Co to jest HTTPS?

Podczas przeglądania stron internetowych warto zwracać uwagę na rodzaj zastosowanego protokołu. Dotyczy to w szczególności sytuacji, gdy podajemy poufne dane, np. login i hasło do konta bankowego czy też numer karty płatniczej. Jeśli witryna korzysta z HTTPS, nie ma wówczas powodów do niepokoju. Co cechuje ten protokół i dlaczego jest tak istotny?

Co to HTTPS? Definicja

HTTPS to skrót od Hypertext Transfer Protocol Secure, a w tłumaczeniu na polski jest to bezpieczny protokół przesyłania tekstu. Okazuje się, że litera S dodana do zwykłego HTTP zapewnia bardzo dużą różnicę. HTTPS znajduje zastosowanie przy zabezpieczaniu różnego rodzaju działań online, w szczególności takich jak korzystanie z internetowej bankowości czy robienie zakupów. Za sprawą tego protokołu możliwe jest bezpieczne poruszanie się po stronach www, gdy konieczne staje się podanie poufnych danych. Daje on użytkownikom pewność, że wpisywane przez nich informacje są w odpowiedni sposób chronione i osoby niepowołane nie otrzymają do nich dostępu.

Dlaczego warto zwracać uwagę na takie zabezpieczenia? Zanim podawane online informacje trafią do punktu docelowego, pokonują rozbudowaną infrastrukturę internetową. Istnieje ryzyko, że zostaną przechwycone przez specjalny program lub osobę trzecią i wykorzystane w nielegalny sposób, np. do oszustw finansowych. Protokół HTTPS zmniejsza to ryzyko, a tym samym umożliwia bezpieczniejsze korzystanie z internetu.

HTTP i HTTPS – czym się różnią?

HTTP i HTTPS to dwa różne protokoły. Ten pierwszy jest odpowiedzialny wyłącznie za przesyłanie oraz odczytywanie informacji, nie zapewnia ochrony danych. Z tego względu użytkownicy stron, na których stosuje się HTTP, są bardziej narażeni na ataki hakerskie. Protokół ten wykorzystuje się już od kilkudziesięciu lat. Zapewnia komunikację, w ramach której klient przesyła zapytanie, a serwer właściwe dane. HTTP należy do protokołów bezstanowych, co oznacza, że nie przechowuje informacji. Co prawda pozwala to na uniknięcie nadmiernego obciążenia serwera dużą ilością danych, jednak bywa kłopotliwe w przypadku kilkukrotnego korzystania z witryny (dlatego zastosowanie znajdują wtedy np. pliki cookies).

HTTPS jest bezpieczniejszą formą protokołu HTTP. Początkowo takie rozwiązanie stosowano głównie na stronach, gdzie użytkownicy musieli wpisywać wrażliwe dane. Były to więc witryny należące do banków, kantorów, sklepów online z płatnościami za pośrednictwem karty i te, gdzie wymagane było logowanie się za pomocą danych osobistych. Jednak obecnie z protokołu HTTPS korzysta niemal każdy serwis internetowy. Wynika to przede wszystkim z faktu, że zabezpieczona w ten sposób strona wzbudza większe zaufanie. Wpływa to też pozytywnie na SEO, więc witryna zyskuje szansę na lepszą pozycję w wyszukiwarce.

Protokoły HTTP i HTTPS różnią się ponadto domyślnym portem. Dla pierwszego będzie to 80, a dla drugiego 443. Coraz trudniej jest znaleźć witrynę, która nie korzystałaby z HTTPS. Dotyczy to też Google oraz wszystkich usług i aplikacji oferowanych przez przedsiębiorstwo. Jak podkreślają jego przedstawiciele, to skuteczne szyfrowanie jest podstawą bezpieczeństwa wszystkich osób korzystających z internetu. Aby sprawdzić, czy witryna stosuje unowocześniony protokół, wystarczy przyjrzeć się jej adresowi. Jego początek powinien stanowić przedrostek „https”. Obok niego można zauważyć też symbol zamkniętej kłódki. Dlaczego jest to tak istotne? Strona oparta na protokole HTTP nierzadko nie jest w pełni wiarygodna. Cyberprzestępcy wykorzystują go do różnego rodzaju ataków, takich jak phishing oraz spoofing.

Jak działa HTTPS?

Dane wysyłane za pośrednictwem HTTPS są chronione dzięki protokołowi SSL lub TLS. Każda wiadomość przesyłana między użytkownikiem, inaczej klientem, a serwerem (określoną stroną www) jest szyfrowana w obu kierunkach. Protokół SSL/TLS zawiera 3 podstawowe warstwy zabezpieczeń:

• Uwierzytelnianie – zapewnia ochronę przed atakami kryptologicznymi typu „człowiek pośrodku” („man in the middle”), które polegają na przechwytywaniu komunikatów wysyłanych między dwiema stronami. Ta warstwa jest potwierdzeniem komunikacji z odpowiednią stroną.
• Integralność danych – umożliwia wykrycie zmian oraz uszkodzeń danych dokonanych w trakcie ich wysyłania.
• Szyfrowanie – szyfruje dane, a więc zabezpiecza je przed odczytaniem przez osoby niepowołane. Tym samym użytkownik nie musi się obawiać, że ktoś będzie śledzić wykonywane przez niego działania na stronie czy wykradnie podawane informacje.

W przypadku HTTP wszystko, co jest wysyłane i odbierane przez ten protokół, ma format zwykłego tekstu. To ułatwia przechwycenie informacji. Warstwa zabezpieczeń SSL/TLS w HTTPS szyfruje dane, zapewniając im w ten sposób ochronę. Nawet jeżeli ktoś zdoła je przechwycić, napotka problem podczas ich odczytania. Sesja HTTPS rozpoczyna się od ustanowienia bezpiecznego połączenia między klientem a serwerem. Dochodzi wówczas do wzajemnego zweryfikowania tożsamości oraz uzgodnienia protokołów szyfrowania, aby umożliwić przesyłanie danych.

HTTPS – jak włączyć?

Skonfigurowanie strony pod kątem protokołu HTTPS nie musi być kłopotliwe, zwłaszcza gdy opiera się na takim systemie CMS jak WordPress. W jego przypadku należy zainstalować odpowiednią wtyczkę (np. Really Simple SSL lub WP Force SSL) i połączyć ją z aktywowanym wcześniej certyfikatem SSL. Aby go uzyskać, konieczne jest zgłoszenie się do urzędu certyfikacji i późniejsze zainstalowanie na hostingu. Urząd weryfikuje, czy wskazany adres internetowy rzeczywiście należy do konkretnej firmy. Do wyboru są różne rodzaje certyfikatu:

• pojedynczy, służący do zabezpieczenia jednego adresu www,
• do zabezpieczenia kilku domen o wskazanych adresach,
• z symbolem wieloznacznym, do zabezpieczenia adresu z dynamicznymi subdomenami.

Jeżeli strona www nie powstała w oparciu o system CMS dający możliwość instalacji wtyczki SSL, do wdrożenia HTTPS można wykorzystać przekierowanie 301 w pliku .htaccess. To pozwoli na wymuszenie adresu szyfrowanego, wyposażonego w przedrostek https://. Bardzo często firmy hostingowe oferują swoim klientom pomoc w instalacji certyfikatu SSL, co pozwala uniknąć wykonywania wszystkich czynności samodzielnie.

Włączając HTTPS, trzeba również zadbać o to, aby roboty Google mogły poprawnie indeksować witrynę. W tym celu warto skorzystać z narzędzia do sprawdzania adresów URL, jest dostępne m.in. w Search Console. Ponadto niewskazane jest blokowanie dostępu do strony HTTPS poprzez plik robots.txt, jak również stosowanie tagów noindex. Należy pamiętać, że przeniesienie strony ze starego protokołu HTTP Google traktuje jako migrację połączoną ze zmianą adresu URL. To oznacza, że stosowne zmiany trzeba dodatkowo wprowadzić w Search Console i Analytics (jeśli witryna jest połączona z tymi narzędziami).

Czy protokół HTTPS wpływa na pozycjonowanie?

Dla Google wdrożenie protokołu HTTPS jest pozytywnym sygnałem rankingowym. To komunikat, że witryna dba o bezpieczeństwo użytkowników. Z tego powodu wypozycjonowanie strony z aktywnym certyfikatem SSL jest łatwiejsze. Oczywiście nie należy oczekiwać, że od razu po włączeniu HTTPS witryna ulegnie znaczącej poprawie pod kątem SEO. Niemniej w dłuższej perspektywie przyniesie to korzystne zmiany.

Warto podkreślić, że protokół HTTPS wpływa pozytywnie także na współczynnik odrzuceń i konwersję. Popularne przeglądarki często utrudniają nawiązanie połączenia z witrynami HTTP poprzez wyświetlenie komunikatu, że mogą być niebezpieczne. Wielu użytkowników zniechęca się, widząc tego typu informację i postanawia się wycofać, a następnie znaleźć inną witrynę, lepiej zabezpieczoną. Nie wszystkie osoby mają ochotę wyświetlić zawartość strony, gdy od samego początku mają świadomość, że nie zapewnia całkowitej ochrony przesyłanym danym. Zmniejsza to ruch i przyczynia się do utraty zaufania wobec firmy, co nierzadko tworzy sporo problemów, w szczególności gdy jest to np. sklep internetowy. Użytkownik, który nie chce narażać się na przechwycenie wrażliwych danych (w szczególności numeru swojej karty kredytowej), prawdopodobnie zrezygnuje ze złożenia zamówienia i postanowi znaleźć inną, bardziej wiarygodną platformę sprzedażową.

Oczywiście sama konfiguracja protokołu HTTPS i certyfikatu SSL nie sprawi, że strona trafi na szczyt wyników wyszukiwania w Google. Nie jest też powiedziane, że zawsze trzeba decydować się na takie rozwiązanie. Mogą zrezygnować z tego np. właściciele blogów, którzy nie wymagają od użytkowników podawania danych wymagających zabezpieczenia. Niemniej każdy, kto chciałby, aby jego strona była jak najlepiej widoczna w wynikach wyszukiwania, powinien przemyśleć wdrożenie HTTPS. Podsumowując, najważniejsze korzyści płynące z takiej decyzji to:

• Ułatwione pozycjonowanie – Google i pozostałe wyszukiwarki promują witryny, które zapewniają bezpieczeństwo. To jeden z czynników rankingowych i choć nie jest najistotniejszy, to mimo wszystko odgrywa ważną rolę.
• Pozytywny wpływ na UX – komunikat o możliwym zagrożeniu skutecznie zniechęca do przeglądania strony. Symbol zamkniętej kłódki potwierdzający protokół HTTPS poprawia wrażenia użytkowników, zwiększając wiarygodność witryny i jednocześnie prawdopodobieństwo, że zostaną w jej obrębie na dłużej.
• Pewność co do bezpieczeństwa danych – właściciel strony ze stosownymi zabezpieczeniami nie musi obawiać się o dane podawane przez użytkowników. HTTPS i SSL chronią poufne informacje, których przechwycenie przez osoby trzecie negatywnie wpłynęłoby na wizerunek firmy.
• Szansa na większą sprzedaż – dla platform sprzedażowych bezpieczny protokół jest niemal obowiązkowy. Jego brak może znacząco ograniczyć sprzedaż ze względu na obawy użytkowników, co stanie się z wysyłanymi przez nich informacjami. HTTPS zwiększa poziom bezpieczeństwa i zachęca do zrobienia zakupów.
• Kreowanie pozytywnego wizerunku – dbanie o ochronę danych udostępnianych przez osoby korzystające z witryny sprawia, że firma jest lepiej postrzegana. Odbiorcy doceniają ją za zapewnienie bezpieczeństwa i nabierają do niej zaufania.

Semcore