HTTPS نسخهٔ امن HTTP است؛ پروتکلی که مرورگر شما برای بارگذاری وب‌سایت‌ها به کار می‌برد. حرف «S» یعنی اتصال با TLS (Transport Layer Security، جانشین SSL) رمزگذاری شده است. امروزه تقریباً همهٔ سایت‌ها از آن استفاده میکنند و مرورگرها وقتی سایتی از آن استفاده نکند به شما هشدار می‌دهند.
HTTPS از چه چیزی محافظت میکند
- محرمانگی: هیچ‌کس در شبکه، مانند گردانندهٔ یک Wi-Fi عمومی یا ISP شما، نمی‌تواند صفحات، رمزهای عبور یا فرم‌هایی را که می‌فرستید بخواند.
- یکپارچگی: هیچ‌کس نمی‌تواند صفحه را در مسیر تغییر دهد، مثلاً برای تزریق تبلیغات یا بدافزار.
- احراز هویت: گواهی ثابت میکند که سرور مجاز به استفاده از آن نام دامنه است.
علامت قفل چه چیزی را ثابت نمی‌کند
علامت قفل یعنی «اتصال شما به این دامنه رمزگذاری شده است». این به معنای صادق بودن سایت نیست. سایتهای فیشینگ هم گواهی رایگان می‌گیرند. همیشه نام دامنه را در نوار آدرس بررسی کنید: paypal.com.secure-login.example سایت PayPal نیست.
HTTPS چه چیزی را پنهان نمی‌کند
| پنهان‌شده با HTTPS | همچنان قابل مشاهده برای ISP یا شبکهٔ شما |
|---|---|
| صفحاتی که در سایت باز می‌کنید | آدرس IP سایت |
| داده‌های فرم و رمزهای عبور | معمولاً نام دامنه (از طریق DNS و TLS handshake) |
| کوکی‌ها و محتوا | زمان و حجم داده‌ای که منتقل می‌کنید |
برای پنهان کردن نام دامنه‌ها هم، از DNS رمزگذاری‌شده و یک VPN استفاده کنید.
اتصال TLS چگونه آغاز می‌شود
- مرورگر شما به سرور وصل می‌شود و می‌گوید از کدام نسخه‌های TLS پشتیبانی میکند.
- سرور گواهی خود را می‌فرستد که توسط یک مرجع صدور گواهی (CA) مورد اعتماد مرورگر شما امضا شده است.
- مرورگر امضا، نام دامنه و تاریخ انقضا را بررسی میکند.
- دو طرف بر سر کلیدهای رمزگذاری توافق میکنند و صفحه به‌صورت رمزگذاری‌شده ارسال می‌شود.
این کار با TLS 1.3 چند میلی‌ثانیه طول می‌کشد.
گواهی‌ها
- Domain Validated (DV): کنترل بر دامنه را ثابت میکند. از Let's Encrypt و بیشتر هاست‌ها رایگان است. بیشتر سایت‌ها از آن استفاده میکنند.
- Organization / Extended Validation (OV/EV): مرجع صدور گواهی، شرکت را هم بررسی میکند. مرورگرها دیگر این را به‌طور برجسته نشان نمی‌دهند.
صاحبان دامنه می‌توانند با یک رکورد CAA محدود کنند که کدام CAها مجاز به صدور گواهی باشند. آن را با جست‌وجوی DNS ما بررسی کنید.
هدرهای امنیتی یک سایت را بررسی کنید
HTTPS نقطهٔ شروع است. هدرهایی مانند HSTS و Content-Security-Policy محافظت بیشتری اضافه میکنند. هدرهای هر سایت و نمرهٔ آن را با بررسی‌کنندهٔ هدرهای HTTP ببینید.
هشدارهای گواهی
اگر مرورگر شما پیام «Your connection is not private» (اتصال شما خصوصی نیست) را نشان داد:
- ممکن است گواهی منقضی شده باشد یا با دامنه مطابقت نداشته باشد.
- در Wi-Fi عمومی، ممکن است یک captive portal یا یک مهاجم اتصال را رهگیری کند.
- ممکن است ساعت کامپیوتر شما اشتباه باشد.
در صفحه‌ای که هشدار گواهی دارد رمز عبور وارد نکنید.
سوالات متداول
آیا SSL همان TLS است؟
TLS در سال 1999 جایگزین SSL شد. مردم هنوز میگویند «گواهی SSL»، اما همهٔ سایتهای مدرن از TLS استفاده میکنند.
آیا HTTPS یک سایت را امن میکند؟
اتصال را امن میکند. محتوا و نیت سایت موضوع جداگانهای است.
آیا HTTPS بر رتبهٔ جستوجو اثر دارد؟
Google از HTTPS بهعنوان یک عامل رتبهبندی کوچک استفاده میکند و Chrome سایتهای HTTP را با «Not secure» (ناامن) علامتگذاری میکند.