Čo sú HTTPS a SSL? Ako fungujú zabezpečené webové stránky, jednoducho
HTTPS je zabezpečená verzia HTTP, protokolu, ktorý prehliadače používajú na komunikáciu s webmi. Každú požiadavku a odpoveď obalí do šifrovaného spojenia pomocou TLS (Transport Layer Security), takže nikto medzi návštevníkom a webom nemôže prečítať ani zmeniť odoslaný obsah. SSL je starší názov pre rovnakú myšlienku — pôvodný protokol, ktorý TLS nahradil — preto ľudia stále hovoria „SSL certifikát“.
Prečo je HTTPS dôležitý pri tvorbe s AI
Každá aplikácia, ktorú publikujete, by mala byť dostupná cez HTTPS. Nejde len o dobrú prax:
- Prehliadače to očakávajú. Weby na obyčajnom HTTP sú označené ako „Nezabezpečené“ a niektoré funkcie prehliadača — napríklad prístup k polohe, kamere a mikrofónu alebo service workery pre offline aplikácie — zvyčajne fungujú iba na zabezpečených (HTTPS) stránkach.
- Prihlasovanie a formuláre. Bez HTTPS putujú heslá, relačné cookies a údaje z formulárov v čitateľnej podobe. Ktokoľvek na tej istej verejnej Wi-Fi ich môže potenciálne zachytiť.
- Platby a tretie strany. Platobní poskytovatelia, prihlasovanie cez OAuth a mnohé API vyžadujú adresy na presmerovanie a spätné volania cez HTTPS.
- Dôvera a vyhľadávanie. Návštevníci si všimnú varovanie a Google uviedol, že HTTPS berie ako signál pri hodnotení.
Dobrá správa je, že na väčšine moderných hostingových platforiem sa HTTPS nastaví automaticky. Potrebujete hlavne pochopiť jednotlivé časti natoľko, aby ste vedeli opraviť problém, keď zlyhá vlastná doména alebo upozornenie na zmiešaný obsah.
Každodenné prirovnanie
Posielanie dát cez obyčajné HTTP je ako posielanie pohľadnice: každý poštový doručovateľ, ktorý ju drží v rukách, ju môže prečítať a dokonca zmeniť správu.
HTTPS je ako zapečatená obálka, ktorej sa nedá nenápadne manipulovať — a predtým sa overí úradný doklad príjemcu. Certifikát je ten doklad totožnosti, ktorý vydala dôveryhodná autorita (certifikačná autorita) po overení, že web skutočne ovláda doménu. Šifrovanie je zapečatená obálka. Doklad potvrdí, že píšete na správnu adresu; obálka chráni obsah pred zvedavými očami.
Ako HTTPS funguje, jednoducho
Keď prehliadač otvorí https://shop.example.com:
- Pozdrav. Prehliadač sa pripojí a povie, aké šifrovacie metódy podporuje.
- Certifikát. Server pošle svoj certifikát, ktorý hovorí: „tento kľúč patrí k
shop.example.com“ a je podpísaný certifikačnou autoritou. - Kontrola. Prehliadač overí podpis voči autoritám, ktorým už dôveruje, skontroluje, že certifikát neexpiroval, a že doména sedí.
- Kľúče. Prehliadač a server sa dohodnú na novom tajnom kľúči pre túto reláciu, bez toho, aby ho niekedy poslali nechránený.
- Šifrovaná komunikácia. Všetky požiadavky a odpovede — stránky, údaje z formulárov, cookies — teraz putujú zašifrované.
Táto TLS handshake trvá pár milisekúnd a prebehne automaticky. Návštevník vidí iba ikonu zámku (alebo v niektorých prehliadačoch neutrálnu ikonu informácií o webe).
Čo HTTPS chráni a čo nie
| Chráni | Nechráni |
|---|---|
| Dáta počas prenosu medzi prehliadačom a serverom | Dáta, keď sú už na vašom serveri alebo v databáze |
| Pred odpočúvaním na verejnej Wi-Fi | Pred škodlivým alebo podvodným webom |
| Pred zmenou stránok cestou | Pred chybami vo vašej aplikácii, napríklad chýbajúcimi kontrolami oprávnení |
| Cookies a heslá počas odosielania | Pred slabými heslami alebo uniknutými API kľúčmi |
HTTPS šifruje obsah požiadaviek vrátane cesty stránky a query reťazca. Názov domény, na ktorú idete, však zvyčajne vidia siete na ceste. Preto nikdy nedávajte osobné údaje do URL — končia aj v logoch a v histórii prehliadača.
Ukážkový príklad: pripojenie vlastnej domény
Predpokladajme, že publikujete rezervačnú aplikáciu a chcete ju mať na book.myyogastudio.com:
- Pridáte DNS záznam, ktorý smeruje
book.myyogastudio.comna váš hosting. Pozri ako fungujú domény a DNS. - Hosting dokáže certifikačnej autorite, že ovláda toto meno — zvyčajne odpovedaním na výzvu na danej doméne — a dostane certifikát.
- Hosting certifikát nainštaluje a automaticky obnoví predtým, než expiruje. Certifikáty sú úmyselne krátkodobé, preto je automatická obnova dôležitá.
- Návštevníci na
http://book.myyogastudio.comsú presmerovaní nahttps://.
Ak je krok 1 chybný — záznam ukazuje inam alebo je pred doménou proxy — krok 2 zlyhá a návštevníci uvidia chybu certifikátu. Je to najčastejší problém s HTTPS, s ktorým sa ľudia stretnú pri pripájaní vlastnej domény.
Kľúčové pojmy
| Pojem | Význam |
|---|---|
| TLS | Transport Layer Security, šifrovací protokol za HTTPS. |
| SSL | Secure Sockets Layer, zastaralý predchodca TLS. Názov pretrváva. |
| Certifikát | Podpísaný súbor, ktorý spája doménu s verejným kľúčom. |
| Certifikačná autorita (CA) | Organizácia, ktorej prehliadače dôverujú a ktorá vydáva certifikáty, napríklad Let's Encrypt. |
| Overenie domény (DV) | Certifikát, ktorý dokazuje kontrolu nad doménou — používa ho takmer každý web. |
| Wildcard certifikát | Pokrýva všetky subdomény o jednu úroveň nižšie, napríklad *.example.com. |
| Zmiešaný obsah | HTTPS stránka, ktorá načítava niektoré zdroje cez obyčajné HTTP. Prehliadače ho blokujú alebo varujú. |
| HSTS | Hlavička, ktorá hovorí prehliadačom, aby odteraz vždy používali HTTPS pre váš web. |
| Port 443 | Štandardný port pre HTTPS (HTTP používa port 80). |
Bežné omyly
- „Zámok znamená, že web je dôveryhodný.“ Znamená, že spojenie je súkromné a doména sedí. Podvodníci získavajú certifikáty tiež.
- „HTTPS je potrebný iba na platobných stránkach.“ Každá stránka s prihlasovaním, formulárom alebo cookie ho potrebuje — a to je takmer každá aplikácia. Používajte ho všade.
- „Certifikáty sú drahé.“ Bezplatné dôveryhodné certifikáty sú štandard a väčšina hostingov ich spravuje za vás.
- „HTTPS zabezpečí moju aplikáciu.“ Zabezpečí spojenie. Vaša aplikácia stále potrebuje kontroly oprávnení na serveri, bezpečné zaobchádzanie s tajomstvami a validáciu vstupov. Pozri bezpečnostný kontrolný zoznam pre aplikácie vytvorené s AI.
- „HTTPS spomaľuje weby.“ Moderné TLS pridáva veľmi málo režijných nákladov a funkcie, ktoré stránky zrýchľujú, napríklad HTTP/2, prehliadače zvyčajne vyžadujú práve cez HTTPS.
Riešenie bežných problémov s HTTPS
| Príznak | Pravdepodobná príčina |
|---|---|
| „Vaše pripojenie nie je súkromné“ | Certifikát nepokrýva presne túto doménu, expiroval alebo ešte nebol vydaný |
Funguje na www., ale nie na holej doméne (alebo naopak) | Iba jedno z mien má DNS a certifikát |
| Chýba zámok, „Nezabezpečené“ na niektorých stránkach | Zmiešaný obsah: obrázok, skript alebo písmo načítané cez http:// |
| Chyba certifikátu hneď po pripojení domény | DNS sa ešte šíri, alebo pred doménou blokuje kontrolu certifikátu proxy |
Čo požiadať od nástroja na tvorbu s AI
- „Zabezpeč, aby sa každý obrázok, skript a písmo načítavali cez HTTPS alebo relatívnu URL — žiadne odkazy
http://.“ - „Presmeruj všetku komunikáciu z HTTP na HTTPS.“
- „Nastav relačné cookies s príznakmi
SecureaHttpOnly.“ - „Pre každú OAuth, platobnú a webhook spätnú URL používaj
https://.“ - „Moja vlastná doména zobrazuje chybu certifikátu — aký DNS záznam hosting očakáva?“
HTTPS v Mythexe
Keď v Mythexe pripojíte vlastnú doménu (funkcia plánu Pro), pridáte záznam CNAME, ktorý smeruje na cieľ slug.mythex.ai, ktorý vám Mythex zobrazí, kliknete na Verify a Mythex pre doménu automaticky vydá HTTPS. Dokumentácia pokrýva dva najčastejšie problémy: ak máte DNS na Cloudflare, nastavte záznam na „DNS only“ (sivý oblak), nie proxované, aby Mythex mohol vydať certifikát; a DNS môže overiť skôr, než je HTTPS úplne nastavené, takže počkajte pár minút a overte znova. Pozri vlastné domény v dokumentácii a náš návod ako pripojiť vlastnú doménu.
Otázky
Aký je rozdiel medzi HTTP a HTTPS?
HTTP posiela dáta medzi prehliadačom a webom ako čitateľný text. HTTPS je HTTP poslané cez šifrované spojenie TLS, takže ľudia v tej istej sieti alebo na trase nemôžu prečítať ani zmeniť odoslaný obsah a prehliadač dokáže overiť, že komunikuje so skutočným webom.
Sú SSL a TLS to isté?
TLS je moderný nástupca SSL. Všetky verzie SSL sú zastaralé a nebezpečné a dnešné zabezpečené weby používajú TLS. Ľudia z návyku stále hovoria „SSL certifikát“, ale certifikáty sa používajú s TLS.
Znamená zámok, že je web bezpečný?
Nie. Zámok znamená, že spojenie je šifrované a certifikát zodpovedá doméne. Podvodný web môže mať tiež platný certifikát. Hovorí iba to, že nikto nemôže odpočúvať spojenie, nie to, že vlastník webu je dôveryhodný.
Musím za SSL certifikát platiť?
Zvyčajne nie. Bezplatné automatizované certifikačné autority, ako je Let's Encrypt, vydávajú certifikáty, ktorým prehliadače dôverujú, a väčšina hostingových platforiem ich za vás získa a obnoví. Platené certifikáty pridávajú hlavne podporu alebo ďalšie overenie identity.
Prečo môj web hlási „Nezabezpečené“?
Bežné príčiny sú otvorenie webu cez http:// namiesto https://, certifikát, ktorý expiroval alebo nepokrýva presne túto doménu, alebo stránka, ktorá načítava obrázky či skripty cez nezabezpečené http:// (zmiešaný obsah).