Што е HTTPS и SSL? Како функционираат безбедните веб-страници, објаснето едноставно

HTTPS е безбедната верзија на HTTP, протоколот што прелистувачите го користат за комуникација со веб-страниците. Секое барање и секој одговор го обвиткува во шифрирана врска со помош на TLS (Transport Layer Security), така што никој помеѓу посетителот и веб-страницата не може да ја прочита или да ја измени испратената содржина. SSL е постарото име за истата идеја — оригиналниот протокол што го замени TLS — и затоа луѓето и понатаму велат „SSL сертификат“.

Зошто HTTPS е важен кога градиш со вештачка интелигенција

Секоја апликација што ја објавуваш треба да се служи преку HTTPS. Тоа не е само добра практика:

Прелистувачите го очекуваат. Страниците на обичен HTTP се означуваат како „Не е безбедно“, а некои функции на прелистувачот — како пристап до локација, камера и микрофон, и service workers за апликации што работат офлајн — општо работат само на безбедни (HTTPS) страници.
Најавувања и формулари. Без HTTPS, лозинките, колачињата за сесија и податоците од формуларите патуваат во читлив текст. Секој на истата кафеанска Wi-Fi мрежа потенцијално би можел да ги прими.
Плаќања и трети страни. Даватели на плаќања, најавување преку OAuth и многу API-ја бараат URL-адреси за пренасочување и повик да бидат преку HTTPS.
Доверба и пребарување. Посетителите го забележуваат предупредувањето, а Google изјавил дека HTTPS го смета за сигнал при рангирањето.

Добрата вест: на повеќето современи платформи за хостирање HTTPS се поставува автоматски. Она што најчесто ти треба е да ги разбереш деловите доволно добро за да го поправиш кога ќе се расипе прилагоден домен или предупредување за мешана содржина.

Секојдневна аналогија

Испраќањето податоци преку обичен HTTP е како испраќање разгледница: секој поштенски работник што ја допира може да ја прочита, а некој дури може да ја промени пораката.

HTTPS е како испраќање запечатено плико што покажува дали е отворено — но прво проверуваш и службена лична карта на примачот. Сертификатот е таа лична карта, издадена од доверлив авторитет (сертификационо тело) кој проверил дека страницата навистина го контролира доменот. Шифрирањето е запечатеното плико. Личната карта докажува дека пишуваш на вистинската адреса; пликот ја чува содржината приватна.

Како функционира HTTPS, едноставно

Кога прелистувач ќе го отвори https://shop.example.com:

Поздрав. Прелистувачот се поврзува и кажува кои методи за шифрирање ги поддржува.
Сертификат. Серверот го испраќа својот сертификат, кој вели „овој клуч припаѓа на shop.example.com“ и е потпишан од сертификационо тело.
Проверка. Прелистувачот ја проверува потписот според авторитетите во кои веќе има доверба, проверува дали сертификатот не е истечен и дали доменот одговара.
Клучеви. Прелистувачот и серверот се договараат за нов тајен клуч за оваа сесија, без никогаш да го испратат отворено.
Шифриран разговор. Сите барања и одговори — страниците, податоците од формуларите, колачињата — сега патуваат шифрирани.

Овој TLS handshake трае неколку милисекунди и се случува автоматски. Посетителот ја гледа само иконата со катанче (или, во некои прелистувачи, неутрална икона со информации за страницата).

Што HTTPS штити и што не штити

Штити	Не штити
Податоците во патот помеѓу прелистувачот и серверот	Податоците штом ќе стигнат на твојот сервер или во базата
Од прислушкување на јавна Wi-Fi мрежа	Од злонамерна или измамничка веб-страница
Од некој што ги менува страниците на пат	Од грешки во твојата апликација, како липсувачки проверки за дозволи
Колачиња и лозинки додека се испраќаат	Од слаби лозинки или процурени API клучеви

HTTPS ја шифрира содржината на барањата, вклучувајќи ја патеката на страницата и query стрингот. Но доменот на кој одиш обично е и понатаму видлив за мрежите по патот. Затоа и никогаш не треба да ставаш лични податоци во URL-адреси — тие завршуваат и во логовите и во историјата на прелистувачот.

Работен пример: поврзување прилагоден домен

Да речеме дека објавуваш апликација за резервации и сакаш да биде на book.myyogastudio.com:

Додаваш DNS запис што го насочува book.myyogastudio.com кон твојот хост. Види како функционираат домените и DNS.
Хостот му докажува на сертификационо тело дека ја контролира таа адреса — обично со одговор на предизвик на тој домен — и добива сертификат.
Хостот го инсталира и автоматски го обновува пред да истече. Сертификатите намерно се краткотрајни, па автоматското обновување е важно.
Посетителите на http://book.myyogastudio.com се пренасочуваат на https://.

Ако чекорот 1 е погрешен — записот покажува на друго место или има прокси посредник — чекорот 2 може да не успее и посетителите гледаат грешка за сертификат. Тоа е најчестиот HTTPS проблем кога луѓето поврзуваат прилагоден домен.

Клучни термини

Термин	Значење
TLS	Transport Layer Security, протоколот за шифрирање зад HTTPS.
SSL	Secure Sockets Layer, застарениот претходник на TLS. Името останува.
Сертификат	Потпишана датотека што го поврзува доменот со јавен клуч.
Сертификационо тело (CA)	Организација во која прелистувачите имаат доверба дека издава сертификати, како Let's Encrypt.
Валидација на домен (DV)	Сертификат што докажува контрола над доменот — го користат речиси сите страници.
Wildcard сертификат	Ги покрива сите поддомени за едно ниво, како `*.example.com`.
Мешана содржина	HTTPS страница што вчитува некои ресурси преку обичен HTTP. Прелистувачите ги блокираат или предупредуваат за тоа.
HSTS	Заглавие што им кажува на прелистувачите секогаш да користат HTTPS за твојата страница од тогаш.
Порта 443	Стандардната порта за HTTPS (HTTP користи порта 80).

Чести погрешни претстави

„Катанчето значи дека страницата е доверлива.“ Значи дека врската е приватна и дека доменот се совпаѓа. И измамниците добиваат сертификати.
„HTTPS е потребен само за страниците за плаќање.“ Секоја страница со најавување, формулар или колаче има потреба од него — а тоа е речиси секоја апликација. Користи го насекаде.
„Сертификатите се скапи.“ Бесплатните, доверливи сертификати се стандардни, а повеќето хостови ги управуваат за тебе.
„HTTPS ја прави мојата апликација безбедна.“ Ја обезбедува врската. Твојата апликација и понатаму треба проверки за дозволи на серверот, безбедно ракување со тајни и валидација на влезот. Види листа за безбедност за апликации изградени со вештачка интелигенција.
„HTTPS ги успорува страниците.“ Современиот TLS додава многу мал товар, а функции како HTTP/2, кои ги прават страниците побрзи, во прелистувачите општо бараат HTTPS.

Поправка на чести HTTPS проблеми

Симптом	Најверојатна причина
„Вашата врска не е приватна“	Сертификатот не го покрива точниот домен, е истечен или сè уште не е издаден
Работи на `www.`, но не и на основниот домен (или обратно)	Само едно име има DNS и сертификат
Нема катанче, „Не е безбедно“ на некои страници	Мешана содржина: слика, скрипта или фонт вчитан преку `http://`
Грешка за сертификат веднаш по поврзување домен	DNS сè уште се шири низ интернет, или прокси пред него ја блокира проверката на сертификатот

Што да побараш од твојата алатка со вештачка интелигенција

„Осигурај дека секоја слика, скрипта и фонт се вчитуваат преку HTTPS или релативна URL-адреса — без http:// линкови.“
„Пренасочи го целиот HTTP сообраќај на HTTPS.“
„Постави колачињата за сесија со знамињата Secure и HttpOnly.“
„Користи https:// за секоја OAuth, плаќање и webhook callback URL-адреса.“
„Мојот прилагоден домен покажува грешка за сертификат — кој DNS запис го очекува хостот?“

HTTPS во Mythex

Кога поврзуваш прилагоден домен во Mythex (функција на Pro), додаваш CNAME запис што покажува кон целта slug.mythex.ai што ти ја прикажува Mythex, кликнуваш Verify, и Mythex автоматски издава HTTPS за доменот. Документацијата ги опфаќа двата најчести проблеми: ако твојот DNS е на Cloudflare, постави го записот на „DNS only“ (сива облака) наместо proxied, за Mythex да може да го издаде сертификатот; а DNS може да се верификува пред HTTPS целосно да е поставен, па почекај неколку минути и верификувај повторно. Види прилагодени домени во документацијата и нашиот водич за поврзување прилагоден домен.

Прашања

Која е разликата помеѓу HTTP и HTTPS?

HTTP ги праќа податоците помеѓу прелистувачот и веб-страницата како читлив текст. HTTPS е HTTP испратен преку шифрирана TLS врска, така што луѓето на истата мрежа или по патот не можат да прочитаат или да променат што се праќа, а прелистувачот може да провери дека комуницира со вистинската страница.

Дали SSL и TLS се исто нешто?

TLS е современиот наследник на SSL. Сите верзии на SSL се застарени и несигурни, а денешните безбедни веб-страници користат TLS. Луѓето и понатаму велат „SSL сертификат“ од навика, но сертификатите се користат со TLS.

Дали катанчето значи дека веб-страницата е безбедна?

Не. Катанчето значи дека врската е шифрирана и дека сертификатот одговара на доменот. И страница за измама може да има валиден сертификат. Тоа значи дека никој не може да ја следи врската, а не дека сопственикот на страницата е доверлив.

Дали мора да платам за SSL сертификат?

Обично не. Бесплатни, автоматизирани сертификациони авторитети како Let's Encrypt издаваат сертификати во кои прелистувачите имаат доверба, а повеќето платформи за хостирање ги добиваат и ги обновуваат за тебе. Платените сертификати главно додаваат поддршка или дополнителни проверки на идентитет.

Зошто мојата страница пишува Not Secure?

Вообичаени причини се отворање на страницата преку http:// наместо https://, сертификат што е истечен или не го покрива точниот домен, или страница што вчитува слики или скрипти преку обичен http:// (мешана содржина).