HTTPS هو النسخة الآمنة من HTTP، البروتوكول الذي يستخدمه متصفحك لتحميل المواقع. ويعني حرف "S" أن الاتصال مشفّر باستخدام TLS (أمان طبقة النقل، خليفة SSL). واليوم يستخدمه كل موقع تقريبًا، وتحذّرك المتصفحات عندما لا يستخدمه موقع ما.
ما الذي يحميه HTTPS
- السرية: لا يستطيع أحد على الشبكة، مثل مشغّل شبكة Wi-Fi عامة أو مزوّد الإنترنت، قراءة الصفحات أو كلمات المرور أو النماذج التي ترسلها.
- السلامة: لا يستطيع أحد تغيير الصفحة في الطريق، كأن يحقن فيها إعلانات أو برامج ضارة.
- المصادقة: تثبت الشهادة أن الخادم مخوّل باستخدام اسم النطاق هذا.
ما الذي لا يثبته رمز القفل
يعني رمز القفل "اتصالك بهذا النطاق مشفّر". ولا يعني أن الموقع نزيه، فمواقع التصيد الاحتيالي تحصل هي أيضًا على شهادات مجانية. افحص دائمًا اسم النطاق في شريط العنوان: فالنطاق paypal.com.secure-login.example ليس PayPal.
ما الذي لا يخفيه HTTPS
| ما يخفيه HTTPS | ما يظل مرئيًا لمزوّد الإنترنت أو الشبكة |
|---|---|
| الصفحات التي تفتحها على الموقع | عنوان IP الخاص بالموقع |
| بيانات النماذج وكلمات المرور | اسم النطاق عادةً (عبر DNS ومصافحة TLS) |
| ملفات تعريف الارتباط والمحتوى | متى تنقل البيانات وكم حجمها |
ولإخفاء أسماء النطاقات أيضًا، استخدم DNS مشفّرًا وVPN.
كيف يبدأ اتصال TLS
- يتصل متصفحك بالخادم ويخبره بإصدارات TLS التي يدعمها.
- يرسل الخادم شهادته، الموقّعة من جهة إصدار شهادات (CA) يثق بها متصفحك.
- يتحقق المتصفح من التوقيع واسم النطاق وتاريخ انتهاء الصلاحية.
- يتفق الطرفان على مفاتيح التشفير، ثم تُرسل الصفحة مشفّرة.
ويستغرق ذلك بضعة أجزاء من الثانية مع TLS 1.3.
الشهادات
- التحقق من النطاق (DV): تثبت السيطرة على النطاق. وهي مجانية من Let's Encrypt ومعظم شركات الاستضافة، وتستخدمها معظم المواقع.
- التحقق من المؤسسة / التحقق الموسّع (OV/EV): تتحقق جهة إصدار الشهادات من الشركة أيضًا. ولم تعد المتصفحات تُبرز ذلك.
ويستطيع مالكو النطاقات تقييد جهات إصدار الشهادات المسموح لها بإصدار شهادات لنطاقهم عبر سجل CAA. افحصه باستخدام بحث DNS.
افحص ترويسات الأمان لموقع ما
HTTPS مجرد بداية. فترويسات مثل HSTS وContent-Security-Policy تضيف حماية أكبر. اطّلع على ترويسات أي موقع وتقييمها باستخدام فاحص ترويسات HTTP.
تحذيرات الشهادات
إذا عرض متصفحك "اتصالك ليس خاصًا":
- ربما انتهت صلاحية الشهادة، أو أنها لا تطابق النطاق.
- على شبكات Wi-Fi العامة، قد تعترض صفحة تسجيل دخول الشبكة (captive portal) أو مهاجمٌ الاتصال.
- ربما تكون ساعة جهازك غير مضبوطة.
لا تُدخل كلمات المرور في صفحة يظهر فيها تحذير شهادة.
الأسئلة الشائعة
هل SSL هو نفسه TLS؟
حلّ TLS محل SSL في عام 1999. ولا يزال الناس يقولون "شهادة SSL"، لكن كل المواقع الحديثة تستخدم TLS.
هل يجعل HTTPS الموقع آمنًا؟
يجعل الاتصال آمنًا. أما محتوى الموقع ونواياه فمسألة أخرى.
هل يؤثر HTTPS في ترتيب نتائج البحث؟
تستخدم Google بروتوكول HTTPS كإشارة ترتيب صغيرة، ويصف Chrome مواقع HTTP بأنها "غير آمن".