Kas ir HTTPS un SSL? Kā darbojas drošas tīmekļa vietnes, vienkārši izskaidrots

HTTPS ir drošā HTTP versija — protokols, ko pārlūkprogrammas izmanto, lai sazinātos ar vietnēm. Tas ietin katru pieprasījumu un atbildi šifrētā savienojumā, izmantojot TLS (Transport Layer Security), tāpēc neviens starp apmeklētāju un vietni nevar izlasīt vai mainīt nosūtīto. SSL ir vecākais nosaukums tai pašai idejai — oriģinālais protokols, ko TLS nomainīja, tāpēc cilvēki joprojām saka „SSL sertifikāts”.

Kāpēc HTTPS ir svarīgs, veidojot ar MI

Katra publicētā lietotne jāpiegādā pa HTTPS. Tas nav tikai labs paraugs:

• Pārlūkprogrammas to sagaida. Vietnes bez HTTPS tiek atzīmētas kā „Nav drošs”, un dažas pārlūkprogrammas funkcijas — piemēram, atrašanās vietas piekļuve, kamera un mikrofons, kā arī servisa darbinieki bezsaistes lietotnēm — parasti darbojas tikai drošās (HTTPS) lapās.
• Pieteikšanās un formas. Bez HTTPS paroles, sesijas sīkfaili un formu dati ceļo lasāmā tekstā. Ikviens tajā pašā kafejnīcas Wi-Fi potenciāli var tos uztvert.
• Maksājumi un trešās puses. Maksājumu sniedzēji, OAuth pieteikšanās un daudzi API pieprasa HTTPS pārvirzīšanas un atzvanīšanas adreses.
• Uzticēšanās un meklēšana. Apmeklētāji pamana brīdinājumu, un Google ir teicis, ka HTTPS uzskata par reitinga signālu.

Labā ziņa: vairumā mūsdienu hostinga platformu HTTPS tiek iestatīts automātiski. Tev galvenokārt vajag saprast šīs daļas pietiekami labi, lai to labotu, kad neizdodas pielāgots domēns vai jauktā satura brīdinājums.

Ikdienas analoģija

Datu sūtīšana pa vienkāršu HTTP ir kā atvērta pastkarte: katrs pastnieks, kas to rokā, var to izlasīt, un kāds pat var mainīt ziņojumu.

HTTPS ir kā noslēgta aploksne, kuru nevar nemanot atvērt, — un vispirms pārbaudi saņēmēja oficiālo identitāti. Sertifikāts ir šī identitātes karte, ko izdevusi uzticama iestāde (sertifikātu iestāde), kas pārbaudījusi, ka vietne tiešām kontrolē domēnu. Šifrēšana ir noslēgtā aploksne. Identitāte pierāda, ka raksti pareizajai adresei, bet aploksne sargā saturu.

Kā HTTPS darbojas vienkārši

Kad pārlūkprogramma atver https://shop.example.com:

1. Sveiciens. Pārlūkprogramma savienojas un paziņo, kādas šifrēšanas metodes atbalsta.
2. Sertifikāts. Serveris nosūta savu sertifikātu, kurā teikts: „šī atslēga pieder shop.example.com”, un to parakstījusi sertifikātu iestāde.
3. Pārbaude. Pārlūkprogramma pārbauda parakstu pret iestādēm, kurām jau uzticas, pārbauda, vai sertifikāts nav beidzies, un vai domēns sakrīt.
4. Atslēgas. Pārlūkprogramma un serveris vienojas par jaunu slepenu atslēgu šai sesijai, nekad to neizsūtot atklātā veidā.
5. Šifrēta saruna. Visi pieprasījumi un atbildes — lapas, formu dati, sīkfaili — tagad pārvietojas šifrēti.

Šis TLS rokasspiediens aizņem dažas milisekundes un notiek automātiski. Apmeklētājs redz tikai slēdzenes ikonu (vai dažās pārlūkprogrammās neitrālu vietnes informācijas ikonu).

Ko HTTPS aizsargā un ko neaizsargā

HTTPS šifrē pieprasījumu saturu, ieskaitot lapas ceļu un vaicājuma virkni. Tomēr domēna vārds, ko apmeklē, parasti joprojām ir redzams tīklos pa ceļam. Tāpēc personas datus URL nekad neliec — tie nonāk arī žurnālos un pārlūkprogrammas vēsturē.

Darba piemērs: pielāgota domēna pieslēgšana

Pieņem, ka publicē rezervācijas lietotni un vēlies, lai tā atrodas book.myyogastudio.com:

1. Pievieno DNS ierakstu, kas norāda book.myyogastudio.com uz tavu hostu. Skat. kā darbojas domēni un DNS.
2. Hosts pierāda sertifikātu iestādei, ka kontrolē šo vārdu — parasti atbildot uz izaicinājumu tajā domēnā — un saņem sertifikātu.
3. Hosts to uzstāda un automātiski atjauno, pirms tas beidzas. Sertifikāti tīšām ir īslaicīgi, tāpēc automātiska atjaunošana ir svarīga.
4. Apmeklētāji, kas dodas uz http://book.myyogastudio.com, tiek pārvirzīti uz https://.

Ja 1. solis ir nepareizs — ieraksts norāda citur vai starp ir starpnieks —, 2. solis var neizdoties, un apmeklētāji redz sertifikāta kļūdu. Tā ir biežākā HTTPS problēma, ar kuru cilvēki sastopas, pieslēdzot pielāgotu domēnu.

Galvenie termini

Biežākie maldīgi priekšstati

• „Slēdzene nozīmē, ka vietne ir uzticama.” Tā nozīmē, ka savienojums ir privāts un domēns sakrīt. Krāpnieki arī iegūst sertifikātus.
• „HTTPS vajag tikai maksājumu lapām.” Katrai lapai ar pieteikšanos, formu vai sīkfailu tas vajadzīgs — tas ir gandrīz katrai lietotnei. Vienkārši izmanto visur.
• „Sertifikāti ir dārgi.” Bezmaksas, uzticami sertifikāti ir standarts, un lielākā daļa hostu tos pārvalda tavā vietā.
• „HTTPS padara manu lietotni drošu.” Tas nodrošina savienojumu. Tavai lietotnei joprojām vajag servera puses atļauju pārbaudes, drošu noslēpumu apstrādi un ievades validāciju. Skat. drošības kontrolsarakstu MI veidotām lietotnēm.
• „HTTPS palēnina vietnes.” Mūsdienu TLS pievieno ļoti nelielu slodzi, un tādas funkcijas kā HTTP/2, kas padara vietnes ātrākas, pārlūkprogrammās parasti prasa HTTPS.

Kā labot biežākās HTTPS problēmas

Ko lūgt savam MI veidotājam

• „Pārliecinies, ka katrs attēls, skripts un fonts ielādējas pa HTTPS vai relatīvu URL — nekādu http:// saišu.”
• „Pārvirzi visu HTTP trafiku uz HTTPS.”
• „Iestati sesijas sīkfailus ar Secure un HttpOnly karodziņiem.”
• „Katrai OAuth, maksājumu un webhook atzvanīšanas adresei izmanto https://.”
• „Manam pielāgotajam domēnam rādās sertifikāta kļūda — kādu DNS ierakstu sagaida hosts?”

HTTPS Mythex

Kad pieslēdz pielāgotu domēnu Mythex (Pro funkcija), pievieno CNAME ierakstu, kas norāda uz slug.mythex.ai mērķi, ko Mythex parāda, nospied Verify, un Mythex automātiski izdod HTTPS domēnam. Dokumentācijā ir aprakstītas divas biežākās problēmas: ja tavs DNS ir Cloudflare, ieraksts jāliek režīmā „DNS only” (pelēkais mākonis), nevis proxy, lai Mythex varētu izdot sertifikātu; un DNS var apstiprināties pirms HTTPS ir pilnībā uzstādīts, tāpēc pagaidi dažas minūtes un verificē vēlreiz. Skat. pielāgotus domēnus dokumentācijā un mūsu ceļvedi pielāgota domēna pieslēgšana.

Jautājumi