Hva er HTTPS og SSL? Hvordan sikre nettsider fungerer, forklart enkelt

HTTPS er den sikre versjonen av HTTP, protokollen nettlesere bruker for å snakke med nettsider. Den pakker hver forespørsel og respons inn i en kryptert forbindelse ved hjelp av TLS (Transport Layer Security), slik at ingen mellom besøkende og nettsiden kan lese eller manipulere det som sendes. SSL er det eldre navnet på den samme ideen — den opprinnelige protokollen TLS erstattet — og derfor sier folk fortsatt «SSL-sertifikat».

Hvorfor HTTPS betyr noe når du bygger med AI

Enhver app du publiserer bør serveres over HTTPS. Det er ikke bare god praksis:

• Nettlesere forventer det. Sider på vanlig HTTP merkes som «Ikke sikker», og noen nettleserfunksjoner — for eksempel tilgang til posisjon, kamera og mikrofon, og service workers for frakoblede apper — fungerer generelt bare på sikre (HTTPS-) sider.
• Innlogging og skjemaer. Uten HTTPS reiser passord, informasjonskapsler (cookies) for økter og skjemadata som lesbar tekst. Hvem som helst på samme kafé-wifi kan potensielt fange dem opp.
• Betalinger og tredjeparter. Betalingsleverandører, OAuth-innlogging og mange API-er krever HTTPS-adresser for omdirigering og callback.
• Tillit og søk. Besøkende legger merke til advarselen, og Google har sagt at de regner HTTPS som et rangeringssignal.

Den gode nyheten: på de fleste moderne hostingplattformer settes HTTPS opp automatisk. Det du mest trenger, er å forstå delene godt nok til å rette opp når et egendomene eller en advarsel om blandet innhold går galt.

En hverdagslig sammenligning

Å sende data over vanlig HTTP er som å sende et postkort: hver postarbeider som håndterer det kan lese det, og noen kunne til og med endre meldingen.

HTTPS er som å sende en forseglet konvolutt som ikke kan åpnes uten at det merkes — og først sjekke mottakerens offisielle ID. Sertifikatet er ID-kortet, utstedt av en betrodd myndighet (sertifikatutstederen) som har kontrollert at nettsiden faktisk kontrollerer domenet. Krypteringen er den forseglede konvolutten. ID-en beviser at du skriver til riktig adresse; konvolutten holder innholdet privat.

Hvordan HTTPS fungerer, enkelt forklart

Når en nettleser åpner https://shop.example.com:

1. Hei. Nettleseren kobler til og sier hvilke krypteringsmetoder den støtter.
2. Sertifikat. Serveren sender sitt sertifikat, som sier «denne nøkkelen tilhører shop.example.com» og er signert av en sertifikatutsteder.
3. Kontroll. Nettleseren verifiserer signaturen mot myndigheter den allerede stoler på, sjekker at sertifikatet ikke er utløpt, og at domenet stemmer.
4. Nøkler. Nettleser og server blir enige om en ny hemmelig nøkkel for denne økten, uten å sende den åpent.
5. Kryptert samtale. Alle forespørsler og responser — sider, skjemadata, informasjonskapsler — reiser nå kryptert.

Dette TLS-håndtrykket tar noen få millisekunder og skjer automatisk. Besøkende ser bare hengelåsikonet (eller, i noen nettlesere, et nøytralt ikon for nettstedsinformasjon).

Hva HTTPS beskytter og ikke beskytter

HTTPS krypterer innholdet i forespørsler, inkludert sidestien og spørringsstrengen. Men domenenavnet du besøker er vanligvis fortsatt synlig for nettverk underveis. Det er en av grunnene til aldri å legge personopplysninger i URL-er uansett — de havner også i logger og nettleserhistorikk.

Et konkret eksempel: å koble til et eget domene

Anta at du publiserer en bookingapp og vil ha den på book.myyogastudio.com:

1. Du legger til en DNS-post som peker book.myyogastudio.com til hostingen din. Se hvordan domener og DNS fungerer.
2. Hostingen beviser overfor en sertifikatutsteder at den kontrollerer det navnet — vanligvis ved å svare på en utfordring på domenet — og mottar et sertifikat.
3. Hostingen installerer det og fornyer det automatisk før det utløper. Sertifikater er bevisst kortlivede, så automatisk fornyelse er viktig.
4. Besøkende til http://book.myyogastudio.com omdirigeres til https://.

Hvis steg 1 er feil — posten peker et annet sted, eller en proxy står i midten — kan steg 2 mislykkes, og besøkende ser en sertifikatfeil. Det er det vanligste HTTPS-problemet folk støter på når de kobler til et eget domene.

Viktige begreper

Vanlige misforståelser

• «Hengelåsen betyr at siden er til å stole på.» Den betyr at forbindelsen er privat og at domenet stemmer. Svindlere får også sertifikater.
• «HTTPS trengs bare for betalingssider.» Enhver side med innlogging, skjema eller informasjonskapsel trenger det — og det gjelder nesten alle apper. Bruk det overalt.
• «Sertifikater er dyre.» Gratis, betrodde sertifikater er standard, og de fleste hostingtjenester håndterer dem for deg.
• «HTTPS gjør appen min sikker.» Det sikrer forbindelsen. Appen din trenger fortsatt tillatelsessjekker på serveren, trygg håndtering av hemmeligheter og validering av input. Se sikkerhetssjekklisten for AI-bygde apper.
• «HTTPS gjør sider trege.» Moderne TLS gir svært lite overhead, og funksjoner som HTTP/2, som gjør sider raskere, krever generelt HTTPS i nettlesere.

Løse vanlige HTTPS-problemer

Hva du bør be AI-appbyggeren om

• «Sørg for at alle bilder, skript og fonter lastes over HTTPS eller med relative URL-er — ingen http://-lenker.»
• «Omdiriger all HTTP-trafikk til HTTPS.»
• «Sett informasjonskapsler for økter med flaggene Secure og HttpOnly.»
• «Bruk https:// for alle OAuth-, betalings- og webhook-callback-URL-er.»
• «Mitt eget domene viser en sertifikatfeil — hvilken DNS-post forventer hostingen?»

HTTPS i Mythex

Når du kobler til et eget domene i Mythex (en Pro-funksjon), legger du til en CNAME-post som peker til slug.mythex.ai-målet Mythex viser deg, klikker Verify, og Mythex utsteder HTTPS for domenet automatisk. Dokumentasjonen dekker de to vanligste snublesteinene: hvis DNS-en din er hos Cloudflare, sett posten til «DNS only» (grå sky) i stedet for proxied, slik at Mythex kan utstede sertifikatet; og DNS kan bekreftes før HTTPS er helt klart, så vent noen minutter og verifiser på nytt. Se egne domener i dokumentasjonen, og guiden vår om å koble til et eget domene.

Spørsmål