Šta su HTTPS i SSL? Kako bezbedni sajtovi rade, jednostavno
HTTPS je bezbedna verzija HTTP-a, protokola kojim pregledači razgovaraju sa sajtovima. Svaki zahtev i odgovor pakuje u šifrovanu vezu koristeći TLS (Transport Layer Security), pa niko između posetioca i sajta ne može da pročita niti izmeni ono što se šalje. SSL je stariji naziv za istu ideju, protokol koji je TLS zamenio, zbog čega ljudi i dalje kažu „SSL sertifikat“.
Zašto je HTTPS važan kada pravite aplikacije uz AI
Svaka aplikacija koju objavite treba da se služi preko HTTPS-a. To nije samo dobra praksa:
- Pregledači to očekuju. Sajtovi na običnom HTTP-u dobijaju oznaku „Not secure“, a neke funkcije pregledača, kao što su pristup lokaciji, kamera i mikrofon, i servisni radnici za aplikacije koje rade offline, uglavnom rade samo na bezbednim (HTTPS) stranicama.
- Prijave i obrasci. Bez HTTPS-a, lozinke, sesijski kolačići i podaci iz obrazaca putuju kao čitljiv tekst. Svako na istoj kafe Wi-Fi mreži bi ih potencijalno mogao uhvatiti.
- Plaćanja i spoljni servisi. Provajderi plaćanja, OAuth prijava i mnogi API-ji zahtevaju HTTPS adrese za preusmeravanje i povratni poziv.
- Poverenje i pretraga. Posetioci primete upozorenje, a Google je rekao da HTTPS tretira kao signal za rangiranje.
Dobra vest je da je na većini savremenih hosting platformi HTTPS podešen automatski. Ono što najčešće treba da razumete jesu delovi sistema, dovoljno da ga popravite kada prilagođeni domen ili upozorenje o mešanom sadržaju pođe po zlu.
Svakodnevna analogija
Slanje podataka preko običnog HTTP-a je kao slanje razglednice: svaki poštar koji je dotakne može da je pročita, pa čak i da promeni poruku.
HTTPS je kao slanje zapečaćene koverte koja pokazuje ako je neko otvorio, i pre toga proveravanje službene ličke karte primaoca. Sertifikat je ta lična karta, koju izdaje pouzdano sertifikaciono telo (certificate authority) nakon što je proverilo da sajt zaista kontroliše domen. Šifrovanje je zapečaćena koverta. Lična karta dokazuje da pišete pravoj adresi, a koverta čuva sadržaj u tajnosti.
Kako HTTPS radi, jednostavno
Kada pregledač otvori https://shop.example.com:
- Pozdrav. Pregledač se povezuje i kaže koje metode šifrovanja podržava.
- Sertifikat. Server šalje svoj sertifikat, u kojem piše „ovaj ključ pripada
shop.example.com“ i potpisan je od strane sertifikacionog tela. - Provera. Pregledač proverava potpis u odnosu na tela kojima već veruje, proverava da sertifikat nije istekao i da se domen poklapa.
- Ključevi. Pregledač i server se dogovore o novoj tajnoj vrednosti za ovu sesiju, bez da je ikada pošalju otvoreno.
- Šifrovan razgovor. Svi zahtevi i odgovori, stranice, podaci iz obrazaca i kolačići sada putuju šifrovani.
Ovo TLS rukovanje traje nekoliko milisekundi i odvija se automatski. Posetilac vidi ikonu lakata (ili, u nekim pregledačima, neutralnu ikonu informacija o sajtu).
Šta HTTPS štiti, a šta ne
| Štiti | Ne štiti |
|---|---|
| Podatke u prenosu između pregledača i servera | Podatke kada su već na vašem serveru ili u bazi podataka |
| Od prisluškivanja na javnom Wi-Fi-ju | Od zlonamernog ili prevarantskog sajta |
| Od menjanja stranica u toku prenosa | Od grešaka u vašoj aplikaciji, na primer nedostajućih provera dozvola |
| Kolačiće i lozinke dok se šalju | Od slabih lozinki ili procurelih API ključeva |
HTTPS šifruje sadržaj zahteva, uključujući putanju stranice i upitni niz. Ali naziv domena koji posećujete je obično i dalje vidljiv mrežama duž puta. Zato lične podatke nikada ne treba stavljati u URL-ove, jer završavaju u logovima i istoriji pregledača.
Radni primer: povezivanje prilagođenog domena
Recimo da objavljujete aplikaciju za rezervacije i želite da bude na book.myyogastudio.com:
- Dodajete DNS zapis koji pokazuje
book.myyogastudio.comna vaš hosting. Pogledajte kako rade domeni i DNS. - Hosting dokazuje sertifikacionom telu da kontroliše taj naziv, obično odgovaranjem na izazov na tom domenu, i dobija sertifikat.
- Hosting ga instalira i automatski obnavlja pre isteka. Sertifikati su namerno kratkog veka, pa je automatska obnova važna.
- Posetioci koji otvore
http://book.myyogastudio.compreusmeravaju se nahttps://.
Ako je prvi korak pogrešan, na primer zapis pokazuje drugde ili se u sredini nalazi proxy, drugi korak može da ne uspe i posetioci vide grešku sertifikata. To je najčešći HTTPS problem pri povezivanju prilagođenog domena.
Ključni pojmovi
| Pojam | Značenje |
|---|---|
| TLS | Transport Layer Security, protokol šifrovanja iza HTTPS-a. |
| SSL | Secure Sockets Layer, zastareli prethodnik TLS-a. Naziv se i dalje koristi. |
| Sertifikat | Potpisan fajl koji povezuje domen sa javnim ključem. |
| Sertifikaciono telo (CA) | Organizacija kojoj pregledači veruju da izdaje sertifikate, kao što je Let's Encrypt. |
| Provera domena (DV) | Sertifikat koji dokazuje kontrolu nad domenom, ono što gotovo svi sajtovi koriste. |
| Wildcard sertifikat | Pokriva sve poddomene jednog nivoa, kao *.example.com. |
| Mešani sadržaj | HTTPS stranica koja učitava neke resurse preko običnog HTTP-a. Pregledači to blokiraju ili upozoravaju. |
| HSTS | Zaglavlje koje govori pregledačima da od tada uvek koriste HTTPS za vaš sajt. |
| Port 443 | Standardni port za HTTPS (HTTP koristi port 80). |
Česte zablude
- „Lakat znači da je sajt pouzdan.“ Znači da je veza privatna i da se domen poklapa. Prevaranti takođe dobijaju sertifikate.
- „HTTPS je potreban samo na stranicama za plaćanje.“ Svaka stranica sa prijavom, obrascem ili kolačićem ga treba, a to je skoro svaka aplikacija. Koristite ga svuda.
- „Sertifikati su skupi.“ Besplatni, pouzdani sertifikati su standardni, a većina hostova ih upravlja umesto vas.
- „HTTPS čini moju aplikaciju bezbednom.“ On štiti vezu. Vaša aplikacija i dalje treba provere dozvola na serveru, bezbedno rukovanje tajnama i validaciju unosa. Pogledajte kontrolnu listu bezbednosti za aplikacije napravljene uz AI.
- „HTTPS usporava sajtove.“ Savremeni TLS dodaje vrlo malo opterećenja, a funkcije poput HTTP/2, koje ubrzavaju sajtove, u pregledačima uglavnom zahtevaju HTTPS.
Rešavanje čestih HTTPS problema
| Simptom | Verovatan uzrok |
|---|---|
| „Veza nije privatna“ | Sertifikat ne pokriva tačno ovaj domen, istekao je ili još nije izdat |
Radi na www., a ne na golom domenu (ili obrnuto) | Samo jedan naziv ima DNS i sertifikat |
| Nema lakata, „Not secure“ na nekim stranicama | Mešani sadržaj: slika, skripta ili font učitan preko http:// |
| Greška sertifikata odmah posle povezivanja domena | DNS se još širi, ili proxy ispred blokira proveru sertifikata |
Šta tražiti od AI alata za aplikacije
- „Proveri da se svaka slika, skripta i font učitavaju preko HTTPS-a ili relativnih adresa, bez
http://linkova.“ - „Preusmeri ceo HTTP saobraćaj na HTTPS.“
- „Postavi sesijske kolačiće sa zastavicama
SecureiHttpOnly.“ - „Koristi
https://za svaku OAuth, plaćanje i webhook povratnu adresu.“ - „Moj prilagođeni domen prikazuje grešku sertifikata. Koji DNS zapis hosting očekuje?“
HTTPS u Mythex-u
Kada povežete prilagođeni domen na Mythex-u (funkcija Pro plana), dodajete CNAME zapis koji pokazuje na slug.mythex.ai cilj koji vam Mythex prikaže, kliknete Verify, i Mythex automatski izdaje HTTPS za domen. Dokumentacija pokriva dve najčešće prepreke: ako je vaš DNS na Cloudflare-u, postavite zapis na „DNS only“ (siva oblak ikona), a ne na proxy, da bi Mythex mogao da izda sertifikat; i DNS može da se verifikuje pre nego što je HTTPS potpuno podešen, pa sačekajte nekoliko minuta i ponovo verifikujte. Pogledajte prilagođene domene u dokumentaciji i naš vodič o povezivanju prilagođenog domena.
Pitanja
Koja je razlika između HTTP-a i HTTPS-a?
HTTP šalje podatke između pregledača i sajta kao čitljiv tekst. HTTPS je HTTP poslat kroz šifrovanu TLS vezu, pa ljudi na istoj mreži ili na putu ne mogu da pročitaju niti promene ono što se šalje, a pregledač može da proveri da komunicira sa pravim sajtom.
Da li su SSL i TLS ista stvar?
TLS je savremeni naslednik SSL-a. Sve verzije SSL-a su zastarele i nebezbedne, a današnji bezbedni sajtovi koriste TLS. Ljudi i dalje kažu „SSL sertifikat“ iz navike, ali sertifikati se koriste uz TLS.
Da li lakat ikona znači da je sajt bezbedan?
Ne. Lakat znači da je veza šifrovana i da sertifikat odgovara domenu. Prevarantski sajt može imati važeći sertifikat. Znači da niko ne može da prisluškuje vezu, a ne da je vlasnik sajta pouzdan.
Da li moram da plaćam SSL sertifikat?
Obično ne. Besplatna, automatizovana sertifikaciona tela, kao što je Let's Encrypt, izdaju sertifikate kojima pregledači veruju, a većina hosting platformi ih nabavlja i obnavlja za vas. Plaćeni sertifikati uglavnom donose podršku ili dodatne provere identiteta.
Zašto moj sajt piše Not secure?
Česti uzroci su otvaranje sajta preko http:// umesto https://, sertifikat koji je istekao ili ne pokriva tačno taj domen, ili stranica koja učitava slike ili skripte preko običnog http:// (mešani sadržaj).