Захищений протокол HTTPS – що це і чим краще звичайного HTTP

Вітаю, дорогі друзі!

У цій статті я розповім про протокол HTTPS: що це таке, які у нього переваги і недоліки, чим він кращий звичайного HTTP-протоколу. Обговоримо моменти пошукової оптимізації, я розповім, чому наявність цього протоколу у сайту безпосередньо впливає на позиції в пошуковій видачі. Загалом, в цьому матеріалі я розкрию цю тему максимально докладно. Давайте починати!

HTTPS – що це

Протоколи передачі даних використовуються, коли ці самі дані передаються через інтернет. Від сайту до користувача, від користувача до сайту, від сервера до іншого сервера і т. Д. Різні протоколи використовуються повсюдно, і кожен з них має свої особливості, які можуть безпосередньо впливати на якість переданих даних.

HTTP і HTTPS – це протоколи, які найбільш часто використовуються при роботі з різними веб-ресурсами. Сама абревіатура HTTP розшифровується як HyperText Transfer Protocol або протокол передачі гіпертексту. Використовувався цей протокол для передачі даних HTML-сторінок, тому коли мова заходить про веб-сайтах, люди завжди згадують ці літери.

HTTPS має схожу розшифровку. В кінці знаходиться буква S, яка розшифровується як Secure. Дане слово можна перекласти як безпеку або захист. Тобто абревіатура HTTPS розшифровується як захищений протокол передачі гіпертексту.

HTTP і HTTPS завжди можна бачити на початку посилань. Сама модель посилання має на увазі, що на самому початку завжди вказується протокол передачі даних. Якщо ви введете http, сайт відкриється за цим протоколом. Якщо https, браузер спробує відкрити його по захищеному каналу, однак це не завжди спрацює.

Тільки в тих випадках, коли у домену є спеціальний SSL-сертифікат. Про це я розповім трохи пізніше, зараз же ми трохи докладніше зупинимося на понятті захищеного з’єднання.

Звичайне HTTP-з’єднання дуже вразливе для різного роду перехоплень, хакерських атак, підміни і крадіжки даних. Тобто якщо ви будете працювати з сайтом, використовуючи цей вид протоколу, то є ймовірність, що при обміні даними ви отримаєте їх недостовірну копію. Також у вас є ризик втратити ту інформацію, яку ви передавали на сайт. В процесі обміну даними може втрутитися третя особа і отримати копію тієї інформації, яку ви передали сайту.

Говорячи простими словами, якщо ви введете свій пароль, дані від банківської карти, особисту інформацію або щось ще на сайті, який працює на HTTP-протоколі, то все це може бути викрадено третіми особами. За допомогою певних маніпуляцій вони зможуть втрутитися в процес обміну інформацією між вами і веб-ресурсами, після чого зробити все, що їм заманеться.

Мова йде не тільки про простий викраденні інформації. У деяких випадках хакерські атаки можуть завдавати значно більшої шкоди. Наприклад, хакери можуть заразити вірусами ваші пристрої і вивести їх з ладу. Те ж стосується серверів і сховищ особистої інформації користувачів.

Щоб вам було зрозуміліше, я приведу простий приклад. Уявіть, що є якийсь банк, сайти і сервери якого працюють на простому HTTP-протоколі без використання захисту, антивірусного ПО або брандмауера. Такий банк відразу потрапляє в поле зору зловмисників, і це означає, що є ризик злому і втрати всіх коштів на рахунках.

На цих рахунках зберігаються гроші не тільки банку, але і простих клієнтів, які звернулися до цієї організації з різних причин. Хтось хотів покласти свій капітал під відсоток, інші просто взяли кредит і зараз виплачують його, треті користуються виключно дебетовою карткою і розплачуються їй в магазинах.

В один момент зловмисники зламують банк, і всі ці люди відразу втрачають всі засоби. Банк не зможе виплатити їм гроші, тому що у нього самого їх не залишилося.

Тобто одна проста вразливість може привести до самої справжньої катастрофи. Навіть така дрібниця, як протокол передачі даних, може впливати на дуже багато речей. Те ж стосується і інших сфер. Простий HTTP-протокол піддає ризику веб-ресурси, які його використовують. Захищений варіант допомагає уникнути всіх цих проблем.

Різниця між HTTP і HTTPS

Найголовніший плюс HTTP-з’єднання – його зашифрованность. Вся інформація передається в зашифрованому вигляді, і розкрити ці відомості можуть тільки учасники обміну. Тобто якщо обмін даними за допомогою захищеного з’єднання йде між користувачем і веб-ресурсом, то вся інформація буде мати зашифрований вид. Якщо якась третя особа захоче побачити ці відомості, воно ніяк не зможе отримати їх в початковому вигляді.

Для шифрування інформації використовуються спеціальні ключі. Вони передаються від одного учасника обміну до іншого, і третя особа ніяк не може отримати доступ до цих ключам. Вся ця технологія обгрунтована математично, але розкривати її в подробицях не має сенсу. Головне, зрозуміти, що при використанні HTTPS всі дані передаються в захищеному вигляді.

Захищений тип з’єднання використовується не тільки при роботі з сайтами. Зараз дуже багато сервісів використовують різні варіанти шифрування, позбавляючи зловмисників можливості якось отримати доступ. Сама технологія шифрування даних має назву TLS . Про неї ви можете почитати докладніше на Вікіпедії.

Для використання захищеного протоколу ви повинні встановити спеціальний SSL-сертифікат. Такі сертифікати лунають певними центрами сертифікації, які повинні перевірити ваш ресурс на відповідність усім вимогам, після чого дати доступ до використання сертифіката. Кожен сертифікат має певний термін служби.

Якщо цей термін закінчується, то сайт паче не буде доступний по захищеному протоколу. При спробі з’єднання браузер видасть попередження, що даний сайт небезпечний, і його сертифікат закінчився.

SSL-сертифікат можна отримати у самих різних компаній. Причому їх існує кілька видів. Кожен вид призначає Він деякий рівень захищеності протоколу. Тобто самий початковий вигляд SSL можуть отримати практично будь-які сайти. Для отримання розширених варіантів доведеться проходити кілька етапів перевірок.

Під час цих перевірок весь сайт буде проаналізовано, також буде перевірена вся інформація, яка є на сайті. Вона повинні бути достовірною, законною і т. Д.

Тобто захищений протокол, крім простого шифрування даних, може виступати в ролі визначника надійності. У ненадійних ресурсів немає сертифіката. Вони просто не будуть його одержувати з тієї простої причини, що їм нема чого це робити. Якщо сайт хоче викрадати інформацію про користувачів (їх паролі та інші особисті дані), то установка сертифікату зробить цей процес неможливим.

Тому наявність у ресурсу HTTPS-з’єднання і зеленого замочка може говорити про надійність. По крайней мере, ресурс з SSL не зможе так просто перехопити вашу інформацію. Вона буде зашифрована навіть для власників сайту.

Але не завжди, тому що самий початковий сертифікат може отримати будь-який проект. Так, власник сайту в SSL не зможе у відкриту викрадати ваші дані. Але нічого не заважає йому давати вам брехливу інформацію або розводити вас на гроші. На жаль, таке теж можливо.

Розглянемо види SSL-сертифікатів.

• Початковий рівень (DV).

Цей вид сертифіката може отримати практично будь-який сайт без зайвих перевірок. Для підключення досить підтвердити, що сайт належить вам. Це робиться за допомогою записів в DNS, завантаження файлів в корінь сайту або якихось альтернативних способів. Ніяких перевірок сайту на віруси або достовірність інформації.

Саме з таким сертифікатом можна зустріти сайти найбільш часто. Він дешевий, його можна встановити буквально за кілька хвилин. У деяких випадках цей сертифікат використовується на ресурсах великих компаній, однак частіше вони замовляють установку більш просунутих версій SSL.

• Бізнес-рівень (OV).

Сертифікати цього рівня отримати набагато складніше. Як мінімум треба довести, що організація (бізнес або компанія), на домен якої встановлюється SSL, існує. Крім цього, потрібно довести, що домен належить саме цій організації. Після цього можна буде розраховувати на бізнес-рівень SSL.

Сертифікатами бізнес-рівня можна довіряти більше. Не кожен пройдисвіт зможе його отримати. Також такий SSL не зможуть отримати шахраї, тому як для цього їм доведеться створювати і реєструвати компанію. Причому на реальні дані. Хто із зловмисників захоче себе видавати? Думаю, ніхто.

Саме тому бізнес-сертифікати можуть говорити про більш високий клас надійності ресурсу, на якому вони встановлені. До речі кажучи, установка даного сертифіката обійдеться в чималу суму, ніж у випадку з початковим. Однак різниця в ціні не така суттєва.

• Розширений (EV).

Самий останній і максимальний з точки зору захисту SSL-сертифікат, який відрізняється не тільки дуже складною і довгої перевіркою, але і спеціальної особливістю, яка буде виділяти ваш ресурс на тлі інших. Я говорю про префікс, який буде видно прямо в браузері.

Цей префікс (як правило, назва компанії) буде говорити вашим клієнтам про статусності сайту. Далеко не кожен ресурс в інтернеті має таку сертифікатом, він дуже дорогий і складний в отриманні.

Важливою особливістю розширеного виду сертифікації є обмеження для фізичних осіб. Фізична особа не може отримати сертифікат такого типу для свого ресурсу, йому доведеться реєструвати юридичну. Це обумовлено все тією ж безпекою. Якщо сайт буде мати сертифікат, підтверджений і пов’язаний з юридичною особою, то ймовірність будь-якого шахрайства, махінацій або чогось ще мінімальна. Якщо ви зайдете на сайт якоїсь великої компанії, то в рядку пошуку можна буде побачити повну назву цієї компанії. Такий жест буде свідчити про те, що ви перейшли на справжній офіційний ресурс, а не якийсь там фейковий.

Ще однією фішкою, яка відрізняє розширений тип сертифікації від двох інших, можна вважати деяку індивідуальність. Наприклад, якщо ви будете сертифікувати якийсь домен за допомогою перших двох типів, то все піддомени автоматично теж отримають сертифікат. До них буде доступ через захищений протокол HTTPS, і ніяких проблем з цим виникнути не повинно.

Однак у випадку з розширеним SSL-сертифікат вам доведеться обламатися. Він видається тільки для одного домену, і все піддомени, які далі будуть створюватися на його базі, не зможуть використовувати цей сертифікат. Тобто для них доведеться реєструвати окремі. Частіше за все не розширені, тому що необхідність в цьому просто відпадає. Та й хто захоче платити великі гроші за реєстрацію фактично одного і того ж домена.

В іншому ж розширений тип SSL являє собою все той же, що і інші. Шифрування всіх даних за допомогою новітніх технологій, підтримка доменів на латиниці і кирилиці і т. Д.

Сертифікати бувають платні та безкоштовні. Платні різняться в ціні, все залежить від центру сертифікації та рівня SSL. Безкоштовні працюють на базі Let`s Encrypt – опенсорсний технології, яка просуває ідеї відкритості вихідного коду і безкоштовні сертифікати початкового рівня. Їх дуже легко отримати, зараз цю можливість має велику кількість хостингів і реєстраторів.

Також безкоштовний SSL від Let`s Encrypt можна отримати у посередників. Там вам доведеться самостійно додавати домен, підтверджувати своє володіння їм і отримувати ключі сертифіката. Потім ці ключі можна буде використовувати при установці на хостинг або на сайт реєстратора.

Більш докладно про те, як встановити та налаштувати SSL-сертифікат на своєму сайті я розповідав в окремій статті. Рекомендую перейти по посиланню і ознайомитися.

HTTPS і пошукова оптимізація

Тепер ми дійшли до моменту, коли я розповім, чому використання захищеного з’єднання строго обов’язково для всіх вебмайстрів. Не так важливо, якого типу ваш сайт: простий блог або цілий інтернет-магазин. Якщо ви просуваєте його через пошукові системи, то відсутність сертифіката буде просто колосально величезним недоліком.

Ні для кого не секрет, що зараз пошуковики прагнуть покращувати якість своєї роботи. Вони постійно вдосконалюють алгоритми, прагнуть враховувати поведінкові фактори, роблячи цей показник мало не найважливішим, постійно змінюють власні напрацювання та правила. Все це відбилося і на темі з зашифрованим протоколом. Якщо раніше в офіційних документах пошукових систем говорилося, що наявність або відсутність SSL на сайті ніяк не впливає на ранжування, то тепер все кардинально змінилося.

Так, прямого впливу тут немає і зараз, проте інші нововведення опосередковано можуть впливати на позиції ресурсу в пошукових системах. Зараз в браузерах, та й у самій пошуковій видачі можна все частіше зустріти формулювання “Ненадійний сайт”. Цю мітку отримують ті ресурси, які до сих пір працюють на HTTP.

Самі співробітники з ПС пояснюють це дуже просто: користувачі повинні знати, що їх інформація може бути викрадена. Позначаються такі проекти не тільки браузерами і пошуковими системами, але і антивірусним ПЗ. Воно також може повідомляти користувачеві, що сайт не використовує захищене з’єднання, а це значить, що вся інформація в будь-який момент може бути викрадена.

Пошукові системи поки просто ненав’язливо попереджають користувачів. Однак як це впливає на них – велике питання. Уявіть, що ви ввели в рядок пошуку якоїсь запит, і вам в результатах вилетіло кілька ресурсів. У першого ресурсу відсутній SSL, і сам пошуковик повідомляє вам про його ненадійність. Чи будете ви переходити на нього, враховуючи, що далі йдуть результати без цих позначок. Краще вже нічим не ризикувати і відразу перейти до нормального ресурсу з захищеним типом з’єднання, ніж минаючи всі попередження, заходити на підозрілий сайт.

Приблизно так буде міркувати левова частка користувачів, яка буде бачити ресурс з відповідною позначкою в результатах пошуку. До речі кажучи, якщо на цей ресурс ніхто не заходитиме, то він дуже швидко вилетить з топа. Його місце займуть проекти з хорошою оптимізацією, нормальними поведінковими чинниками, і що найголовніше, проекти без будь-яких позначок про ненадійність. Хоч ПС і кажуть, що прямого впливу на ранжування SSL не дає, але ніхто не виключає непрямого.

Саме тому всі SEO-фахівці зараз терміново рекомендують встановлювати SSL. Тим більше що це можна зробити буквально в пару кліків і абсолютно безкоштовно. На багатьох популярних хостингах дана функція вже встановлена, тому якщо ви тримаєте свій сайт, і у нього ще немає SSL-сертифіката, то я раджу його вам встановити.

Висновок

Я сподіваюся, що тепер ви розумієте, в чому різниця між HTTP і HTTPS. У цій статті я постарався докладно розкрити цю тему і розповісти вам про всі нюанси, які можуть бути з нею пов’язані. Все досить просто: використання захищеного з’єднання практично обов’язково для всіх сайтів.

Дані ваших користувачів повинні бути в безпеці, тому будь-які зволікання в цьому відношенні є неприпустимими. Тим більше що самі ПС почали боротися з ресурсами, у яких ще немає SSL. Прямий боротьби немає, але ефект від цього все одно присутній.