Vad är HTTPS och SSL? Så fungerar säkra webbplatser, förklarat enkelt

HTTPS är den säkra versionen av HTTP, protokollet som webbläsare använder för att prata med webbplatser. Det sveper in varje förfrågan och svar i en krypterad anslutning med TLS (Transport Layer Security), så att ingen mellan besökaren och webbplatsen kan läsa eller manipulera det som skickas. SSL är det äldre namnet på samma idé — det ursprungliga protokollet som TLS ersatte — och därför säger folk fortfarande ”SSL-certifikat”.

Varför HTTPS spelar roll när du bygger med AI

Alla appar du publicerar bör serveras över HTTPS. Det är inte bara god praxis:

• Webbläsare förväntar sig det. Sajter på vanlig HTTP märks ”Not secure”, och vissa webbläsarfunktioner — till exempel platsåtkomst, kamera och mikrofon, och service workers för offlineappar — fungerar i allmänhet bara på säkra (HTTPS-)sidor.
• Inloggningar och formulär. Utan HTTPS skickas lösenord, sessionscookies och formulärdata som läsbar text. Vem som helst på samma café-wifi skulle potentiellt kunna fånga dem.
• Betalningar och tredje part. Betalningsleverantörer, OAuth-inloggning och många API:er kräver HTTPS-omdirigerings- och callback-adresser.
• Förtroende och sök. Besökare lägger märke till varningen, och Google har sagt att de behandlar HTTPS som en rankingsignal.

Det goda: på de flesta moderna hostingplattformar sätts HTTPS upp automatiskt. Det du främst behöver är att förstå delarna tillräckligt väl för att kunna rätta till det när en egen domän eller en varning om blandat innehåll går fel.

En vardagsliknelse

Att skicka data över vanlig HTTP är som att skicka ett vykort: varje postarbetare som hanterar det kan läsa det, och någon kan till och med ändra meddelandet.

HTTPS är som att skicka ett förseglat kuvert som avslöjar manipulation — och först kontrollera mottagarens officiella legitimation. Certifikatet är den legitimationen, utfärdad av en betrodd myndighet (certifikatutfärdaren) som kontrollerat att webbplatsen verkligen styr domänen. Krypteringen är det förseglade kuvertet. Legitimationen bevisar att du skriver till rätt adress; kuvertet håller innehållet privat.

Hur HTTPS fungerar, enkelt

När en webbläsare öppnar https://shop.example.com:

1. Hej. Webbläsaren ansluter och säger vilka krypteringsmetoder den stöder.
2. Certifikat. Servern skickar sitt certifikat, som säger ”den här nyckeln tillhör shop.example.com” och är signerat av en certifikatutfärdare.
3. Kontroll. Webbläsaren verifierar signaturen mot myndigheter den redan litar på, kontrollerar att certifikatet inte har gått ut, och kontrollerar att domänen stämmer.
4. Nycklar. Webbläsare och server kommer överens om en ny hemlig nyckel för sessionen, utan att någonsin skicka den öppet.
5. Krypterad konversation. Alla förfrågningar och svar — sidor, formulärdata, cookies — färdas nu krypterat.

Detta TLS-handskakning tar några millisekunder och sker automatiskt. Besökaren ser bara hänglåsikonen (eller, i vissa webbläsare, en neutral ikon för webbplatsinformation).

Vad HTTPS skyddar och inte skyddar

HTTPS krypterar innehållet i förfrågningar, inklusive sidans sökväg och frågesträng. Men domännamnet du besöker är oftast fortfarande synligt för nätverk längs vägen. Det är en anledning till att aldrig lägga personuppgifter i URL:er — de hamnar också i loggar och webbläsarhistorik.

Ett praktiskt exempel: att koppla en egen domän

Säg att du publicerar en bokningsapp och vill att den ska ligga på book.myyogastudio.com:

1. Du lägger till en DNS-post som pekar book.myyogastudio.com till din värd. Se hur domäner och DNS fungerar.
2. Värden bevisar för en certifikatutfärdare att den kontrollerar namnet — vanligtvis genom att svara på en utmaning på domänen — och får ett certifikat.
3. Värden installerar det och förnyar det automatiskt innan det går ut. Certifikat är medvetet kortlivade, så automatisk förnyelse spelar roll.
4. Besökare på http://book.myyogastudio.com omdirigeras till https://.

Om steg 1 är fel — posten pekar någon annanstans, eller en proxy sitter mittemellan — kan steg 2 misslyckas och besökare ser ett certifikatfel. Det är det vanligaste HTTPS-problemet folk stöter på när de kopplar en egen domän.

Nyckeltermer

Vanliga missuppfattningar

• ”Hänglåset betyder att sajten är pålitlig.” Det betyder att anslutningen är privat och att domänen stämmer. Bedragare får också certifikat.
• ”HTTPS behövs bara för betalningssidor.” Varje sida med inloggning, formulär eller cookie behöver det — vilket är nästan varje app. Använd det överallt.
• ”Certifikat är dyra.” Gratis, betrodda certifikat är standard, och de flesta värdar sköter dem åt dig.
• ”HTTPS gör min app säker.” Det säkrar anslutningen. Din app behöver fortfarande behörighetskontroller på servern, säker hantering av hemligheter och indatavalidering. Se säkerhetschecklistan för AI-byggda appar.
• ”HTTPS gör sajter långsamma.” Modern TLS lägger till mycket lite overhead, och funktioner som HTTP/2 som gör sajter snabbare kräver i allmänhet HTTPS i webbläsare.

Att åtgärda vanliga HTTPS-problem

Vad du ska be din AI-byggare om

• ”Se till att varje bild, varje skript och varje typsnitt laddas över HTTPS eller med en relativ URL — inga http://-länkar.”
• ”Omdirigera all HTTP-trafik till HTTPS.”
• ”Sätt sessionscookies med flaggorna Secure och HttpOnly.”
• ”Använd https:// för varje OAuth-, betalnings- och webhook-callback-URL.”
• ”Min egen domän visar ett certifikatfel — vilken DNS-post förväntar sig värden?”

HTTPS i Mythex

När du kopplar en egen domän i Mythex (en Pro-funktion) lägger du till en CNAME-post som pekar på slug.mythex.ai-målet Mythex visar, klickar på Verify, och Mythex utfärdar HTTPS för domänen automatiskt. Dokumentationen täcker de två vanligaste hindren: om din DNS ligger hos Cloudflare, sätt posten till ”DNS only” (grå molnet) i stället för proxad, så att Mythex kan utfärda certifikatet; och DNS kan verifieras innan HTTPS är helt klart, så vänta några minuter och verifiera igen. Se egna domäner i dokumentationen och vår guide om hur du kopplar en egen domän.

Frågor