Що таке HTTPS і SSL? Як працюють безпечні сайти, простими словами

HTTPS — це безпечна версія HTTP, протоколу, яким браузери спілкуються з сайтами. Він загортає кожен запит і відповідь у зашифроване з'єднання за допомогою TLS (Transport Layer Security), тож ніхто між відвідувачем і сайтом не може прочитати або підмінити надіслане. SSL — це старша назва тієї ж ідеї, протоколу, яким замінили TLS, тому люди й досі кажуть «SSL-сертифікат».

Чому HTTPS важливий, коли ви створюєте з ШІ

Будь-який застосунок, який ви публікуєте, має працювати через HTTPS. Це не лише добра практика:

• Браузери цього очікують. Сайти на звичайному HTTP позначаються як «Не безпечно», а деякі функції браузера, як-от доступ до геолокації, камери й мікрофона або service workers для офлайн-застосунків, як правило, працюють лише на безпечних (HTTPS) сторінках.
• Входи та форми. Без HTTPS паролі, сесійні cookie і дані форм передаються у вигляді тексту, який можна прочитати. Будь-хто в тій самій мережі кав'ярні потенційно може їх перехопити.
• Платежі та сторонні сервіси. Платіжні провайдери, вхід через OAuth і багато API вимагають URL для переадресації та зворотного виклику через HTTPS.
• Довіра і пошук. Відвідувачі помічають попередження, а Google заявляв, що враховує HTTPS як сигнал ранжування.

Добра новина: на більшості сучасних хостинг-платформ HTTPS налаштовується автоматично. Вам здебільшого потрібно розуміти частини достатньо, щоб виправити це, коли власний домен або попередження про змішаний вміст дають збій.

Повсякденна аналогія

Надсилання даних через звичайний HTTP схоже на відправлення листівки: кожен поштовий працівник, який її бере, може її прочитати, а хтось навіть може змінити повідомлення.

HTTPS — це запечатаний конверт, який не можна непомітно відкрити, і перед відправленням ви перевіряєте документ одержувача. Сертифікат — це цей документ, виданий довіреним органом (центром сертифікації), який перевірив, що сайт справді контролює домен. Шифрування — це запечатаний конверт. Документ доводить, що ви пишете за правильною адресою; конверт зберігає вміст приватним.

Як працює HTTPS, простими словами

Коли браузер відкриває https://shop.example.com:

1. Привітання. Браузер підключається і повідомляє, які методи шифрування він підтримує.
2. Сертифікат. Сервер надсилає свій сертифікат, у якому сказано «цей ключ належить shop.example.com» і підписано центром сертифікації.
3. Перевірка. Браузер перевіряє підпис за органами, яким уже довіряє, перевіряє, що сертифікат не прострочений, і що домен збігається.
4. Ключі. Браузер і сервер погоджують новий секретний ключ для цієї сесії, ніколи не надсилаючи його відкрито.
5. Зашифрована розмова. Усі запити та відповіді — сторінки, дані форм, cookie — тепер передаються в зашифрованому вигляді.

Цей TLS-handshake триває кілька мілісекунд і відбувається автоматично. Відвідувач бачить лише значок замочка (або, в деяких браузерах, нейтральний значок інформації про сайт).

Що HTTPS захищає, а що ні

HTTPS шифрує вміст запитів, включно зі шляхом сторінки і рядком запиту. Але ім'я домену, яке ви відвідуєте, зазвичай залишається видимим для мереж на шляху. Саме тому ніколи не варто передавати персональні дані в URL: вони однаково потрапляють у журнали та історію браузера.

Робочий приклад: під'єднання власного домену

Скажімо, ви публікуєте застосунок для бронювання і хочете, щоб він був на book.myyogastudio.com:

1. Ви додаєте DNS-запис, що вказує book.myyogastudio.com на ваш хостинг. Див. як працюють домени та DNS.
2. Хост доводить центру сертифікації, що контролює цю назву, — зазвичай відповідаючи на перевірку на цьому домені — і отримує сертифікат.
3. Хост встановлює його й автоматично продовжує до закінчення строку. Сертифікати навмисно короткоживучі, тож автоматичне продовження важливе.
4. Відвідувачів http://book.myyogastudio.com перенаправляє на https://.

Якщо крок 1 зроблено неправильно — запис вказує деінде або перед сервером стоїть проксі — крок 2 може не пройти, і відвідувачі побачать помилку сертифіката. Це найпоширеніша проблема з HTTPS, з якою стикаються під час під'єднання власного домену.

Ключові терміни

Поширені хибні уявлення

• «Замочок означає, що сайт надійний». Він означає, що з'єднання приватне і домен збігається. Шахраї теж отримують сертифікати.
• «HTTPS потрібен лише на сторінках оплати». Будь-яка сторінка з входом, формою чи cookie його потребує — а це майже кожен застосунок. Просто використовуйте його всюди.
• «Сертифікати дорогі». Безкоштовні довірені сертифікати є стандартом, і більшість хостів керують ними за вас.
• «HTTPS робить мій застосунок безпечним». Він захищає з'єднання. Вашому застосунку все одно потрібні перевірки доступу на сервері, безпечна робота з секретами і валідація вхідних даних. Див. чекліст безпеки для застосунків, створених з ШІ.
• «HTTPS уповільнює сайти». Сучасний TLS додає дуже мало накладних витрат, а функції на кшталт HTTP/2, що прискорюють сайти, у браузерах зазвичай вимагають HTTPS.

Виправлення типових проблем із HTTPS

Що попросити у вашого конструктора ШІ

• «Переконайся, що кожне зображення, скрипт і шрифт завантажуються через HTTPS або відносний URL — жодних посилань http://.»
• «Переадресовуй увесь трафік HTTP на HTTPS.»
• «Став для сесійних cookie прапорці Secure і HttpOnly.»
• «Використовуй https:// для кожного URL зворотного виклику OAuth, платежів і webhook.»
• «Мій власний домен показує помилку сертифіката — який DNS-запис очікує хост?»

HTTPS у Mythex

Коли ви під'єднуєте власний домен у Mythex (функція Pro), ви додаєте запис CNAME, що вказує на ціль slug.mythex.ai, яку показує Mythex, натискаєте Verify, і Mythex автоматично видає HTTPS для домену. У документації описано два найпоширеніші підводні камені: якщо ваш DNS на Cloudflare, встановіть запис як «Лише DNS» (сіра хмарка), а не проксійований, щоб Mythex міг видати сертифікат; а DNS може пройти перевірку ще до повного налаштування HTTPS, тому почекайте кілька хвилин і перевірте ще раз. Див. власні домени у документації та наш посібник як під'єднати власний домен.

Запитання