nem járt-e le, és hogy a domain egyezik-e.
Kulcsok. A böngésző és a szerver megegyezik egy friss titkos kulcsban erre a munkamenetre, anélkül hogy azt nyíltan elküldenék.
Titkosított beszélgetés. Minden kérés és válasz — oldalak, űrlapadatok, sütik — mostantól titkosítva utazik.

Ez a TLS-kézfogás néhány ezredmásodpercig tart, és automatikusan történik. A látogató csak a lakat ikont látja (vagy egyes böngészőkben egy semleges oldalinformációs ikont).

Mit véd és mit nem véd a HTTPS

Véd	Nem véd
A böngésző és a szerver közötti adatforgalmat	Az adatokat, miután a szerveredre vagy az adatbázisodba kerültek
Nyilvános Wi-Fi-n való lehallgatás ellen	Rosszindulatú vagy csaló weboldal ellen
Az oldalak útközbeni módosítása ellen	Az alkalmazásodban lévő hibák ellen, például hiányzó jogosultság-ellenőrzések
A sütiket és jelszavakat küldés közben	Gyenge jelszavak vagy kiszivárgott API-kulcsok ellen

A HTTPS a kérések tartalmát titkosítja, beleértve az oldal útvonalát és a lekérdezési paramétereket is. A meglátogatott domainnév azonban általában továbbra is látható a hálózatok számára az útvonal mentén. Ez is egy ok, amiért soha ne tegyél személyes adatot URL-ekbe — azok naplókba és a böngésző előzményeibe is bekerülnek.

Példa: egyedi domain csatlakoztatása

Tegyük fel, hogy időpontfoglaló alkalmazást teszel közzé, és book.myyogastudio.com címen szeretnéd elérni:

Hozzáadsz egy DNS-rekordot, amely a book.myyogastudio.com címet a tárhelyedre mutatja. Lásd: hogyan működnek a domainek és a DNS.
A tárhely igazolja egy tanúsítványkiadónak, hogy uralja ezt a nevet — jellemzően úgy, hogy válaszol egy kihívásra azon a domainen —, és megkapja a tanúsítványt.
A tárhely telepíti, és lejárat előtt automatikusan megújítja. A tanúsítványok szándékosan rövid élettartamúak, ezért az automatikus megújítás számít.
A http://book.myyogastudio.com címre érkező látogatók https:// címre irányítódnak.

Ha az 1. lépés hibás — a rekord máshová mutat, vagy egy proxy áll közbe —, a 2. lépés meghiúsulhat, és a látogatók tanúsítványhibát látnak. Ez a leggyakoribb HTTPS-probléma, amelybe az emberek egyedi domain csatlakoztatásakor ütköznek.

Kulcsfogalmak

Fogalom	Jelentés
TLS	Transport Layer Security, a HTTPS mögötti titkosítási protokoll.
SSL	Secure Sockets Layer, a TLS elavult elődje. A név megmaradt.
Tanúsítvány	Aláírt fájl, amely összeköt egy domaint egy nyilvános kulccsal.
Tanúsítványkiadó (CA)	Olyan szervezet, amelyben a böngészők megbíznak, és tanúsítványokat ad ki, például a Let's Encrypt.
Domain-validáció (DV)	Olyan tanúsítvány, amely a domain feletti uralmat igazolja — ezt szinte minden oldal használja.
Wildcard-tanúsítvány	Minden egy szinten lévő aldomaint lefed, például `*.example.com`.
Vegyes tartalom	HTTPS-oldal, amely egyes erőforrásokat sima HTTP-n tölt be. A böngészők blokkolják vagy figyelmeztetnek rá.
HSTS	Fejléc, amely megmondja a böngészőknek, hogy mostantól mindig HTTPS-t használjanak az oldaladon.
443-as port	A HTTPS szabványos portja (a HTTP a 80-as portot használja).

Gyakori tévhitek

„A lakat azt jelenti, hogy a weboldal megbízható.” Azt jelenti, hogy a kapcsolat privát és a domain egyezik. A csalók is kapnak tanúsítványt.
„A HTTPS csak a fizetési oldalakhoz kell.” Minden olyan oldal, ahol van bejelentkezés, űrlap vagy süti, igényli — ami szinte minden alkalmazás. Használd mindenhol.
„A tanúsítványok drágák.” Az ingyenes, megbízható tanúsítványok a szokásosak, és a legtöbb tárhely maga kezeli őket.
„A HTTPS biztonságossá teszi az alkalmazásomat.” A kapcsolatot védi. Az alkalmazásodnak továbbra is szerveroldali jogosultság-ellenőrzés, biztonságos titokkezelés és bemenet-validáció kell. Lásd: biztonsági ellenőrzőlista AI-val épített alkalmazásokhoz.
„A HTTPS lassítja az oldalakat.” A modern TLS nagyon kevés többletterhelést ad, a HTTP/2 és más, az oldalakat gyorsító funkciók pedig a böngészőkben általában HTTPS-t igényelnek.

Gyakori HTTPS-problémák javítása

Tünet	Valószínű ok
„A kapcsolat nem privát”	A tanúsítvány nem fedi pontosan ezt a domaint, lejárt, vagy még nincs kiállítva
`www.` alatt működik, de a sima domainen nem (vagy fordítva)	Csak az egyik névhez van DNS és tanúsítvány
Hiányzik a lakat, „Nem biztonságos” egyes oldalakon	Vegyes tartalom: egy kép, script vagy betűtípus `http://` címen töltődik be
Tanúsítványhiba közvetlenül egy domain csatlakoztatása után	A DNS még terjed, vagy egy előtte álló proxy blokkolja a tanúsítvány-ellenőrzést

Mit kérj az AI-építődtől

„Győződj meg róla, hogy minden kép, script és betűtípus HTTPS-en vagy relatív URL-en töltődik be — nincs http:// link.”
„Irányíts át minden HTTP-forgalmat HTTPS-re.”
„Állítsd be a munkamenet-sütiket a Secure és HttpOnly jelzőkkel.”
„Minden OAuth-, fizetési és webhook-visszahívási címhez használj https://-t.”
„Az egyedi domainem tanúsítványhibát mutat — milyen DNS-rekordot vár a tárhely?”

HTTPS a Mythexben

Ha egyedi domaint csatlakoztatsz a Mythexben (ez a Pro csomag funkciója), hozzáadsz egy CNAME-rekordot, amely a Mythex által megjelenített slug.mythex.ai célra mutat, rákattintasz a Verify gombra, és a Mythex automatikusan kiállítja a HTTPS-tanúsítványt a domainhez. A dokumentáció a két leggyakoribb akadályt tárgyalja: ha a DNS-ed a Cloudflare-en van, a rekordot állítsd „DNS only” (szürke felhő) módra, ne proxyzott módra, hogy a Mythex ki tudja állítani a tanúsítványt; a DNS-ellenőrzés a HTTPS teljes beállítása előtt is lefuthat, ezért várj néhány percet és ellenőrizd újra. Lásd: egyedi domainek a dokumentációban, és az útmutatónkat: egyedi domain csatlakoztatása.

Kérdések

Mi a különbség a HTTP és a HTTPS között?

A HTTP olvasható szövegként küldi az adatokat a böngésző és a weboldal között. A HTTPS ugyanaz a HTTP, de titkosított TLS-kapcsolaton keresztül megy, így az azonos hálózaton lévők vagy az útvonal mentén állók nem olvashatják és nem módosíthatják az elküldött adatokat, a böngésző pedig ellenőrizheti, hogy a valódi oldallal beszél-e.

Az SSL és a TLS ugyanaz?

A TLS az SSL modern utódja. Az SSL minden verziója elavult és nem biztonságos, a mai biztonságos weboldalak TLS-t használnak. Sokan megszokásból még mindig „SSL-tanúsítványnak” hívják, de a tanúsítványokat a TLS-sel használják.

A lakat jelenti, hogy a weboldal biztonságos?

Nem. A lakat azt jelenti, hogy a kapcsolat titkosított, és a tanúsítvány egyezik a domainnel. Egy csalóka oldalnak is lehet érvényes tanúsítványa. Azt jelzi, hogy senki nem leselkedhet a kapcsolatra, de nem azt, hogy az oldal tulajdonosa megbízható.

Fizetnem kell egy SSL-tanúsítványért?

Általában nem. Az ingyenes, automatizált tanúsítványkiadók, például a Let's Encrypt, olyan tanúsítványokat állítanak ki, amelyekben a böngészők megbíznak, és a legtöbb tárhelyszolgáltató maga szerzi be és újítja meg őket. A fizetős tanúsítványok főleg többlet-támogatást vagy kiegészítő személyazonosság-ellenőrzést adnak.

Miért írja a weboldalam, hogy Nem biztonságos?

Gyakori okok: az oldalt http:// címen nyitod meg a https:// helyett, a tanúsítvány lejárt, vagy nem fedi pontosan ezt a domaint, vagy az oldal képeket vagy scripteket tölt be sima http:// kapcsolaton (vegyes tartalom).