HTTPS आणि SSL म्हणजे काय? सुरक्षित वेबसाइट्स कशा चालतात, सोप्या भाषेत
HTTPS म्हणजे HTTP ची सुरक्षित आवृत्ती, जो प्रोटोकॉल ब्राउझर वेबसाइट्सशी बोलण्यासाठी वापरतात. तो प्रत्येक रिक्वेस्ट आणि रिस्पॉन्सला TLS (Transport Layer Security) वापरून एन्क्रिप्टेड कनेक्शनमध्ये गुंडाळतो, त्यामुळे व्हिजिटर आणि वेबसाइट यांच्यामध्ये कोणीही पाठवलेले वाचू किंवा बदलू शकत नाही. SSL हे त्याच कल्पनेचे जुने नाव आहे — मूळ प्रोटोकॉल ज्याची जागा TLS ने घेतली — म्हणूनच लोक अजूनही “SSL प्रमाणपत्र” म्हणतात.
AI सोबत बनवताना HTTPS का महत्त्वाचे आहे
तुम्ही प्रकाशित केलेला प्रत्येक ॲप HTTPS वरून दिला गेला पाहिजे. ही फक्त चांगली पद्धत नाही:
- ब्राउझर्सना ते अपेक्षित असते. साध्या HTTP वरील साइट्सना “Not secure” असे लेबल लागते, आणि काही ब्राउझर वैशिष्ट्ये — जसे लोकेशन ॲक्सेस, कॅमेरा आणि मायक्रोफोन, आणि ऑफलाइन ॲप्ससाठी service workers — साधारणपणे फक्त सुरक्षित (HTTPS) पेजवरच चालतात.
- लॉगिन आणि फॉर्म्स. HTTPS शिवाय पासवर्ड, सेशन कुकीज आणि फॉर्म डेटा सुवाच्य मजकुरात प्रवास करतात. एकाच कॅफे Wi-Fi वर असलेले कोणीही ते पकडू शकतात.
- पेमेंट्स आणि तृतीय पक्ष. पेमेंट प्रोव्हायडर्स, OAuth साइन-इन आणि अनेक API ना HTTPS redirect आणि callback URLs लागतात.
- विश्वास आणि सर्च. व्हिजिटर्स चेतावणी लक्षात घेतात, आणि Google ने म्हटले आहे की ते HTTPS ला रँकिंग सिग्नल मानते.
चांगली बातमी: बहुतेक आधुनिक होस्टिंग प्लॅटफॉर्म्सवर HTTPS आपोआप सेट होते. तुम्हाला मुख्यतः त्यातील भाग नीट समजणे गरजेचे आहे, म्हणजे कस्टम डोमेन किंवा mixed-content चेतावणी बिघडल्यावर ते दुरुस्त करता येईल.
रोजच्या आयुष्यातील उदाहरण
साध्या HTTP वर डेटा पाठवणे म्हणजे पोस्टकार्ड पाठवण्यासारखे आहे: ते हाताळणारा प्रत्येक पोस्टमन ते वाचू शकतो, आणि कोणी संदेशही बदलू शकतो.
HTTPS म्हणजे सीलबंद, छेडछाड दिसणारे लिफाफे पाठवणे — आणि आधी प्राप्तकर्त्याचे अधिकृत ओळखपत्र तपासणे. प्रमाणपत्र हे ते ओळखपत्र आहे, जे एका विश्वासार्ह अधिकाऱ्याने (certificate authority) दिलेले आहे, ज्याने तपासले आहे की वेबसाइट खरोखर त्या डोमेनवर नियंत्रण ठेवते. एन्क्रिप्शन म्हणजे सीलबंद लिफाफा. ओळखपत्र सिद्ध करते की तुम्ही योग्य पत्त्यावर लिहित आहात; लिफाफा आतील मजकूर खाजगी ठेवतो.
HTTPS सोप्या शब्दांत कसे चालते
जेव्हा ब्राउझर https://shop.example.com उघडतो:
- हॅलो. ब्राउझर कनेक्ट होतो आणि त्याला कोणत्या एन्क्रिप्शन पद्धती सपोर्ट होतात ते सांगतो.
- प्रमाणपत्र. सर्व्हर त्याचे प्रमाणपत्र पाठवतो, जे सांगते “ही key
shop.example.comची आहे” आणि ते एका certificate authority ने सही केलेले असते. - तपासणी. ब्राउझर ती सही आधीपासून विश्वास ठेवत असलेल्या अधिकाऱ्यांच्या मदतीने तपासतो, प्रमाणपत्राची मुदत संपलेली नाही हे पाहतो, आणि डोमेन जुळते हे तपासतो.
- Keys. ब्राउझर आणि सर्व्हर या सत्रासाठी एक नवीन गुप्त key मान्य करतात, ती उघडपणे कधीही न पाठवता.
- एन्क्रिप्टेड संवाद. सर्व रिक्वेस्ट्स आणि रिस्पॉन्सेस — पेजेस, फॉर्म डेटा, कुकीज — आता एन्क्रिप्टेड प्रवास करतात.
हे TLS handshake काही मिलिसेकंद घेते आणि आपोआप होते. व्हिजिटरला फक्त पॅडलॉक आयकॉन दिसतो (किंवा काही ब्राउझर्समध्ये तटस्थ साइट-माहिती आयकॉन).
HTTPS काय संरक्षण करते आणि काय करत नाही
| संरक्षण करते | संरक्षण करत नाही |
|---|---|
| ब्राउझर आणि सर्व्हरमधील प्रवासातील डेटा | तुमच्या सर्व्हरवर किंवा डेटाबेसमध्ये आल्यानंतरचा डेटा |
| सार्वजनिक Wi-Fi वरील डोकावण्यापासून | दुर्भावनापूर्ण किंवा स्कॅम वेबसाइटपासून |
| वाटेत पेजेस बदलण्यापासून | तुमच्या ॲपमधील बग्सपासून, जसे गहाळ परवानगी तपासण्या |
| पाठवले जात असताना कुकीज आणि पासवर्ड | कमकुवत पासवर्ड्स किंवा लीक झालेल्या API keys पासून |
HTTPS रिक्वेस्ट्सचा मजकूर एन्क्रिप्ट करते, ज्यात पेज पथ आणि query string समाविष्ट आहे. पण तुम्ही भेट देत असलेले डोमेन नाव वाटेतील नेटवर्कना सहसा दिसते. वैयक्तिक डेटा URL मध्ये कधीही ठेवू नये याचे हे एक कारण आहे — ते लॉग्स आणि ब्राउझर इतिहासातही जातात.
एक उदाहरण: कस्टम डोमेन जोडणे
समजा तुम्ही एक बुकिंग ॲप प्रकाशित करता आणि तो book.myyogastudio.com वर हवा आहे:
book.myyogastudio.comला तुमच्या होस्टकडे दाखवणारा एक DNS रेकॉर्ड जोडता. डोमेन आणि DNS कसे काम करतात ते पाहा.- होस्ट certificate authority ला सिद्ध करतो की त्याचे त्या नावावर नियंत्रण आहे — साधारणपणे त्या डोमेनवरील एका challenge ला उत्तर देऊन — आणि प्रमाणपत्र मिळवतो.
- होस्ट ते इन्स्टॉल करतो आणि मुदत संपण्यापूर्वी आपोआप नूतनीकरण करतो. प्रमाणपत्रे जाणीवपूर्वक अल्पकाळ टिकणारी बनवलेली असतात, त्यामुळे स्वयंचलित नूतनीकरण महत्त्वाचे आहे.
http://book.myyogastudio.comवरील व्हिजिटर्सनाhttps://वर redirect केले जाते.
जर पायरी 1 चुकीची असेल — रेकॉर्ड दुसरीकडे दाखवत असेल, किंवा मध्ये proxy असेल — तर पायरी 2 अयशस्वी होऊ शकते आणि व्हिजिटर्सना प्रमाणपत्र एरर दिसते. कस्टम डोमेन जोडताना लोकांना येणारी ही सर्वात सामान्य HTTPS समस्या आहे.
मुख्य संज्ञा
| संज्ञा | अर्थ |
|---|---|
| TLS | Transport Layer Security, HTTPS मागील एन्क्रिप्शन प्रोटोकॉल. |
| SSL | Secure Sockets Layer, TLS चा जुना पूर्वसूरी. नाव अजूनही रेंगाळते. |
| प्रमाणपत्र (Certificate) | डोमेनला सार्वजनिक key शी जोडणारी सही केलेली फाइल. |
| Certificate authority (CA) | प्रमाणपत्रे जारी करण्यावर ब्राउझर्सचा विश्वास असलेली संस्था, जसे Let's Encrypt. |
| Domain validation (DV) | डोमेनवरील नियंत्रण सिद्ध करणारे प्रमाणपत्र — जवळजवळ सर्व साइट्स हेच वापरतात. |
| Wildcard certificate | एक स्तर खालील सर्व सबडोमेन्स कव्हर करते, जसे *.example.com. |
| Mixed content | HTTPS पेजवर काही संसाधने साध्या HTTP वरून लोड होणे. ब्राउझर्स ते ब्लॉक करतात किंवा चेतावणी देतात. |
| HSTS | ब्राउझर्सना त्या क्षणापासून तुमच्या साइटसाठी नेहमी HTTPS वापरण्यास सांगणारे header. |
| Port 443 | HTTPS साठी मानक पोर्ट (HTTP पोर्ट 80 वापरतो). |
सामान्य गैरसमज
- “पॅडलॉक म्हणजे साइट विश्वासार्ह आहे.” त्याचा अर्थ कनेक्शन खाजगी आहे आणि डोमेन जुळते इतकाच. स्कॅमरनाही प्रमाणपत्रे मिळतात.
- “HTTPS फक्त पेमेंट पेजेससाठी लागते.” लॉगिन, फॉर्म किंवा कुकी असलेल्या कोणत्याही पेजला त्याची गरज असते — जवळजवळ प्रत्येक ॲपला. ते सर्वत्र वापरा.
- “प्रमाणपत्रे महाग असतात.” मोफत, विश्वसनीय प्रमाणपत्रे हे नेहमीचे आहे, आणि बहुतेक होस्ट्स ती तुमच्यासाठी व्यवस्थापित करतात.
- “HTTPS मुळे माझा ॲप सुरक्षित होतो.” ते कनेक्शन सुरक्षित करते. तुमच्या ॲपला अजूनही सर्व्हर-साइड परवानगी तपासण्या, सिक्रेट्सची सुरक्षित हाताळणी आणि इनपुट व्हॅलिडेशन लागते. AI ने बनवलेल्या ॲप्ससाठी सुरक्षा चेकलिस्ट पाहा.
- “HTTPS मुळे साइट्स हळू होतात.” आधुनिक TLS मध्ये खूप कमी ओव्हरहेड येतो, आणि HTTP/2 सारखी साइट्स वेगवान करणारी वैशिष्ट्ये सामान्यतः ब्राउझर्समध्ये HTTPS ची गरज असते.
सामान्य HTTPS समस्या दुरुस्त करणे
| लक्षण | संभाव्य कारण |
|---|---|
| “Your connection is not private” | प्रमाणपत्र नेमक्या या डोमेनला लागू नाही, मुदत संपली आहे, किंवा अजून जारी झालेले नाही |
www. वर चालते पण रिकामे डोमेन नाही (किंवा उलट) | फक्त एका नावाला DNS आणि प्रमाणपत्र आहे |
| पॅडलॉक गहाळ, काही पेजेसवर “Not secure” | Mixed content: इमेज, स्क्रिप्ट किंवा फॉन्ट http:// वरून लोड |
| डोमेन जोडल्यानंतर लगेच प्रमाणपत्र एरर | DNS अजून पसरत आहे, किंवा समोरील proxy प्रमाणपत्र तपासणी अडवत आहे |
तुमच्या AI बिल्डरला काय मागावे
- “प्रत्येक इमेज, स्क्रिप्ट आणि फॉन्ट HTTPS वर किंवा relative URL वर लोड होईल याची खात्री करा — कोणतीही
http://लिंक नको.” - “सर्व HTTP ट्रॅफिक HTTPS वर redirect करा.”
- “सेशन कुकीज
SecureआणिHttpOnlyflags सह सेट करा.” - “प्रत्येक OAuth, पेमेंट आणि webhook callback URL साठी
https://वापरा.” - “माझ्या कस्टम डोमेनवर प्रमाणपत्र एरर दिसत आहे — होस्टला कोणता DNS रेकॉर्ड हवा आहे?”
Mythex मधील HTTPS
Mythex वर कस्टम डोमेन जोडताना (हे Pro वैशिष्ट्य आहे), तुम्ही Mythex दाखवत असलेल्या slug.mythex.ai लक्ष्याकडे दाखवणारा CNAME रेकॉर्ड जोडता, Verify वर क्लिक करता, आणि Mythex त्या डोमेनसाठी HTTPS आपोआप जारी करते. डॉक्समध्ये दोन सर्वात सामान्य अडचणी सांगितल्या आहेत: तुमचा DNS Cloudflare वर असेल, तर Mythex ला प्रमाणपत्र जारी करता यावे म्हणून रेकॉर्ड “DNS only” (राखाडी ढग) ठेवा, proxied नाही; आणि HTTPS पूर्णपणे सेट होण्यापूर्वीच DNS verify होऊ शकते, म्हणून काही मिनिटे थांबा आणि पुन्हा verify करा. तपशिलांसाठी डॉक्समधील कस्टम डोमेन्स पाहा, आणि आमचे कस्टम डोमेन जोडण्याचे मार्गदर्शक वाचा.
प्रश्न
HTTP आणि HTTPS मधला फरक काय आहे?
HTTP ब्राउझर आणि वेबसाइटमध्ये डेटा सुवाच्य मजकूर म्हणून पाठवते. HTTPS म्हणजे HTTP जे एन्क्रिप्टेड TLS कनेक्शनमधून पाठवले जाते, त्यामुळे एकाच नेटवर्कवरील किंवा मार्गातील लोक पाठवलेला डेटा वाचू किंवा बदलू शकत नाहीत, आणि ब्राउझर तपासू शकतो की तो खऱ्या साइटशीच बोलत आहे.
SSL आणि TLS एकच आहेत का?
TLS हे SSL चे आधुनिक उत्तराधिकारी आहे. SSL च्या सर्व आवृत्त्या जुन्या आणि असुरक्षित झाल्या आहेत, आणि आजच्या सुरक्षित वेबसाइट्स TLS वापरतात. सवयीमुळे लोक अजूनही “SSL प्रमाणपत्र” म्हणतात, पण ती प्रमाणपत्रे TLS सोबत वापरली जातात.
पॅडलॉक म्हणजे वेबसाइट सुरक्षित आहे का?
नाही. पॅडलॉक म्हणजे कनेक्शन एन्क्रिप्टेड आहे आणि प्रमाणपत्र डोमेनशी जुळते. स्कॅम साइटकडेही वैध प्रमाणपत्र असू शकते. त्याचा अर्थ कोणी कनेक्शनमध्ये डोकावू शकत नाही इतकाच, साइटचा मालक विश्वासार्ह आहे असा नाही.
SSL प्रमाणपत्रासाठी मला पैसे द्यावे लागतात का?
साधारणपणे नाही. Let's Encrypt सारखे मोफत, स्वयंचलित certificate authorities ब्राउझर्सनी विश्वास ठेवलेली प्रमाणपत्रे जारी करतात, आणि बहुतेक होस्टिंग प्लॅटफॉर्म ती तुमच्यासाठी मिळवतात आणि नूतनीकरण करतात. सशुल्क प्रमाणपत्रांमध्ये मुख्यतः सपोर्ट किंवा अतिरिक्त ओळख तपासणी असते.
माझ्या साइटवर Not Secure का दिसते?
सामान्य कारणे म्हणजे साइट https:// ऐवजी http:// वर उघडणे, प्रमाणपत्राची मुदत संपणे किंवा ते नेमक्या त्या डोमेनला लागू नसणे, किंवा एखाद्या पेजवरील इमेज किंवा स्क्रिप्ट्स साध्या http:// वरून लोड होणे (mixed content).