Hvað eru HTTPS og SSL? Hvernig öruggar vefsíður virka, útskýrt einfaldlega

HTTPS er örugga útgáfan af HTTP, samskiptareglunum sem vafrar nota til að tala við vefsíður. Það umlykur hverja beiðni og svar í dulritaðri tengingu með TLS (Transport Layer Security), þannig að enginn á milli gests og vefsíðunnar getur lesið eða átt við það sem er sent. SSL er eldra heiti á sömu hugmynd, upprunalegu samskiptareglunum sem TLS leysti af hólmi, og þess vegna segir fólk enn „SSL-skírteini“.

Af hverju HTTPS skiptir máli þegar þú smíðar með gervigreind

Sérhvert app sem þú birtir ætti að þjóna um HTTPS. Það er ekki aðeins góð venja:

Vafrar gera ráð fyrir því. Síður á ódulrituðu HTTP fá merkinguna „Ekki öruggt“, og sumir eiginleikar vafra, eins og aðgangur að staðsetningu, myndavél og hljóðnema, og þjónustuvinnsla (service workers) fyrir öpp sem virka án nettengingar, virka yfirleitt aðeins á örugg (HTTPS) síðum.
Innskráningar og eyðublöð. Án HTTPS ferðast lykilorð, setukökur (session cookies) og gögn úr eyðublöðum sem lesanlegur texti. Hver sem er á sama kaffihúsa-Wi-Fi gæti hugsanlega náð þeim.
Greiðslur og þriðju aðilar. Greiðslugáttir, OAuth-innskráning og mörg API krefjast HTTPS í endurbeiningar- og baksímtalsslóðum (redirect og callback URL).
Traust og leit. Gestir taka eftir viðvöruninni, og Google hefur sagt að það telji HTTPS til merkis í röðun.

Góðu fréttirnar: á flestum nútímalegum hýsingarvettvangum er HTTPS sett upp sjálfkrafa. Það sem þú þarft helst er að skilja hlutana nógu vel til að laga þá þegar sérsvæði eða viðvörun um blandað efni fer úrskeiðis.

Hliðstæða úr daglegu lífi

Að senda gögn yfir ódulrituðu HTTP er eins og að senda póstkort: hver póstmaður sem meðhöndlar það getur lesið það, og einhver gæti jafnvel breytt skilaboðunum.

HTTPS er eins og að senda innsiglað umslag sem sýnir ef því hefur verið breytt, og fyrst athuga skilríki viðtakandans. Skírteinið er það skilríki, gefið út af traustum aðila (skírteinisútgefandanum) sem hefur staðfest að vefsíðan ráði í raun yfir léninu. Dulkóðunin er innsiglaða umslagið. Skilríkin sanna að þú skrifar á réttan stað; umslagið heldur innihaldinu leyndu.

Hvernig HTTPS virkar, í stuttu máli

Þegar vafri opnar https://shop.example.com:

Halló. Vafrinn tengist og segir hvaða dulkóðunaraðferðir hann styður.
Skírteini. Þjónninn sendir skírteini sitt, sem segir „þessi lykill tilheyrir shop.example.com“ og er undirritað af skírteinisútgefanda.
Athugun. Vafrinn sannreynir undirritunina gagnvart aðilum sem hann treystir þegar, athugar að skírteinið sé ekki útrunnið og að lénið passi.
Lyklar. Vafrinn og þjónninn semja um nýjan leynilykil fyrir þessa setu, án þess að senda hann nokkurn tíma óvarinn.
Dulrituð samskipti. Allar beiðnir og svör, síður, eyðublaðagögn og kökur, ferðast nú dulrituð.

Þetta TLS-handtak tekur nokkrar millisekúndur og gerist sjálfkrafa. Gesturinn sér lásinn (eða, í sumum vöfrum, hlutlaust upplýsingatákn um síðuna).

Hvað HTTPS verndar og verndar ekki

Verndar	Verndar ekki
Gögn á ferð milli vafra og þjóns	Gögn þegar þau eru komin á þjóninn þinn eða í gagnagrunninn
Gegn hlerun á almennu Wi-Fi	Gegn illgjarnri eða svikasíðu
Gegn því að síður séu breyttar á leiðinni	Gegn villum í appinu þínu, eins og vantandi heimildaathugunum
Kökur og lykilorð meðan þau eru send	Gegn veikum lykilorðum eða lekuðum API-lyklum

HTTPS dulritar efni beiðna, þar með talda slóð síðunnar og fyrirspurnarstrenginn. En lénið sem þú heimsækir er yfirleitt enn sýnilegt netum á leiðinni. Það er ein ástæða til að setja aldrei persónuupplýsingar í slóðir hvort sem er, því þær enda líka í skrám og vafraferli.

Dæmi: að tengja sérsvæði

Segjum að þú birtir bókunarapp og viljir hafa það á book.myyogastudio.com:

Þú bætir DNS-skrá við sem vísar book.myyogastudio.com á hýsinguna þína. Sjá hvernig lén og DNS virka.
Hýsingin sannar fyrir skírteinisútgefanda að hún ráði yfir nafninu, venjulega með því að svara áskorun á léninu, og fær skírteini.
Hýsingin setur það upp og endurnýjar það sjálfkrafa áður en það rennur út. Skírteini eru vísvitandi skammlíf, þannig að sjálfvirk endurnýjun skiptir máli.
Gestir sem fara á http://book.myyogastudio.com eru endurbeindir á https://.

Ef skref 1 er rangt, til dæmis því skráin vísar annað eða milliliggjandi þjónn (proxy) er á milli, getur skref 2 mistekist og gestir sjá villu í skírteini. Það er algengasta HTTPS-vandamálið sem fólk lendir í þegar það tengir sérsvæði.

Lykilhugtök

Hugtak	Merking
TLS	Transport Layer Security, dulkóðunarsamskiptareglurnar sem HTTPS byggir á.
SSL	Secure Sockets Layer, úreltur forveri TLS. Heitið lifir enn.
Skírteini	Undirritað skjal sem tengir lén við opinberan lykil.
Skírteinisútgefandi (CA)	Stofnun sem vafrar treysta til að gefa út skírteini, til dæmis Let’s Encrypt.
Lénsstaðfesting (DV)	Skírteini sem sannar yfirráð yfir léninu, það sem næstum allar síður nota.
Villtákn-skírteini (wildcard)	Nær yfir öll undirlén eins djúpt og eitt stig, eins og `*.example.com`.
Blandað efni (mixed content)	HTTPS-síða sem hleður sum gögn yfir ódulrituðu HTTP. Vafrar loka fyrir það eða vara við.
HSTS	Haus sem segir vöfrum að nota alltaf HTTPS fyrir síðuna þína upp frá því.
Gátt 443	Staðlaða gáttin fyrir HTTPS (HTTP notar gátt 80).

Algengar ranghugmyndir

„Lásinn þýðir að síðan sé treystandi.“ Hann þýðir að tengingin sé einkamál og lénið passi. Svikarar fá líka skírteini.
„HTTPS þarf aðeins á greiðslusíðum.“ Sérhver síða með innskráningu, eyðublaði eða kökum þarf það, sem er nánast hvert app. Notaðu það alls staðar.
„Skírteini eru dýr.“ Ókeypis, traust skírteini eru staðalbúnaður og flestir hýsingaraðilar sjá um þau fyrir þig.
„HTTPS gerir appið mitt öruggt.“ Það verndar tenginguna. Appið þitt þarf samt heimildaathuganir á þjóninum, örugga meðhöndlun leyndarmála og staðfestingu inntaks. Sjá gátlistann um öryggi fyrir öpp smíðuð með gervigreind.
„HTTPS gerir síður hægari.“ Nútíma TLS bætir mjög litlu við. Eiginleikar eins og HTTP/2, sem gera síður hraðari, krefjast yfirleitt HTTPS í vöfrum.

Lagfæring algengra HTTPS-vandamála

Einkenni	Líklegasta orsök
„Your connection is not private“	Skírteinið nær ekki yfir þetta nákvæma lén, er útrunnið, eða hefur ekki verið gefið út ennþá
Virkar á `www.` en ekki á nakta léninu (eða öfugt)	Aðeins annað nafnið hefur DNS og skírteini
Vantar lás, „Ekki öruggt“ á sumum síðum	Blandað efni: mynd, skrifta eða letur hlaðið yfir `http://`
Villa í skírteini strax eftir tengingu léns	DNS er enn að breiðast út, eða milliliggjandi þjónn stöðvar athugun skírteinisins

Hvað á að biðja gervigreindarsmiðinn um

„Gakktu úr skugga um að sérhver mynd, skrifta og letur hleðst yfir HTTPS eða sem hlutfallslegur slóði, án http://-tengla.“
„Endurbeindu öllum HTTP-umferðum yfir á HTTPS.“
„Settu setukökur með Secure- og HttpOnly-merkjunum.“
„Notaðu https:// fyrir sérhverja OAuth-, greiðslu- og webhook-baksímtalsslóð.“
„Sérsvæðið mitt sýnir villu í skírteini, hvaða DNS-skrá býst hýsingin við?“

HTTPS í Mythex

Þegar þú tengir sérsvæði á Mythex (eiginleiki í Pro) bætir þú við CNAME-skrá sem vísar á slug.mythex.ai-markmiðið sem Mythex sýnir þér, smellir á Verify, og Mythex gefur út HTTPS fyrir lénið sjálfkrafa. Í skjölunum eru tvær algengustu hindranirnar: ef DNS-ið þitt er á Cloudflare skaltu stilla skrána á „DNS only“ (grátt ský) en ekki proxy, svo Mythex geti gefið út skírteinið; og DNS getur staðfest áður en HTTPS er fullklárað, þannig að bíddu í nokkrar mínútur og staðfestu aftur. Sjá sérsvæði í skjölunum og leiðsögnina okkar um tengingu sérsvæðis.

Spurningar

Hver er munurinn á HTTP og HTTPS?

HTTP sendir gögn milli vafrans og vefsíðunnar sem lesanlegan texta. HTTPS er HTTP sent í gegnum dulrituð TLS-tengingu, þannig að fólk á sama neti eða á leiðinni getur hvorki lesið né breytt því sem er sent, og vafrinn getur staðfest að hann sé í samskiptum við réttu síðuna.

Eru SSL og TLS sami hluturinn?

TLS er nútímalegur arftaki SSL. Allar útgáfur af SSL eru úreltar og óöruggar, og öruggar vefsíður í dag nota TLS. Fólk segir enn „SSL-skírteini“ af vana, en skírteinin eru notuð með TLS.

Þýðir lásinn að vefsíða sé örugg?

Nei. Lásinn þýðir að tengingin er dulrituð og skírteinið passar við lénið. Svikasíða getur líka haft gilt skírteini. Hann segir þér að enginn geti njósnað um tenginguna, ekki að eigandi síðunnar sé treystandi.

Þarf ég að borga fyrir SSL-skírteini?

Venjulega ekki. Ókeypis og sjálfvirk skírteinisútgefendur eins og Let’s Encrypt gefa út skírteini sem vafrar treysta, og flestir hýsingarvettvangar sækja þau og endurnýja fyrir þig. Greidd skírteini bæta helst við þjónustu eða auka auðkenningarathugunum.

Af hverju stendur á síðunni minni Not Secure?

Algengar ástæður eru að síðan er opnuð með http:// í stað https://, skírteini sem er útrunnið eða nær ekki nákvæmlega yfir lénið, eða síða sem hleður myndum eða skriftum yfir ódulrituðu http:// (blandað efni).