HTTPS және SSL деген не? Қауіпсіз сайттар қалай жұмыс істейді, қарапайым түсіндіріледі
HTTPS — браузерлердің веб-сайттармен сөйлесу протоколы HTTP-дің қауіпсіз нұсқасы. Ол әр сұрау мен жауапты TLS (Transport Layer Security) көмегімен шифрланған байланысқа орайды, сондықтан келуші мен сайт арасында тұрған ешкім жіберілгенді оқи да, өзгерте де алмайды. SSL — сол идеяның ескі атауы, яғни TLS ауыстырған бастапқы протокол, сондықтан адамдар әлі де «SSL сертификаты» дей береді.
AI-мен құрастырғанда HTTPS неге маңызды
Жариялаған кез келген қолданба HTTPS арқылы берілуі керек. Бұл тек жақсы тәжірибе ғана емес:
- Браузерлер мұны күтеді. Қарапайым HTTP-дағы сайттар «Қауіпсіз емес» деп белгіленеді, ал кейбір браузер мүмкіндіктері — мысалы орынға қатынау, камера мен микрофон және офлайн қолданбалар үшін service worker — әдетте тек қауіпсіз (HTTPS) беттерде жұмыс істейді.
- Кіру және формалар. HTTPS болмаса, құпиясөздер, сессия cookie-лері және форма деректері оқылатын мәтін түрінде жүреді. Бір кафе Wi-Fi-ында отырған кез келген адам оларды ұстап алуы мүмкін.
- Төлемдер және үшінші тараптар. Төлем провайдерлері, OAuth арқылы кіру және көптеген API-лер HTTPS бағыттау және callback URL-дарын талап етеді.
- Сенім және іздеу. Келушілер ескертуді байқайды, ал Google HTTPS-ті ранжирлеу сигналы ретінде қарастыратынын айтқан.
Жақсы жаңалық: заманауи хостинг платформалардың көпшілігінде HTTPS автоматты түрде орнатылады. Сізге негізінен керегі — дербес домен немесе аралас мазмұн туралы ескерту бұзылғанда оны түзете алу үшін бөліктерін түсіну.
Күнделікті салыстыру
Деректерді қарапайым HTTP арқылы жіберу — открыткамен хат жіберу сияқты: оны өңдейтін әр пошташы оқи алады, тіпті мазмұнын өзгерту мүмкін.
HTTPS — мөрленген, бұзылғанын байқатын конверт жіберу сияқты, және алдымен алушының ресми жеке куәлігін тексеру. Сертификат — сол жеке куәлік; оны сенімді орталық (сертификат орталығы) берген, ол веб-сайттың шынымен сол доменді басқаратынын тексерген. Шифрлау — мөрленген конверт. Куәлік сізнің дұрыс мекенжайға жазып жатқаныңызды дәлелдейді, ал конверт мазмұнды құпия сақтайды.
HTTPS қарапайым жұмыс істеуі
Браузер https://shop.example.com ашқанда:
- Сәлем. Браузер қосылып, қолдайтын шифрлау әдістерін айтады.
- Сертификат. Сервер өз сертификатын жібереді: «бұл кілт
shop.example.comтиесілі» және оны сертификат орталығы қол қойған. - Тексеру. Браузер қолтаңбаны өзі сенетін орталықтармен тексереді, сертификаттың мерзімі өтпегенін және доменнің сәйкес келетінін тексереді.
- Кілттер. Браузер мен сервер осы сессия үшін жаңа құпия кілтпен келіседі, оны ашық түрде ешқашан жібермей.
- Шифрланған әңгіме. Барлық сұраулар мен жауаптар — беттер, форма деректері, cookie-лер — енді шифрланған күйде жүреді.
Бұл TLS қол алысуы бірнеше миллисекунд алады және автоматты түрде болады. Келуші тек құлып белгішесін көреді (кейбір браузерлерде бейтарап сайт ақпараты белгішесін).
HTTPS нені қорғайды, нені қорғамайды
| Қорғайды | Қорғамайды |
|---|---|
| Браузер мен сервер арасындағы тасымалдаудағы деректер | Серверіңізге немесе дерекқорыңызға түскеннен кейінгі деректер |
| Ашық Wi-Fi-дағы тыңдаудан | Зиянды немесе алаяқтық сайттан |
| Жол бойында беттерді өзгертуден | Қолданбаңыздағы қателерден, мысалы рұқсатты тексерудің болмауынан |
| Жіберу кезіндегі cookie-лер мен құпиясөздер | Әлсіз құпиясөздерден немесе ашылған API кілттерінен |
HTTPS сұраулардың мазмұнын шифрлайды, соның ішінде бет жолы мен query string-ті. Бірақ сіз кірген домен атын жолдағы желілер әдетте көре алады. Сондықтан URL-ге жеке деректерді ешқашан қоспаңыз — олар журналдарға және браузер тарихына да түседі.
Нақты мысал: дербес доменді қосу
Брондау қолданбасын book.myyogastudio.com мекенжайында жариялағыңыз келеді делік:
book.myyogastudio.comатын хостингіңізге бағыттайтын DNS жазбасын қосасыз. Қараңыз: домендер мен DNS қалай жұмыс істейді.- Хостинг сертификат орталығына осы атты өзі басқаратынын дәлелдейді — әдетте сол доменде сынаққа жауап беру арқылы — және сертификат алады.
- Хостинг оны орнатып, мерзімі бітпес бұрын автоматты түрде жаңартады. Сертификаттар әдейі қысқа мерзімді жасалғандықтан, автоматты жаңарту маңызды.
http://book.myyogastudio.comашқан келушілерhttps://мекенжайына бағытталады.
Егер 1-қадам дұрыс болмаса — жазба басқа жерді көрсетсе немесе алдында прокси тұрса — 2-қадам сәтсіз аяқталып, келушілер сертификат қатесін көреді. Бұл дербес доменді қосу кезінде адамдар кездесетін ең жиі HTTPS мәселесі.
Негізгі терминдер
| Термин | Мағынасы |
|---|---|
| TLS | Transport Layer Security, HTTPS-тің негізіндегі шифрлау протоколы. |
| SSL | Secure Sockets Layer, TLS-тің ескірген алдындағы нұсқасы. Атауы әлі сақталған. |
| Сертификат | Доменді ашық кілтпен байланыстыратын қол қойылған файл. |
| Сертификат орталығы (CA) | Сертификаттар беруге браузерлер сенетін ұйым, мысалы Let's Encrypt. |
| Доменді растау (DV) | Доменді басқаратынын дәлелдейтін сертификат — іс жүзінде барлық сайттар пайдаланады. |
| Wildcard сертификат | Бір деңгейдегі барлық субдоменді қамтиды, мысалы *.example.com. |
| Аралас мазмұн (mixed content) | HTTPS беті кейбір ресурстарды қарапайым HTTP арқылы жүктейді. Браузерлер оны блоктайды немесе ескертеді. |
| HSTS | Браузерлерге сайтты содан былай әрқашан HTTPS арқылы ашуды айтатын тақырыпша. |
| 443 порты | HTTPS үшін стандартты порт (HTTP 80 портын пайдаланады). |
Жиі кездесетін түсініспеушіліктер
- «Құлып белгісі сайттың сенімді екенін білдіреді». Ол байланыстың құпия екенін және доменнің сәйкес келетінін білдіреді. Алаяқтар да сертификат алады.
- «HTTPS тек төлем беттеріне керек». Кіру, форма немесе cookie бар кез келген бетке керек — бұл қолданбалардың дерлік барлығы. Оны бәрінде пайдаланыңыз.
- «Сертификаттар қымбат». Тегін, сенімді сертификаттар — қалыпты нәрсе, ал хостингтердің көпшілігі оларды өзі басқарады.
- «HTTPS қолданбамды қауіпсіз етеді». Ол тек байланысты қорғайды. Қолданбаңызға әлі де серверлік рұқсат тексерулері, құпияларды қауіпсіз ұстау және енгізілген деректерді тексеру керек. AI-мен құрылған қолданбаларға арналған қауіпсіздік тізімі туралы қараңыз.
- «HTTPS сайтты баяулатады». Заманауи TLS өте аз шығын қосады, ал сайттарды жылдамдататын HTTP/2 сияқты мүмкіндіктер браузерлерде әдетте HTTPS талап етеді.
Жиі кездесетін HTTPS мәселелерін түзету
| Белгі | Ықтимал себеп |
|---|---|
| «Байланыс құпия емес» | Сертификат дәл осы доменді қамтымайды, мерзімі өткен немесе әлі берілмеген |
www. жұмыс істейді, бірақ негізгі домен жұмыс істемейді (немесе керісінше) | Тек бір атта DNS және сертификат бар |
| Құлып белгісі жоқ, кейбір беттерде «Қауіпсіз емес» | Аралас мазмұн: сурет, скрипт немесе қаріп http:// арқылы жүктелген |
| Дербес доменді қосқаннан кейін бірден сертификат қатесі | DNS әлі таралып жатыр немесе алдындағы прокси сертификатты тексеруді бөгеп тұр |
AI құрастырушысынан не сұрау керек
- «Әр сурет, скрипт және қаріп HTTPS немесе салыстырмалы URL арқылы жүктелсін —
http://сілтемелері болмасын.» - «Барлық HTTP трафигін HTTPS-ке бағыттаңыз.»
- «Сессия cookie-лерін
SecureжәнеHttpOnlyжалаушаларымен орнатыңыз.» - «Әр OAuth, төлем және webhook callback URL-ы үшін
https://пайдаланыңыз.» - «Дербес доменім сертификат қатесін көрсетеді — хостинг қандай DNS жазбасын күтеді?»
Mythex-тегі HTTPS
Mythex-те дербес доменді қосқанда (Pro мүмкіндігі) Mythex көрсететін slug.mythex.ai нысанасына CNAME жазбасын қоссаңыз, Verify түймесін басасыз, ал Mythex доменге HTTPS-ті автоматты түрде береді. Құжаттама ең жиі кездесетін екі кедергіні түсіндіреді: DNS-іңіз Cloudflare-де болса, жазбаны proxied емес, «DNS only» (сұр бұлт) күйіне қойыңыз, сонда Mythex сертификатты бере алады; сондай-ақ DNS HTTPS толық орнатылмай тұрып растала алады, сондықтан бірнеше минут күтіп, қайта Verify басыңыз. Толығырақ: құжаттамадағы дербес домендер, және дербес доменді қосу нұсқаулығы.
Сұрақтар
HTTP мен HTTPS арасында қандай айырмашылық бар?
HTTP браузер мен сайт арасындағы деректерді оқылатын мәтін түрінде жібереді. HTTPS — бұл HTTP, бірақ шифрланған TLS байланысы арқылы жіберіледі, сондықтан бір желідегі немесе жол бойындағы адамдар жіберілгенді оқи да, өзгерте де алмайды, ал браузер сайттың шынымен сол сайт екенін тексере алады.
SSL мен TLS бірдей ме?
TLS — SSL-дің заманауи мұрагері. SSL-дің барлық нұсқалары ескірген және қауіпсіз емес, ал бүгінгі қауіпсіз сайттар TLS пайдаланады. Адамдар әдеттегідей «SSL сертификаты» деп атай береді, бірақ сертификаттар TLS-пен қолданылады.
Құлып белгісі сайттың қауіпсіз екенін білдіре ме?
Жоқ. Құлып белгісі байланыстың шифрланғанын және сертификаттың домен атына сәйкес екенін білдіреді. Алаяқтық сайтта да жарамды сертификат болуы мүмкін. Ол байланысты ешкім бақылай алмайтынын білдіреді, сайт иесінің сенімді екенін емес.
SSL сертификатына ақы төлеу керек пе?
Әдетте жоқ. Let's Encrypt сияқты тегін, автоматты сертификат орталықтары браузерлер сенетін сертификаттар береді, ал көптеген хостинг платформалары оларды сіз үшін алып, жаңартып отырады. Ақылы сертификаттар негізінен қолдау көрсетуді немесе қосымша сәйкестендіру тексерулерін қосады.
Неліктен сайтым «Қауіпсіз емес» деп көрсетеді?
Жиі кездесетін себептер: сайтты https:// орнына http:// арқылы ашу, мерзімі өткен немесе дәл сол доменді қамтымайтын сертификат, немесе бетте суреттер немесе скрипттер қарапайым http:// арқылы жүктелуі (аралас мазмұн).