HTTPS ба SSL гэж юу вэ? Аюулгүй вэбсайт хэрхэн ажилладаг вэ, энгийнээр
HTTPS бол HTTP-ийн аюулгүй хувилбар юм. HTTP бол хөтөч вэбсайттай харилцахад ашигладаг протокол. Энэ нь хүсэлт болон хариу бүрийг TLS (Transport Layer Security)-ээр шифрлэгдсэн холболтод оруулдаг тул зочин болон вэбсайтын хооронд байгаа хэн ч илгээгдэж буй зүйлийг унших эсвэл өөрчлөх боломжгүй. SSL бол ижил санааны хуучин нэр — TLS-ийн орлуулсан анхны протокол — тийм учраас хүмүүс одоо ч «SSL certificate» гэж хэлсээр байна.
Яагаад HTTPS AI-аар бүтээхэд чухал вэ
Нийтэлсэн аппыг HTTPS-ээр үйлчлэх ёстой. Энэ нь зөвхөн сайн практик биш:
- Хөтөч үүнийг хүлээдэг. HTTP дээрх сайтууд «Not secure» гэж тэмдэглэгдэж, зарим хөтчийн функцууд — жишээ нь байршил, камер, микрофон, офлайн аппад зориулсан service worker — ихэвчлэн зөвхөн аюулгүй (HTTPS) хуудсан дээр ажилладаг.
- Нэвтрэлт ба маягт. HTTPS-гүйгээр нууц үг, session cookie, маягтын өгөгдөл уншигдахуйц текстээр явна. Нийтийн wifi дээрх хэн ч тэдгээрийг барьж авч болзошгүй.
- Төлбөр ба гуравдагч тал. Төлбөрийн үйлчилгээ, OAuth нэвтрэлт, олон API нь HTTPS redirect болон callback URL шаарддаг.
- Итгэл ба хайлт. Зочид анхааруулгыг харна, мөн Google HTTPS-ийг хайлтын зэрэглэлийн дохио гэж хэлсэн.
Сайн мэдээ: ихэнх орчин үеийн хостинг платформд HTTPS автоматаар тохируулагддаг. Танд хэрэгтэй зүйл бол custom domain эсвэл mixed-content анхааруулга алдаатай болоход засах хангалттай ойлголт юм.
Өдөр тутмын зүйрлэл
Энгийн HTTP-ээр өгөгдөл илгээх нь шуудангийн ил захидал илгээхтэй адил: шуудангийн ажилтан бүр уншиж, захидлын агуулгыг өөрчилж болно.
HTTPS бол битүү, хөндөгдсөн эсэхийг илрүүлдэг дугтуйгаар илгээж, эхлээд хүлээн авагчийн албан ёсны үнэмлэхийг шалгахтай адил. Certificate бол тэр үнэмлэх бөгөөд домэйнийг үнэхээр хянаж буйг шалгасан итгэмжлэгдсэн байгууллагаас (certificate authority) олгогдсон. Шифрлэлт бол битүү дугтуй. Үнэмлэх нь таныг зөв хаяг руу бичиж байгааг батална; дугтуй нь агуулгыг нууцална.
HTTPS хэрхэн ажилладаг вэ, энгийнээр
Хөтөч https://shop.example.com-ийг нээхэд:
- Мэндчилгээ. Хөтөч холбогдож, дэмждэг шифрлэлтийн аргуудаа хэлнэ.
- Certificate. Сервер certificate-аа илгээнэ; энэ нь «энэ түлхүүр
shop.example.com-д хамаарна» гэж хэлж, certificate authority-ээр гарын үсэг зурсан байна. - Шалгалт. Хөтөч гарын үсгийг өөрийн итгэдэг authority-нуудаар шалгаж, certificate-ийн хугацаа дуусаагүйг, домэйн таарч байгааг шалгана.
- Түлхүүрүүд. Хөтөч болон сервер энэ session-д зориулсан шинэ нууц түлхүүрт тохиролцох бөгөөд түлхүүрийг хэзээ ч нээлттэй илгээдэггүй.
- Шифрлэгдсэн яриа. Бүх хүсэлт, хариу — хуудас, маягтын өгөгдөл, cookie — одоо шифрлэгдсэн байдлаар явна.
Энэ TLS handshake хэдхэн миллисекунд үргэлжилж, автоматаар явагддаг. Зочин зөвхөн цоож тэмдгийг харна (зарим хөтөч дээр төвийг сахисан сайтын мэдээллийн дүрс).
HTTPS юуг хамгаалдаг, юуг хамгаалдаггүй вэ
| Хамгаална | Хамгаалахгүй |
|---|---|
| Хөтөч болон сервер хоорондох дамжуулалтын өгөгдөл | Таны серверт эсвэл өгөгдлийн санд хадгалагдсан өгөгдөл |
| Нийтийн wifi дээрх дараалж чагнахаас | Хортой эсвэл луйварчин вэбсайтаас |
| Замд хуудсыг өөрчлөхөөс | Таны аппын алдаанаас, жишээ нь зөвшөөрлийн шалгалт дутуу байхаас |
| Илгээгдэж буй cookie болон нууц үг | Сул нууц үг эсвэл алдагдсан API түлхүүрээс |
HTTPS нь хүсэлтийн агуулгыг шифрлэдэг, үүнд хуудасны зам болон query string орно. Гэвч очиж буй домэйн нэр нь ихэвчлэн замд байгаа сүлжээнүүдэд харагддаг. Тийм учраас хэзээ ч хувийн мэдээллийг URL-д оруулж болохгүй — тэд логт болон хөтөчийн түүхэнд ч орно.
Жишээ: custom domain холбох
Таны йога студийн захиалгын апп book.myyogastudio.com дээр байхыг хүсч байна гэж бодъё:
- Та DNS бичлэг нэмж,
book.myyogastudio.com-г хостингийнхаа хаяг руу заана. Харна уу: домэйн ба DNS хэрхэн ажилладаг вэ. - Хостинг certificate authority-д тэр нэрийг хянаж буйгаа батлаж (ихэвчлэн тухайн домэйн дээрх challenge-д хариулснаар) certificate авна.
- Хостинг certificate-ийг суулгаж, дуусахаас өмнө автоматаар сунгана. Certificate-ууд зориуд богино наслдаг тул автомат сунгалт чухал.
http://book.myyogastudio.com-д зочдыгhttps://руу redirect хийнэ.
Хэрэв 1-р алхам буруу бол — бичлэг өөр газар заасан, эсвэл өмнө нь прокси байгаа бол — 2-р алхам бүтэлгүйтэж, зочид certificate-ийн алдаа харна. Энэ нь custom domain холбох үед хүмүүсийн тулгардаг хамгийн түгээмэл HTTPS асуудал юм.
Гол нэр томъёо
| Нэр томъёо | Утга |
|---|---|
| TLS | Transport Layer Security, HTTPS-ийн ард байгаа шифрлэлтийн протокол. |
| SSL | Secure Sockets Layer, TLS-ийн хуучирсан өмнөх хувилбар. Нэр нь үлдсэн. |
| Certificate | Домэйныг нийтийн түлхүүртэй холбосон гарын үсэгтэй файл. |
| Certificate authority (CA) | Certificate олгох итгэмжлэгдсэн байгууллага, жишээ нь Let's Encrypt. |
| Domain validation (DV) | Домэйныг хянаж буйг батлах certificate — бараг бүх сайтын ашигладаг. |
| Wildcard certificate | Нэг түвшний бүх дэд домэйныг хамрана, жишээ нь *.example.com. |
| Mixed content | HTTPS хуудас зарим нөөцийг энгийн HTTP-ээр ачаалах. Хөтөч блоклох эсвэл анхааруулдаг. |
| HSTS | Хөтөчид таны сайтад цаашид үргэлж HTTPS ашиглахыг хэлэх header. |
| Port 443 | HTTPS-ийн стандарт порт (HTTP нь порт 80 ашигладаг). |
Түгээмэл буруу ойлголтууд
- «Цоож тэмдэг нь сайт итгэмжтэй гэсэн үг.» Энэ нь холболт хувийн, домэйн таарч байгааг л илтгэнэ. Луйварчид ч certificate авдаг.
- «HTTPS зөвхөн төлбөрийн хуудсанд хэрэгтэй.» Нэвтрэлт, маягт, cookie бүхий хуудас бүрт хэрэгтэй — ихэнх апп ийм байдаг. Бүх газар ашигла.
- «Certificate үнэтэй.» Үнэгүй, итгэмжлэгдсэн certificate нь стандарт бөгөөд ихэнх хост тэдгээрийг өөрөө удирддаг.
- «HTTPS аппыг аюулгүй болгодог.» Энэ нь холболтыг хамгаална. Таны апп сервер талын зөвшөөрлийн шалгалт, нууцийн зөв удирдлага, оролтын баталгаажуулалт хэрэгтэй хэвээр. Харна уу: AI-аар бүтээсэн аппын аюулгүй байдлын жагсаалт.
- «HTTPS сайтыг удаашруулдаг.» Орчин үеийн TLS бараг нэмэлт зардалгүй, мөн HTTP/2 гэх мэт сайтыг хурдасгадаг боломжууд ихэвчлэн хөтөчүүдэд HTTPS шаарддаг.
Түгээмэл HTTPS асуудлыг засах
| Шинж тэмдэг | Магадлалтай шалтгаан |
|---|---|
| «Таны холболт аюулгүй биш байна» | Certificate яг энэ домэйныг хамраагүй, хугацаа нь дууссан, эсвэл одоохондоо олгогдоогүй |
www.-ээр ажиллаж, үндсэн домэйнээр ажиллахгүй (эсвэл эсрэгээр) | Зөвхөн нэг нэр нь DNS болон certificate-тай |
| Цоож алга, зарим хуудсан дээр «Not secure» | Mixed content: зураг, скрипт, фонт http://-ээр ачаалагдсан |
| Custom domain холбосны дараа certificate-ийн алдаа | DNS одоо ч тархаж байна, эсвэл урд талд байгаа прокси certificate шалгалтыг блоклож байна |
AI builder-доо юу гэж хүсэх вэ
- «Бүх зураг, скрипт, фонтыг HTTPS эсвэл харьцангуй URL-аар ачаалаарай —
http://холбоос байхгүй байг.» - «Бүх HTTP траффикийг HTTPS руу redirect хийгээрэй.»
- «Session cookie-д
SecureбаHttpOnlyflag тавьж өгөөрэй.» - «OAuth, төлбөр, webhook callback URL бүрт
https://ашигла.» - «Custom domain дээр certificate-ийн алдаа гарч байна — хостинг ямар DNS бичлэг хүлээж байгааг хэлээрэй?»
HTTPS Mythex дээр
Mythex дээр custom domain холбох үед (Pro онцлог) та slug.mythex.ai хаягтай CNAME бичлэг нэмнэ, Mythex-ийн харуулсан хаягийг заана, Verify дарна, мөн Mythex домэйнд HTTPS-ийг автоматаар олгоно. Баримт бичигт хамгийн түгээмэл хоёр асуудлыг тайлбарласан: хэрэв DNS та Cloudflare дээр байвал бичлэгийг «DNS only» (саарал үүл) болгож, proxied биш байлгах хэрэгтэй — тэгвэл Mythex certificate олгож чадна. Мөн DNS HTTPS бүрэн тохируулагдахаас өмнө баталгаажиж болно, тиймээс хэдэн минут хүлээгээд дахин Verify дар. Дэлгэрэнгүйг баримт бичгийн custom domain хэсгээс, мөн манай custom domain холбох гарын авлагаас үзнэ үү.
Асуултууд
HTTP ба HTTPS-ийн ялгаа юу вэ?
HTTP нь хөтөч болон вэбсайтын хооронд өгөгдлийг уншигдахуйц текстээр илгээдэг. HTTPS нь ижил HTTP-г шифрлэгдсэн TLS холболтоор дамжуулдаг тул нэг сүлжээнд байгаа хүмүүс эсвэл замын дагуух хүмүүс илгээгдсэн зүйлийг унших эсвэл өөрчлөх боломжгүй, мөн хөтөч жинхэнэ сайт руу холбогдсоноо шалгаж чадна.
SSL ба TLS ижил зүйл үү?
TLS бол SSL-ийн орлуулагч орчин үеийн протокол. SSL-ийн бүх хувилбар хуучирсан, найдваргүй; өнөөгийн аюулгүй вэбсайтууд TLS ашигладаг. Хүмүүс зуршлаараа "SSL certificate" гэж хэлсээр байгаа ч certificate нь TLS-тэй хамт ашиглагдана.
Цоож тэмдэг нь сайтыг аюулгүй гэсэн үг үү?
Үгүй. Цоож нь холболт шифрлэгдсэн, certificate домэйнтэй таарч байгааг илтгэнэ. Луйварчин сайт ч хүчинтэй certificate-тэй байж болно. Энэ нь холболтыг хэн ч дагаж үзэх боломжгүйг л хэлдэг, эзний найдвартай байдлыг биш.
SSL certificate-д мөнгө төлөх хэрэгтэй юу?
Ихэвчлэн үгүй. Let's Encrypt зэрэг үнэгүй, автомат certificate олгогч байгууллагууд хөтөчүүдэд итгэгдсэн certificate олгодог, мөн ихэнх хостинг платформ тэдгээрийг авч, сунгаж өгдөг. Төлбөртэй certificate нь ихэвчлэн дэмжлэг эсвэл нэмэлт хувийн баталгаажуулалт нэмдэг.
Яагаад миний сайт "Not Secure" гэж харуулдаг вэ?
Түгээмэл шалтгаанууд: сайтыг https:// биш http:// гэж нээсэн, certificate-ийн хугацаа дууссан эсвэл яг тэр домэйныг хамраагүй, эсвэл хуудас зураг, скрипт энгийн http:// дээрээс ачаалж байгаа (mixed content).