Apa Itu HTTPS dan SSL? Cara Laman Web Selamat Berfungsi, Dijelaskan Ringkas
HTTPS ialah versi selamat bagi HTTP, protokol yang digunakan pelayar untuk berhubung dengan laman web. Ia membungkus setiap permintaan dan respons dalam sambungan yang disulitkan menggunakan TLS (Transport Layer Security), supaya tiada sesiapa di antara pelawat dan laman web dapat membaca atau mengubah apa yang dihantar. SSL ialah nama lama bagi idea yang sama — protokol asal yang digantikan oleh TLS — itulah sebabnya orang masih berkata “sijil SSL.”
Mengapa HTTPS penting apabila membina dengan AI
Setiap aplikasi yang anda terbitkan sepatutnya dihidangkan melalui HTTPS. Itu bukan sekadar amalan baik:
- Pelayar menjangkakannya. Laman di HTTP biasa akan dilabel “Not secure”, dan sesetengah ciri pelayar — seperti akses lokasi, kamera dan mikrofon, serta service worker untuk aplikasi luar talian — pada umumnya hanya berfungsi pada halaman yang selamat (HTTPS).
- Log masuk dan borang. Tanpa HTTPS, kata laluan, cookie sesi dan data borang bergerak dalam teks yang boleh dibaca. Sesiapa di Wi-Fi kafe yang sama berpotensi menangkapnya.
- Pembayaran dan pihak ketiga. Pembekal pembayaran, log masuk OAuth dan banyak API memerlukan URL ubah hala dan panggil balik melalui HTTPS.
- Kepercayaan dan carian. Pelawat perasan amaran itu, dan Google pernah menyatakan ia menganggap HTTPS sebagai isyarat kedudukan.
Berita baiknya: di kebanyakan platform hosting moden, HTTPS disediakan secara automatik. Apa yang anda perlukan ialah memahami bahagian-bahagiannya cukup baik untuk membetulkannya apabila domain tersuai atau amaran kandungan bercampur bermasalah.
Analogi harian
Menghantar data melalui HTTP biasa seperti menghantar poskad: setiap pekerja pos yang mengendalikannya boleh membacanya, malah sesiapa boleh mengubah mesejnya.
HTTPS pula seperti menghantar sampul surat bertutup yang menunjukkan jika ia pernah dibuka, dan mula-mula memeriksa kad pengenalan rasmi penerima. Sijil ialah kad pengenalan itu, dikeluarkan oleh pihak berkuasa yang dipercayai (pihak berkuasa sijil) yang telah menyemak bahawa laman web itu benar-benar mengawal domainnya. Penyulitan ialah sampul surat bertutup itu. Kad pengenalan membuktikan anda menulis kepada alamat yang betul; sampul surat memelihara kandungannya sulit.
Cara HTTPS berfungsi, ringkasnya
Apabila pelayar membuka https://shop.example.com:
- Salam. Pelayar bersambung dan menyatakan kaedah penyulitan yang disokongnya.
- Sijil. Pelayan menghantar sijilnya, yang menyatakan “kunci ini milik
shop.example.com” dan ditandatangani oleh pihak berkuasa sijil. - Semakan. Pelayar mengesahkan tandatangan itu dengan pihak berkuasa yang telah dipercayainya, memeriksa sijil belum tamat tempoh, dan memastikan domain sepadan.
- Kunci. Pelayar dan pelayan bersetuju pada kunci rahsia baharu untuk sesi ini, tanpa pernah menghantarnya secara terbuka.
- Perbualan yang disulitkan. Semua permintaan dan respons — halaman, data borang, cookie — kini bergerak dalam bentuk disulitkan.
Jabat tangan TLS ini mengambil masa beberapa milisaat dan berlaku secara automatik. Pelawat hanya melihat ikon gembok (atau, dalam sesetengah pelayar, ikon maklumat laman yang neutral).
Apa yang dilindungi HTTPS dan apa yang tidak
| Dilindungi | Tidak dilindungi |
|---|---|
| Data semasa dalam perjalanan antara pelayar dan pelayan | Data sebaik sahaja ia berada di pelayan atau pangkalan data anda |
| Daripada intipan di Wi-Fi awam | Daripada laman web yang berniat jahat atau penipuan |
| Daripada pengubahan halaman semasa dalam perjalanan | Daripada pepijat dalam aplikasi anda, seperti semakan kebenaran yang hilang |
| Cookie dan kata laluan semasa dihantar | Daripada kata laluan yang lemah atau kunci API yang bocor |
HTTPS menyulitkan kandungan permintaan, termasuk laluan halaman dan rentetan pertanyaan. Tetapi nama domain yang anda lawati biasanya masih kelihatan kepada rangkaian di sepanjang laluan. Itulah antara sebab mengapa data peribadi tidak boleh sekali-kali diletakkan dalam URL — ia juga berakhir dalam log dan sejarah pelayar.
Contoh kerja: menyambungkan domain tersuai
Katakan anda menerbitkan aplikasi tempahan dan mahu ia berada di book.myyogastudio.com:
- Anda menambah rekod DNS yang menunjuk
book.myyogastudio.comke hos anda. Lihat cara domain dan DNS berfungsi. - Hos membuktikan kepada pihak berkuasa sijil bahawa ia mengawal nama itu — biasanya dengan menjawab cabaran pada domain tersebut — dan menerima sijil.
- Hos memasang sijil itu dan memperbaharuinya secara automatik sebelum tamat tempoh. Sijil sengaja dibuat berjangka pendek, jadi pembaharuan automatik itu penting.
- Pelawat ke
http://book.myyogastudio.comdiubah hala kehttps://.
Jika langkah 1 salah — rekod menunjuk ke tempat lain, atau proksi berada di tengah — langkah 2 boleh gagal dan pelawat melihat ralat sijil. Itulah masalah HTTPS paling biasa yang dihadapi apabila menyambungkan domain tersuai.
Istilah utama
| Istilah | Maksud |
|---|---|
| TLS | Transport Layer Security, protokol penyulitan di sebalik HTTPS. |
| SSL | Secure Sockets Layer, pendahulu TLS yang sudah lapuk. Namanya masih digunakan. |
| Sijil | Fail bertandatangan yang menghubungkan domain dengan kunci awam. |
| Pihak berkuasa sijil (CA) | Organisasi yang dipercayai pelayar untuk mengeluarkan sijil, seperti Let's Encrypt. |
| Pengesahan domain (DV) | Sijil yang membuktikan kawalan ke atas domain — jenis yang digunakan hampir semua laman. |
| Sijil kad bebas (wildcard) | Meliputi semua subdomain satu peringkat, seperti *.example.com. |
| Kandungan bercampur (mixed content) | Halaman HTTPS yang memuatkan sesetengah sumber melalui HTTP biasa. Pelayar menyekat atau memberi amaran. |
| HSTS | Pengepala yang memberitahu pelayar supaya sentiasa menggunakan HTTPS untuk laman anda mulai saat itu. |
| Port 443 | Port piawai untuk HTTPS (HTTP menggunakan port 80). |
Salah faham lazim
- “Gembok bermakna laman itu boleh dipercayai.” Ia bermakna sambungan itu peribadi dan domainnya sepadan. Penipu juga mendapat sijil.
- “HTTPS hanya diperlukan untuk halaman pembayaran.” Mana-mana halaman dengan log masuk, borang atau cookie memerlukannya — dan itu hampir setiap aplikasi. Gunakannya di semua tempat.
- “Sijil itu mahal.” Sijil percuma dan dipercayai adalah standard, dan kebanyakan hos menguruskannya untuk anda.
- “HTTPS menjadikan aplikasi saya selamat.” Ia melindungi sambungan. Aplikasi anda masih memerlukan semakan kebenaran di pelayan, pengendalian rahsia yang selamat dan pengesahan input. Lihat senarai semak keselamatan untuk aplikasi yang dibina AI.
- “HTTPS melambatkan laman.” TLS moden menambah sangat sedikit beban, dan ciri seperti HTTP/2 yang menjadikan laman lebih pantas pada amnya memerlukan HTTPS dalam pelayar.
Membetulkan masalah HTTPS yang biasa
| Gejala | Punca yang mungkin |
|---|---|
| “Your connection is not private” | Sijil tidak meliputi domain tepat ini, telah tamat tempoh, atau belum dikeluarkan |
Berfungsi pada www. tetapi tidak pada domain asas (atau sebaliknya) | Hanya satu nama yang mempunyai DNS dan sijil |
| Ikon gembok hilang, “Not secure” pada sesetengah halaman | Kandungan bercampur: imej, skrip atau fon dimuatkan melalui http:// |
| Ralat sijil sejurus selepas menyambungkan domain | DNS masih merebak, atau proksi di hadapan menyekat semakan sijil |
Apa yang perlu diminta kepada pembina AI anda
- “Pastikan setiap imej, skrip dan fon dimuatkan melalui HTTPS atau URL relatif — tiada pautan
http://.” - “Ubah hala semua trafik HTTP ke HTTPS.”
- “Tetapkan cookie sesi dengan bendera
SecuredanHttpOnly.” - “Gunakan
https://untuk setiap URL panggil balik OAuth, pembayaran dan webhook.” - “Domain tersuai saya menunjukkan ralat sijil — apakah rekod DNS yang dijangkakan oleh hos?”
HTTPS dalam Mythex
Apabila anda menyambungkan domain tersuai di Mythex (ciri Pro), anda menambah rekod CNAME yang menunjuk ke sasaran slug.mythex.ai yang dipaparkan oleh Mythex, klik Verify, dan Mythex mengeluarkan HTTPS untuk domain itu secara automatik. Dokumentasi merangkumi dua masalah yang paling kerap ditemui: jika DNS anda berada di Cloudflare, tetapkan rekod kepada “DNS only” (awan kelabu) dan bukannya diproksi, supaya Mythex dapat mengeluarkan sijil; dan DNS boleh disahkan sebelum HTTPS sepenuhnya disediakan, jadi tunggu beberapa minit dan sahkan semula. Lihat domain tersuai dalam dokumentasi dan panduan kami tentang menyambungkan domain tersuai.
Soalan lazim
Apakah perbezaan antara HTTP dan HTTPS?
HTTP menghantar data antara pelayar dan laman web sebagai teks yang boleh dibaca. HTTPS ialah HTTP yang dihantar melalui sambungan TLS yang disulitkan, supaya orang di rangkaian yang sama atau di sepanjang laluan tidak dapat membaca atau mengubah apa yang dihantar, dan pelayar boleh menyemak bahawa ia berhubung dengan laman yang sebenar.
Adakah SSL dan TLS sama?
TLS ialah pengganti moden kepada SSL. Semua versi SSL sudah lapuk dan tidak selamat, dan laman web yang selamat hari ini menggunakan TLS. Orang masih berkata “sijil SSL” kerana kebiasaan, tetapi sijil itu digunakan bersama TLS.
Adakah ikon gembok bermakna laman web itu selamat?
Tidak. Gembok bermakna sambungan disulitkan dan sijil sepadan dengan domain. Laman penipuan juga boleh mempunyai sijil yang sah. Ia memberitahu anda bahawa tiada sesiapa boleh mengintip sambungan itu, bukan bahawa pemilik laman itu boleh dipercayai.
Adakah saya perlu membayar untuk sijil SSL?
Biasanya tidak. Pihak berkuasa sijil automatik yang percuma seperti Let's Encrypt mengeluarkan sijil yang dipercayai oleh pelayar, dan kebanyakan platform hosting mendapatkan serta memperbaharuinya untuk anda. Sijil berbayar terutamanya menambah sokongan atau semakan identiti tambahan.
Mengapa laman saya menunjukkan “Not Secure”?
Punca biasa ialah membuka laman melalui http:// dan bukan https://, sijil yang telah tamat tempoh atau tidak meliputi domain tepat itu, atau halaman memuatkan imej atau skrip melalui http:// biasa (kandungan bercampur).