Protokół HTTP a HTTPS – jakie są różnice?

Protokół szyfrowania

Integralną częścią każdego adresu URL jest protokół komunikacji klienta z serwerem. Jest to informacja o sposobie przesyłania informacji oraz port, z jakim łączy się użytkownik Internetu. Dlatego też zastosowanie certyfikatu SSL ma ogromne znaczenie pod kątem bezpieczeństwa. Zapewnia on szyfrowanie danych w czasie uruchamiania strony i ich ochronę przed osobami trzecimi.

HTTPS czy HTTP?

Jeszcze kilka lat temu wielu właścicieli stron zastanawiało się, czy zastosować na swojej stronie protokół HTTPS, czy pozostać przy darmowym HTTP. Był to bowiem dodatkowy wydatek, który jeszcze nie miał takiego znaczenia jak dziś. Owszem, część użytkowników doceniała gwarancję bezpieczeństwa, jednak w powszechnej świadomości nie odgrywało to dużej roli.

Dzisiaj jednak nawet niewielkie serwisy często posiadają certyfikat SSL. Jest to bowiem pewien standard dzisiejszego Internetu, którego oczekują nie tyle internauci, ile automaty Google oraz przeglądarki internetowe. Informują one często o niebezpiecznym połączeniu i blokują dostęp do stron opartych na protokole HTTP.

Protokół HTTP

Nazwa protokołu jest skrótem angielskiej nazwy Hypertext Transfer Protocol. Jest to protokół bezstanowy, czyli nieprzechowujący żadnych informacji. Strony na nim oparte muszą korzystać z „ciasteczek” zapisanych na komputerze, aby przywrócić sesję strony.

Domyślnie korzystają one z nieszyfrowanego portu 80. Z tego powodu dane są narażone na łatwe przechwycenie przez osoby niepożądane. W szczególności chodzi tu o dane osobowe oraz hasła dostępu. Z tego powodu powoli odchodzi się od protokołu HTTP.

Protokół HTTPS

Nazwa protokołu jest podobna jak powyżej: Hypertext Transfer Protocol Secure. Istotny jest ostatni człon nazwy. Jest to bowiem protokół szyfrujący połączenie. Utrudnia to przechwycenie jakichkolwiek informacji i zapewnia bezpieczniejsze korzystanie z Internetu. Poza tym HTTPS działa podobnie jak jego poprzednik. Także potrzebuje ciasteczek do przechowywania informacji o uruchomionej sesji na stronie.

Już od wielu lat protokół ten funkcjonuje w kontekście internetowego dostępu do kont bankowych. Dzięki szyfrowaniu umożliwia w pełni bezpieczne logowanie się na własnym koncie oraz dokonywanie przelewów.

Różnice pomiędzy HTTP a HTTPS

Domyślny port w przypadku HTTP to 80, natomiast bezpieczne połączenie HTTPS wykorzystuje port 443. Pozwala to na uzyskanie szyfrowanego połączenia. Jednak sposób szyfrowania określony jest nie przez sam protokół, ale przez odpowiedni certyfikat SSL.

Choć wydaje się, że protokół HTTPS jest w pełni szyfrowany, nie wszystkie dane pozostają bezpieczne. Nadal można przechwycić adres IP komputera, na którym dana strona została uruchomiona. Ponadto należy pamiętać, że ochrona dotyczy jedynie odczytywania informacji wrażliwych przez osoby postronne. Użytkownik nadal jest narażony na wirusy i złośliwe oprogramowanie.

Korzyści z użycia protokołu HTTPS

Korzystanie z bezpiecznego połączenia HTTPS na swojej stronie ma wiele zalet, wśród których można wyróżnić:

• większe zaufanie do witryny ze strony użytkowników,
• spełnienie standardów RODO i innych przepisów o ochronie danych osobowych,
• lepsze pozycjonowanie strony,
• przeglądarki nie blokują dostępu do stron HTTPS.

Aktualnie cyberbezpieczeństwo to bardzo nośny temat i warto zadbać, aby strona wpisywała się w ten standard. Ułatwi to wypełnienie wielu zapisów prawa o ochronie danych osobowych, dzięki czemu właściciel nie będzie narażony na kary z tego tytułu. Ponadto użytkownicy mogą docenić to, że mogą w bezpieczny sposób korzystać z danej strony.

Jest to niezwykle ważne w przypadku sklepów i stron, gdzie pojawia się możliwość płacenia. Choć sam przelew najczęściej odbywa się przez bezpieczną stronę banku lub firmy odpowiedzialnej za płatności online, użytkownik może wybierać głównie sklepy posiadające certyfikat SSL.

Jak uruchomić HTTPS i ile to kosztuje?

Przede wszystkim należy zmienić protokół strony z HTTP na HTTPS. W tym celu potrzebny jest jednak certyfikat SSL, który wykupuje się na kilka lat. Przy tej okazji należy przejść krótki proces identyfikacji, aby wystawca certyfikatu wiedział, że zamówienie wyszło od strony właściciela. Osoby zamawiające certyfikat poprzez firmę hostingową, z której korzystają, mają ułatwiony ten etap, ponieważ weryfikacja odbywa się przez logowanie do swojego konta.

Istnieje jeszcze nowsze rozwiązanie w postaci certyfikatu TLS. Zapewnia on obecnie maksymalną możliwą ochronę danych osobowych.

Cena certyfikatów zaczyna się to około 100 złotych w podstawowej wersji. W ofercie firm często znaleźć można różne rozwiązania różniące się poziomem bezpieczeństwa oraz długością trwania. Rozróżnić można trzy podstawowe typy certyfikatu:

• DV, czyli Domain Validation, to podstawowa wersja zabezpieczenia strony. Korzystają z niej strony, w których użytkownik nie podaje żadnych danych wrażliwych (jak adres itd.).
• OV, Organization Validation, to nieco bardziej rozszerzone zabezpieczenia. Identyfikacja podmiotu w tym przypadku wykonywana jest starannie, a firma musi podać wyciąg z KRS lub umowę spółki. Zalecana jest przykładowo dla małych sklepów czy serwisów z płatnym dostępem.
• EV, Extended Validation, to pełne uwierzytelnienie typowe dla banków, instytucji finansowych oraz dużych sklepów internetowych.

Certyfikat SSL a SEO

Posiadanie certyfikatu SSL jest bardzo istotne także pod względem SEO. Informacja o tym została potwierdzona przez Google już w 2014 roku. Automaty preferują zaufane witryny, dlatego strona z certyfikatem będzie wyżej w wynikach, niż ta pracująca na protokole HTTP.

Przy przechodzeniu na HTTPS należy pamiętać o przekierowaniu na nowy protokół wszystkich podstron. Konieczna jest także aktualizacja obrazów w witrynie. Na koniec należy dodać portal do Google Search Console, aby została ona ponownie zaindeksowana.