Ce sunt HTTPS și SSL? Cum funcționează site-urile sigure, explicat simplu

HTTPS este versiunea sigură a HTTP, protocolul pe care îl folosesc browserele ca să vorbească cu site-urile. Înfășoară fiecare cerere și fiecare răspuns într-o conexiune criptată, folosind TLS (Transport Layer Security), astfel încât nimeni între vizitator și site nu poate citi sau modifica ceea ce se trimite. SSL este numele mai vechi al aceleiași idei — protocolul original pe care l-a înlocuit TLS — de aceea oamenii mai spun încă „certificat SSL”.

De ce contează HTTPS când construiești cu AI

Orice aplicație pe care o publici ar trebui servită prin HTTPS. Nu este doar o bună practică:

• Browserele se așteaptă la el. Site-urile pe HTTP simplu sunt etichetate „Not secure” („Nesigur”), iar unele funcții ale browserului — precum accesul la locație, camera și microfonul sau service worker-ele pentru aplicații offline — funcționează în general doar pe pagini sigure (HTTPS).
• Autentificările și formularele. Fără HTTPS, parolele, cookie-urile de sesiune și datele formularelor circulă în text lizibil. Oricine din aceeași rețea Wi-Fi publică le-ar putea captura.
• Plățile și serviciile terțe. Furnizorii de plăți, autentificarea OAuth și multe API-uri cer adrese de redirecționare și de callback HTTPS.
• Încredere și căutare. Vizitatorii observă avertismentul, iar Google a spus că tratează HTTPS ca semnal de clasare.

Vestea bună: pe majoritatea platformelor moderne de găzduire, HTTPS se configurează automat. Ceea ce trebuie să înțelegi este suficient de mult cât să repari lucrurile atunci când un domeniu personalizat sau un avertisment de conținut mixt nu merge.

O analogie din viața de zi cu zi

Trimiterea datelor prin HTTP simplu este ca a trimite o carte poștală: fiecare angajat poștal care o atinge o poate citi și cineva ar putea chiar să schimbe mesajul.

HTTPS este ca un plic sigilat, cu sigiliu care arată dacă a fost deschis, trimis după ce ai verificat mai întâi actul de identitate al destinatarului. Certificatul este acel act de identitate, emis de o autoritate de încredere (autoritatea de certificare), care a verificat că site-ul controlează cu adevărat domeniul. Criptarea este plicul sigilat. Actul de identitate dovedește că scrii la adresa corectă; plicul păstrează conținutul privat.

Cum funcționează HTTPS, simplu

Când un browser deschide https://shop.example.com:

1. Salutul. Browserul se conectează și spune ce metode de criptare suportă.
2. Certificatul. Serverul trimite certificatul său, care spune „această cheie aparține lui shop.example.com” și este semnat de o autoritate de certificare.
3. Verificarea. Browserul verifică semnătura față de autoritățile în care are deja încredere, verifică dacă certificatul nu a expirat și dacă domeniul corespunde.
4. Cheile. Browserul și serverul se înțeleg asupra unei chei secrete noi pentru această sesiune, fără să o trimită vreodată în clar.
5. Conversația criptată. Toate cererile și răspunsurile — pagini, date de formular, cookie-uri — circulă acum criptate.

Această strângere de mână TLS (TLS handshake) durează câteva milisecunde și are loc automat. Vizitatorul vede doar iconița lacătului (sau, în unele browsere, o iconiță neutră cu informații despre site).

Ce protejează și ce nu protejează HTTPS

HTTPS criptează conținutul cererilor, inclusiv calea paginii și șirul de interogare. Dar numele domeniului pe care îl vizitezi este de obicei încă vizibil pentru rețelele prin care trece. Acesta este un motiv în plus să nu pui niciodată date personale în URL-uri, deoarece ajung și în jurnale și în istoricul browserului.

Un exemplu practic: conectarea unui domeniu personalizat

Să presupunem că publici o aplicație de rezervări și vrei să fie la book.myyogastudio.com:

1. Adaugi o înregistrare DNS care indică book.myyogastudio.com către gazda ta. Vezi cum funcționează domeniile și DNS.
2. Gazda demonstrează unei autorități de certificare că controlează numele respectiv — de obicei răspunzând unei provocări pe domeniul respectiv — și primește un certificat.
3. Gazda îl instalează și îl reînnoiește automat înainte să expire. Certificatele sunt intenționat de scurtă durată, deci reînnoirea automată contează.
4. Vizitatorii care accesează http://book.myyogastudio.com sunt redirecționați către https://.

Dacă pasul 1 este greșit — înregistrarea indică în altă parte sau un proxy se află la mijloc — pasul 2 poate eșua și vizitatorii văd o eroare de certificat. Aceasta este cea mai frecventă problemă HTTPS întâlnită la conectarea unui domeniu personalizat.

Termeni cheie

Concepții greșite frecvente

• „Lacătul înseamnă că site-ul este de încredere.” Înseamnă că conexiunea este privată și că domeniul corespunde. Și scamerii obțin certificate.
• „HTTPS este necesar doar pentru paginile de plată.” Orice pagină cu autentificare, formular sau cookie are nevoie de el — adică aproape fiecare aplicație. Folosește-l peste tot.
• „Certificatele sunt scumpe.” Certificatele gratuite și de încredere sunt standard, iar majoritatea gazdelor le gestionează pentru tine.
• „HTTPS face aplicația mea sigură.” Securizează conexiunea. Aplicația ta are încă nevoie de verificări de permisiuni pe server, de gestionarea sigură a secretelor și de validarea datelor de intrare. Vezi lista de verificare de securitate pentru aplicații construite cu AI.
• „HTTPS face site-urile lente.” TLS modern adaugă foarte puțin cost, iar funcțiile precum HTTP/2, care accelerează site-urile, cer în general HTTPS în browsere.

Remedierea problemelor HTTPS frecvente

Ce să ceri constructorului tău cu AI

• „Asigură-te că fiecare imagine, script și font se încarcă prin HTTPS sau printr-un URL relativ — fără link-uri http://.”
• „Redirecționează tot traficul HTTP către HTTPS.”
• „Setează cookie-urile de sesiune cu indicatorii Secure și HttpOnly.”
• „Folosește https:// pentru fiecare URL de callback OAuth, de plată și de webhook.”
• „Domeniul meu personalizat arată o eroare de certificat — ce înregistrare DNS așteaptă gazda?”

HTTPS în Mythex

Când conectezi un domeniu personalizat în Mythex (o funcție Pro), adaugi o înregistrare CNAME care indică spre ținta slug.mythex.ai pe care ți-o arată Mythex, apeși Verify (Verifică), iar Mythex emite automat HTTPS pentru domeniu. Documentația acoperă cele două obstacole cele mai frecvente: dacă DNS-ul tău este la Cloudflare, setează înregistrarea pe „DNS only” (nor gri) în loc de proxiat, ca Mythex să poată emite certificatul; iar DNS-ul poate fi verificat înainte ca HTTPS să fie complet configurat, deci așteaptă câteva minute și verifică din nou. Vezi domeniile personalizate în documentație și ghidul nostru despre conectarea unui domeniu personalizat.

Întrebări