HTTPS, czyli Hypertext Transfer Protocol Secure, to bezpieczna wersja protokołu HTTP wykorzystywanego do przesyłania danych między przeglądarką internetową a serwerem. HTTPS zabezpiecza połączenie ze stroną internetową, wykorzystując protokół TLS do szyfrowania przesyłanych informacji. Dzięki temu dane przekazywane podczas korzystania z witryny są znacznie lepiej chronione przed przechwyceniem lub modyfikacją. HTTPS można rozpoznać po adresie zaczynającym się od „https://”, a współczesne przeglądarki zazwyczaj sygnalizują bezpieczne połączenie ikoną kłódki przy adresie strony. Jest to dziś podstawowym elementem bezpieczeństwa stron internetowych. Korzystają z niego sklepy, banki, serwisy informacyjne, media społecznościowe, wyszukiwarki itp.

Historia protokołu: od SSL do TLS

Historia HTTPS sięga połowy lat 90. XX wieku, kiedy Internet zaczął coraz szerzej wychodzić poza środowisko akademickie, a strony internetowe zaczęły przetwarzać informacje wymagające ochrony. Netscape Communications opracował dodatkową warstwę szyfrującą SSL, która pozwalała zabezpieczyć komunikację prowadzoną za pomocą HTTP. SSL 2.0 i SSL 3.0 umożliwiły między innymi bezpieczniejszy rozwój handlu internetowego. Z czasem SSL zostało zastąpione przez jego następcę – TLS, czyli Transport Layer Security.

Sam sposób funkcjonowania HTTPS został opisany w dokumencie RFC 2818 opublikowanym w maju 2000 roku. Jego autorem był Eric Rescorla, a dokument opisywał wykorzystanie TLS do zabezpieczenia połączeń HTTP. W tym rozwiązaniu HTTP zostaje umieszczone „nad” warstwą TLS, która odpowiada za ochronę komunikacji. Standardowo HTTPS wykorzystuje adresy rozpoczynające się od „https://” i port 443, podczas gdy tradycyjne, niezabezpieczone HTTP korzysta z portu 80.

Mechanizmy bezpieczeństwa i rola certyfikatu TLS

HTTPS zapewnia kilka istotnych mechanizmów bezpieczeństwa. Przede wszystkim szyfruje dane przesyłane pomiędzy urządzeniem użytkownika a serwerem. Ma to szczególne znaczenie podczas logowania do konta, zakupów internetowych, korzystania z bankowości elektronicznej czy przesyłania danych osobowych. Osoba, która przechwyci zaszyfrowaną komunikację, nie powinna być w stanie po prostu odczytać jej zawartości. TLS pomaga również wykryć zmianę przesyłanych danych oraz zweryfikować tożsamość serwera.

Ważną rolę odgrywa tutaj certyfikat TLS, często nadal potocznie nazywany certyfikatem SSL. Jest on powiązany z konkretną domeną i pozwala przeglądarce sprawdzić, czy łączy się z właściwym serwerem. Użytkownik nie musi samodzielnie włączać HTTPS w przeglądarce. Jeżeli dana strona jest prawidłowo skonfigurowana, wystarczy wejść na jej adres zaczynający się od „https://”. Za wdrożenie zabezpieczenia odpowiada właściciel lub administrator serwisu. Musi on skonfigurować serwer tak, aby obsługiwał połączenia TLS oraz uzyskać odpowiedni certyfikat dla domeny.

HTTPS a wiarygodność witryny

Samo HTTPS nie oznacza jednak, że każda strona jest bezpieczna pod każdym względem. Certyfikat potwierdza między innymi tożsamość domeny i zabezpiecza komunikację, ale nie gwarantuje, że właściciel strony jest uczciwy ani że znajdujące się na niej treści są wiarygodne. Oszuści również mogą korzystać z HTTPS, dlatego przy podejrzanych stronach warto sprawdzać dokładny adres domeny, a nie tylko obecność kłódki.

HTTPS pozwala bezpieczniej komunikować się ze stroną i ogranicza ryzyko przechwycenia przesyłanych informacji. Nie wymaga przy tym instalowania dodatkowego programu ani ręcznego uruchamiania zabezpieczenia.