Kui avad veebilehe ja aadressiribal on tabaluku ikoon, kasutab leht HTTPS-ühendust. Paljud ei mõtle sellele kunagi, kuid just HTTPS hoiab paroolid, kaardiandmed ja isikuandmed võõraste silmade eest kaitstuna. Ettevõttele on HTTPS tänapäeval kohustuslik miinimum: ilma selleta kuvavad brauserid hoiatusi ja külastajad lahkuvad. Selles artiklis selgitame, mis on HTTPS, kuidas see töötab ja mida veebilehe omanik peaks teadma.
Mis on HTTPS?
Eestikeelse Vikipeedia järgi on HTTPS (Hypertext Transfer Protocol Secure ehk turvaline hüperteksti edastusprotokoll) turvaline protokoll autenditud ja krüpteeritud info edastamiseks arvutivõrkudes. HTTP-ga võrreldes muudab selle turvalisemaks liikluse edastamine üle transpordikihi turbeprotokolli TLS või vanema SSL-i. HTTPS on HTTP laiendus, mille avaldas Netscape Communications 1995. aastal oma brauseri Netscape Navigator jaoks.
Mida HTTPS kaitseb?
HTTPS-i puhul toimub andmevahetus kasutaja ja veebiserveri vahel kolmandale osapoolele loetamatul kujul ning ühendus on kaitstud vahendajarünnete eest. Seetõttu kasutatakse HTTPS-i alati pangalehtedel, maksete tegemisel ja tundliku info edastamisel. Tänapäeval on see aga standard kõigil lehtedel, ka lihtsal ettevõtte tutvustuslehel, sest isegi kontaktivorm edastab isikuandmeid.
Kuidas HTTPS-i ära tunda?
HTTP-aadressid algavad “http://” ja kasutavad vaikimisi porti 80, HTTPS-aadressid algavad “https://” ja kasutavad porti 443. Brauserid näitavad turvalist ühendust tabaluku või muu ikooniga ning hoiatavad, kui leht seda ei kasuta. Vikipeedia rõhutab siiski olulist asja: HTTPS-ist olenemata tuleb kontrollida, kas URL on usaldusväärne ja veebiaadress vastab otsitavale sisule. Ka petulehel võib olla kehtiv sertifikaat.
Mida veebilehe omanik peab tegema?
- Hangi oma domeenile TLS-sertifikaat. Paljud majutusteenused pakuvad tasuta sertifikaate ja nende automaatset uuendamist.
- Suuna kogu HTTP-liiklus HTTPS-ile, et keegi ei satuks kogemata turvamata versioonile.
- Kontrolli, et lehe pildid, skriptid ja fondid laaditakse samuti HTTPS-i kaudu – vastasel juhul tekib segasisu hoiatus.
- Jälgi sertifikaadi aegumist. Aegunud sertifikaat kuvab külastajale suure hoiatuse.
- Uuenda serveri tarkvara, et kasutusel oleksid kaasaegsed TLS-i versioonid.
HTTPS ja otsingumootorid
Turvaline ühendus on ka kasutajakogemuse osa. Kui brauser kuvab hoiatuse “Ühendus ei ole privaatne”, lahkub enamik külastajaid kohe. Otsingumootorid eelistavad usaldusväärseid lehti ning HTTPS on tänapäeval tehnilise SEO baasnõue. Kui teed SEO-auditit, kontrolli esimeste asjade seas, et kõik lehe versioonid suunavad samale HTTPS-aadressile.
Korduma kippuvad küsimused
Kas HTTPS teeb lehe aeglasemaks?
Tänapäevastel serveritel on mõju tühine ja uuemad protokollid võivad lehe isegi kiiremaks teha.
Kas tasuta sertifikaat on piisav?
Enamiku lehtede jaoks jah; krüpteeringu tase on sama.
Tasuta sertifikaadid ja automaatne uuendamine
Varem oli TLS-sertifikaat tasuline ja selle paigaldamine tülikas, mistõttu paljud väiksemad lehed jäid HTTP peale. Olukord muutus, kui mittetulunduslik sertifitseerimiskeskus Let’s Encrypt hakkas pakkuma tasuta sertifikaate. Let’s Encrypt kasutab ACME-protokolli, mille abil server tõestab automaatselt, et kontrollib domeeni, ning saab sertifikaadi ja uuendab seda ise. Let’s Encrypti eesmärk on, et HTTPS-server saaks brauserite usaldatud sertifikaadi automaatselt ja ilma inimese sekkumiseta.
Kuidas domeeni kontroll tõestatakse
Let’s Encrypti selgituse järgi tõestab ACME-klient sertifitseerimiskeskusele esmalt, et veebiserver kontrollib domeeni. Esimesel suhtlusel loob klient uue kontovõtmepaari. Seejärel küsib klient sertifitseerimiskeskuselt, mida ta peab domeeni kontrolli tõestamiseks tegema, ja keskus esitab ühe või mitu väljakutset. Üks võimalus on paigutada domeeni alla kindlale aadressile määratud fail. Kui klient väljakutse täidab, saab ta domeenile sertifikaate taotleda või tühistada.
Levinud vead
Sage probleem on segasisu ehk olukord, kus leht laaditakse üle HTTPS-i, kuid pildid, skriptid või fondid tulevad endiselt HTTP kaudu. Brauser võib sellise sisu blokeerida või kuvada hoiatuse. Teine levinud viga on aegunud sertifikaat, mis tekib, kui automaatne uuendamine on katki. Kolmas on puuduv ümbersuunamine HTTP-lt HTTPS-ile. Kõiki neid saab vältida regulaarse kontrolliga.
Tabalukk ei tähenda usaldusväärsust
Oluline on meeles pidada, et HTTPS tagab ainult ühenduse turvalisuse, mitte lehe omaniku ausust. Ka petulehtedel on sageli kehtiv sertifikaat. Kontrolli alati aadressi õigekirja. Levinud petuskeemidega saab tutvuda Riigi Infosüsteemi Ameti viidatud ennetusportaalis itvaatlik.ee.
Kokkuvõttes on HTTPS tänapäeval iga veebilehe miinimumnõue. See on tasuta, lihtne seadistada ning kaitseb nii külastajaid kui ka lehe mainet.