Kaj sta HTTPS in SSL? Kako delujejo varna spletna mesta, preprosto
HTTPS je varna različica HTTP-ja, protokola, ki ga brskalniki uporabljajo za komunikacijo s spletnimi mesti. Vsak zahtevek in odgovor ovije v šifrirano povezavo s protokolom TLS (Transport Layer Security), zato nihče med obiskovalcem in spletnim mestom ne more prebrati ali spremeniti poslanega. SSL je starejše ime za isto idejo — izvirni protokol, ki ga je TLS nadomestil — zato ljudje še vedno govorijo »SSL certifikat«.
Zakaj je HTTPS pomemben pri gradnji z AI
Vsaka aplikacija, ki jo objavite, mora biti dostavljena prek HTTPS-ja. To ni le dobra praksa:
- Brskalniki to pričakujejo. Mesta na navadnem HTTP-ju so označena kot »Ni varno«, nekatere funkcije brskalnika — na primer dostop do lokacije, kamere in mikrofona ali servisni delavci za aplikacije brez povezave — pa običajno delujejo samo na varnih (HTTPS) straneh.
- Prijave in obrazci. Brez HTTPS-ja gesla, piškotki seje in podatki obrazcev potujejo v berljivem besedilu. Kdorkoli v istem javnem Wi-Fi omrežju bi jih lahko zajel.
- Plačila in tretje osebe. Ponudniki plačil, prijava prek OAuth-a in številni API-ji zahtevajo naslove za preusmeritev in povratne klice prek HTTPS-ja.
- Zaupanje in iskalniki. Obiskovalci opazijo opozorilo, Google pa je povedal, da HTTPS upošteva kot signal za uvrstitev.
Dobra novica: na večini sodobnih gostiteljskih platform je HTTPS nastavljen samodejno. Večinoma morate razumeti dele dovolj dobro, da lahko popravite, kadar gre kaj narobe pri domeni po meri ali pri opozorilu o mešani vsebini.
Vsakdanja primerjava
Pošiljanje podatkov prek navadnega HTTP-ja je kot pošiljanje razglednice: vsak poštni delavec, ki jo obravnava, lahko prebere sporočilo, nekdo pa ga celo lahko spremeni.
HTTPS je kot zapečkana, s tem zaznavna ovojnica — in pred tem preverite uradno osebno izkaznico prejemnika. Certifikat je ta osebna izkaznica, ki jo izda zaupanja vredna organizacija (certifikacijska agencija) in je preverila, da spletno mesto res nadzira domeno. Šifriranje je zapečatena ovojnica. Izkaznica dokazuje, da pišete pravemu naslovu; ovojnica ohranja vsebino zasebno.
Kako HTTPS deluje, preprosto
Ko brskalnik odpre https://trgovina.primer.si:
- Pozdrav. Brskalnik se poveže in pove, katere metode šifriranja podpira.
- Certifikat. Strežnik pošlje svoj certifikat, ki pravi »ta ključ pripada
trgovina.primer.si« in ga je podpisala certifikacijska agencija. - Preverjanje. Brskalnik preveri podpis z agencijami, ki jim že zaupa, preveri, da certifikat ni potekel, in da se domena ujema.
- Ključi. Brskalnik in strežnik se dogovorita o novem skrivnem ključu za to sejo, ne da bi ga kdajkoli poslali odkrito.
- Šifrirani pogovor. Vsi zahtevki in odgovori — strani, podatki obrazcev, piškotki — zdaj potujejo šifrirano.
Ta rokovanje TLS traja nekaj milisekund in poteka samodejno. Obiskovalec vidi samo ikono ključavnice (ali v nekaterih brskalnikih nevtralno ikono informacij o mestu).
Kaj HTTPS ščiti in česa ne
| Ščiti | Ne ščiti |
|---|---|
| Podatke med brskalnikom in strežnikom | Podatke, ko so že na vašem strežniku ali v bazi |
| Pred prisluškovanjem na javnem Wi-Fi-ju | Pred zlonamernim ali goljufivim spletnim mestom |
| Pred spreminjanjem strani med potjo | Pred napakami v vaši aplikaciji, na primer manjkajočimi preverbami dovoljenj |
| Piškotke in gesla med pošiljanjem | Pred šibkimi gesli ali uhajanjem API ključev |
HTTPS šifrira vsebino zahtevkov, vključno s potjo strani in poizvedbenim nizom. Ime domene, ki ga obiščete, pa je ponavadi še vedno vidno omrežjem na poti. Zato tudi osebnih podatkov nikoli ne dajajte v URL-je — končajo namreč v dnevnikih in zgodovini brskalnika.
Praktičen primer: povezava domene po meri
Recimo, da objavite aplikacijo za rezervacije in jo želite na naslovu rezervacije.jogastudio.si:
- Dodate DNS zapis, ki usmeri
rezervacije.jogastudio.sina vašega gostitelja. Glejte kako delujejo domene in DNS. - Gostitelj dokaže certifikacijski agenciji, da nadzira to ime — običajno z odgovorom na izziv na tej domeni — in prejme certifikat.
- Gostitelj certifikat namesti in ga samodejno obnovi, preden poteče. Certifikati so namenoma kratkoveljavni, zato je samodejna obnova pomembna.
- Obiskovalci na
http://rezervacije.jogastudio.sise preusmerijo nahttps://.
Če je korak 1 napačen — zapis kaže drugam ali je pred domeno posrednik — lahko korak 2 spodleti in obiskovalci vidijo napako certifikata. To je najpogostejša težava s HTTPS-jem, ki jo ljudje srečajo pri povezavi domene po meri.
Ključni pojmi
| Pojem | Pomen |
|---|---|
| TLS | Transport Layer Security, šifrirni protokol za HTTPS. |
| SSL | Secure Sockets Layer, zastareli predhodnik TLS-ja. Ime še vedno živi. |
| Certifikat | Podpisana datoteka, ki povezuje domeno z javnim ključem. |
| Certifikacijska agencija (CA) | Organizacija, ki ji brskalniki zaupajo, da izdaja certifikate, na primer Let's Encrypt. |
| Preverjanje domene (DV) | Certifikat, ki dokazuje nadzor nad domeno — uporablja ga skoraj vsako spletno mesto. |
| Certifikat z nadomestnim znakom (wildcard) | Pokriva vse poddomene ene ravni, kot je *.primer.si. |
| Mešana vsebina | Stran HTTPS, ki nalaga nekatere vire prek navadnega HTTP-ja. Brskalniki to blokirajo ali opozorijo nanjo. |
| HSTS | Glava, ki brskalnikom sporoči, naj od takrat naprej vaše mesto vedno odpirajo prek HTTPS-ja. |
| Vrata 443 | Standardna vrata za HTTPS (HTTP uporablja vrata 80). |
Pogoste zmote
- »Ključavnica pomeni, da je spletno mesto zaupanja vredno.« Pomeni, da je povezava zasebna in da se domena ujema. Tudi goljufi dobijo certifikate.
- »HTTPS je potreben samo na straneh za plačilo.« Vsaka stran s prijavo, obrazcem ali piškotkom ga potrebuje — kar pomeni skoraj vsako aplikacijo. Uporabite ga povsod.
- »Certifikati so dragi.« Brezplačni, zaupanja vredni certifikati so običajni, večina gostiteljev pa jih upravlja namesto vas.
- »HTTPS naredi mojo aplikacijo varno.« Zavaruje povezavo. Vaša aplikacija še vedno potrebuje preverjanje dovoljenj na strežniku, varno ravnanje s skrivnostmi in preverjanje vnosov. Glejte kontrolni seznam varnosti za aplikacije, zgrajene z AI.
- »HTTPS upočasni spletna mesta.« Sodoben TLS doda zelo malo obremenitve, funkcije, ki spletna mesta pospešijo, kot je HTTP/2, pa v brskalnikih običajno zahtevajo HTTPS.
Odpravljanje pogostih težav s HTTPS-jem
| Simptom | Verjeten vzrok |
|---|---|
| »Vaša povezava ni zasebna« | Certifikat ne pokriva točno te domene, je potekel ali še ni bil izdan |
Deluje na www., ne pa na goli domeni (ali obratno) | Samo eno ime ima DNS in certifikat |
| Ni ključavnice, »Not secure« na nekaterih straneh | Mešana vsebina: slika, skript ali pisava naložena prek http:// |
| Napaka certifikata tik po povezavi domene | DNS se še širi ali pa pred domeno blokira preverjanje certifikata posrednik |
Kaj zahtevati od svojega graditelja z AI
- »Poskrbi, da se vsaka slika, skript in pisava naloži prek HTTPS-ja ali relativnega URL-ja — brez povezav
http://.« - »Preusmeri ves promet HTTP na HTTPS.«
- »Piškotke seje nastavi z oznakama
SecureinHttpOnly.« - »Za vse povratne klice OAuth, plačil in webhookov uporabi
https://.« - »Moja domena po meri prikazuje napako certifikata — kateri DNS zapis pričakuje gostitelj?«
HTTPS v Mythexu
Ko na Mythexu povežete domeno po meri (funkcija paketa Pro), dodate zapis CNAME, ki kaže na cilj slug.mythex.ai, ki vam ga pokaže Mythex, kliknete Verify in Mythex samodejno izda HTTPS za domeno. Dokumentacija pokrije dve najpogostejši težavi: če je vaš DNS na Cloudflaru, nastavite zapis na »DNS only« (siva oblaka) namesto proxyja, da lahko Mythex izda certifikat; DNS se lahko preveri, preden je HTTPS popolnoma nastavljen, zato počakajte nekaj minut in ponovno preverite. Glejte domene po meri v dokumentaciji in naš vodnik povezava domene po meri.
Vprašanja
Kakšna je razlika med HTTP in HTTPS?
HTTP pošilja podatke med brskalnikom in spletnim mestom kot berljivo besedilo. HTTPS je HTTP, poslan po šifrirani TLS povezavi, zato ljudje v istem omrežju ali na poti ne morejo prebrati ali spremeniti poslanega, brskalnik pa lahko preveri, da komunicira z dejanskim mestom.
Sta SSL in TLS isto?
TLS je sodobni naslednik SSL-ja. Vse različice SSL-ja so zastarele in nevarne, danes varna spletna mesta uporabljajo TLS. Ljudje še vedno govorijo »SSL certifikat« iz navade, certifikati pa se uporabljajo s TLS-om.
Ali ključavnica pomeni, da je spletno mesto varno?
Ne. Ključavnica pomeni, da je povezava šifrirana in da se certifikat ujema z domeno. Goljufivo spletno mesto lahko ima prav tako veljaven certifikat. Pove vam, da nihče ne more prisluškovati povezavi, ne pa, da je lastnik mesta zanesljiv.
Ali moram plačati za SSL certifikat?
Običajno ne. Brezplačne, avtomatizirane certifikacijske agencije, kot je Let's Encrypt, izdajajo certifikate, ki jim brskalniki zaupajo, večina gostiteljskih platform pa jih za vas pridobi in obnavlja. Plačljivi certifikati ponavadi prinesejo predvsem podporo ali dodatna preverjanja identitete.
Zakaj moje mesto piše Not Secure (Ni varno)?
Pogosti vzroki so odpiranje mesta prek http:// namesto https://, certifikat, ki je potekel ali ne pokriva točno te domene, ali stran, ki nalaga slike ali skripte prek navadnega http:// (mešana vsebina).