HTTPS — это защищённая версия HTTP, протокола, с помощью которого браузер загружает сайты. Буква «S» означает, что соединение зашифровано с помощью TLS (Transport Layer Security — преемник SSL). Сегодня его использует почти каждый сайт, а браузеры предупреждают вас, если сайт работает без него.
От чего защищает HTTPS
- Конфиденциальность: никто в сети — например, владелец общественного Wi-Fi или ваш провайдер — не может прочитать страницы, пароли или данные форм, которые вы отправляете.
- Целостность: никто не может изменить страницу по пути, например внедрить рекламу или вредоносный код.
- Аутентификация: сертификат подтверждает, что сервер имеет право использовать это доменное имя.
Чего не доказывает замок
Замок означает: «ваше соединение с этим доменом зашифровано». Он не означает, что сайт честный. Фишинговые сайты тоже получают бесплатные сертификаты. Всегда проверяйте доменное имя в адресной строке: paypal.com.secure-login.example — это не PayPal.
Что HTTPS не скрывает
| Скрыто с помощью HTTPS | По-прежнему видно провайдеру или сети |
|---|---|
| Страницы, которые вы открываете на сайте | IP-адрес сайта |
| Данные форм и пароли | Обычно доменное имя (через DNS и TLS-рукопожатие) |
| Cookie и содержимое | Когда и сколько данных вы передаёте |
Чтобы скрыть и доменные имена, используйте зашифрованный DNS и VPN.
Как устанавливается TLS-соединение
- Браузер подключается к серверу и сообщает, какие версии TLS он поддерживает.
- Сервер отправляет свой сертификат, подписанный удостоверяющим центром (CA), которому доверяет браузер.
- Браузер проверяет подпись, доменное имя и срок действия.
- Стороны договариваются о ключах шифрования, и страница передаётся в зашифрованном виде.
С TLS 1.3 это занимает несколько миллисекунд.
Сертификаты
- Domain Validated (DV): подтверждает контроль над доменом. Бесплатно выдаётся Let's Encrypt и большинством хостингов. Используется на большинстве сайтов.
- Organization / Extended Validation (OV/EV): удостоверяющий центр дополнительно проверяет компанию. Браузеры больше не выделяют такие сертификаты на видном месте.
Владельцы доменов могут ограничить список удостоверяющих центров, которым разрешено выпускать сертификаты, с помощью записи CAA. Проверить её можно с помощью нашего DNS-запроса.
Проверьте заголовки безопасности сайта
HTTPS — это только начало. Заголовки вроде HSTS и Content-Security-Policy добавляют дополнительную защиту. Посмотреть заголовки любого сайта и их оценку можно в проверке HTTP-заголовков.
Предупреждения о сертификате
Если браузер показывает сообщение «Ваше подключение не защищено»:
- Срок действия сертификата мог истечь, или он не соответствует домену.
- В общественной сети Wi-Fi соединение может перехватывать страница авторизации (captive portal) или злоумышленник.
- На вашем компьютере могут быть неправильно установлены дата и время.
Не вводите пароли на странице, где появилось предупреждение о сертификате.
Часто задаваемые вопросы
SSL и TLS — это одно и то же?
TLS пришёл на смену SSL в 1999 году. Люди по-прежнему говорят «SSL-сертификат», но все современные сайты используют TLS.
Делает ли HTTPS сайт безопасным?
Он делает безопасным соединение. Содержимое сайта и намерения его владельцев — отдельный вопрос.
Влияет ли HTTPS на позиции в поиске?
Google учитывает HTTPS как небольшой фактор ранжирования, а Chrome помечает сайты на HTTP как «Не защищено».