پروتکل HTTPS
HTTPS — HTTP SecureHTTPS نسخهٔ امن HTTP است که ارتباط میان مرورگر و سرور را رمزنگاری میکند. همان قفل کوچکی که کنار نشانی سایت میبینید. امروز استاندارد پیشفرض وب است و مرورگرها سایتهای بدون آن را ناامن علامت میزنند.
سه چیزی که تضمین میکند
HTTPS سه تضمین متفاوت میدهد که اغلب با هم اشتباه گرفته میشوند:
- محرمانگی. کسی که در مسیر ارتباط قرار دارد — ارائهدهندهٔ اینترنت، مدیر شبکهٔ وایفای عمومی — نمیتواند محتوای رد و بدل شده را بخواند.
- یکپارچگی. داده در مسیر قابل دستکاری نیست. بدون آن، شبکهٔ واسط میتوانست تبلیغ به صفحات تزریق کند یا فایل دانلودی را عوض کند.
- احراز هویت سرور. اثبات میکند که واقعاً به سروری وصل شدهاید که دامنهاش را تایپ کردهاید، نه به سروری که خودش را جای آن جا زده.
قفل سبز به معنی «این سایت معتبر و قابل اعتماد است» نیست. فقط یعنی ارتباط شما با آن سایت رمزنگاری شده. یک سایت کلاهبرداری هم میتواند و معمولاً دارد گواهی معتبر داشته باشد. قفل، امنیت مسیر را تضمین میکند نه صداقت مقصد را.
چطور کار میکند؟
پیش از شروع تبادل داده، مرورگر و سرور یک «دستدادن» انجام میدهند:
- مرورگر به سرور وصل میشود و میگوید از چه روشهای رمزنگاری پشتیبانی میکند.
- سرور گواهی خود را میفرستد؛ سندی دیجیتال که مالکیت دامنه را تأیید میکند.
- مرورگر بررسی میکند گواهی را نهاد معتبری صادر کرده، منقضی نشده و برای همان دامنه است.
- دو طرف روی یک کلید رمزنگاری مشترک توافق میکنند.
- از این پس همهٔ دادهها با آن کلید رمزنگاری میشوند.
مرحلهٔ سوم کلیدی است. اعتماد بر پایهٔ زنجیرهای از نهادهای صدور گواهی بنا شده که مرورگر از قبل آنها را میشناسد. اگر گواهی نامعتبر باشد، مرورگر هشدار میدهد.
چه چیزی را پنهان نمیکند؟
رمزنگاری محتوا را میپوشاند، اما همهچیز را نه. کسی که ترافیک شبکهٔ شما را میبیند، همچنان میتواند اینها را بفهمد:
- اینکه به کدام دامنه وصل شدهاید. نام سایت در بخشی از فرایند اتصال و در پرسوجوی DNS قابل مشاهده است — مگر آنکه از پروتکلهای رمزنگاریشدهٔ تازهتر استفاده کنید.
- زمان و حجم ارتباط. اینکه چه ساعتی و چقدر داده رد و بدل کردهاید.
- نشانی IP شما و سرور.
آنچه پنهان میماند: مسیر دقیق صفحهای که باز کردهاید، محتوای صفحه، اطلاعاتی که در فرمها وارد میکنید، و کوکیها.
برای مدیران سایت
امروز HTTPS یک انتخاب نیست، یک الزام است. دلایل:
- مرورگرها سایتهای بدون آن را صریحاً «ناامن» علامت میزنند که اعتماد کاربر را از بین میبرد.
- یک سیگنال — هرچند کوچک — در رتبهبندی موتورهای جستوجوست.
- بسیاری از قابلیتهای مدرن مرورگر فقط روی اتصال امن کار میکنند.
- گواهی امروز رایگان و صدورش خودکار است، پس بهانهٔ هزینه منتفی است.
نکات پیادهسازی که اغلب فراموش میشوند:
- همهٔ ترافیک را هدایت کنید. نسخهٔ رمزنگارینشده باید بهصورت دائمی به نسخهٔ امن هدایت شود.
- مراقب محتوای مختلط باشید. اگر صفحهای امن، تصویر یا اسکریپتی را از مسیر ناامن بارگذاری کند، مرورگر هشدار میدهد یا آن را مسدود میکند.
- تمدید خودکار گواهی را فعال کنید. گواهی منقضیشده باعث میشود مرورگر صفحهٔ هشدار تمامصفحه نشان دهد و عملاً سایت از دسترس خارج شود.
- نشانیهای داخلی را بهروز کنید تا لینکها مستقیماً به نسخهٔ امن اشاره کنند و زنجیرهٔ هدایت اضافی ایجاد نشود.
پرسشهای متداول دربارهٔ پروتکل HTTPS
SSL و TLS چه فرقی دارند؟
TLS جانشین SSL است و نسخههای قدیمی SSL سالهاست بهدلیل آسیبپذیری کنار گذاشته شدهاند. با اینکه امروز عملاً همهجا از TLS استفاده میشود، نام SSL از سر عادت باقی مانده — مثلاً وقتی میگویند «گواهی SSL» منظور گواهی TLS است.
آیا گواهی گرانتر امنیت بیشتری میدهد؟
از نظر قدرت رمزنگاری، خیر؛ همه یکساناند. تفاوت در سطح راستیآزمایی هویت صادرکننده و در پوشش بیمهای است. برای اکثریت قاطع سایتها، گواهی رایگان با اعتبارسنجی دامنه کاملاً کافی است.
اگر سایتم فرم و ورود ندارد، باز هم لازم است؟
بله. حتی برای سایت کاملاً خواندنی، رمزنگاری از تزریق تبلیغ و دستکاری محتوا در مسیر جلوگیری میکند و مانع هشدار «ناامن» مرورگر میشود. ضمناً حریم خصوصی خواننده را حفظ میکند — اینکه دقیقاً چه صفحهای را خوانده، دیده نمیشود.
وقتی مرورگر هشدار گواهی میدهد چه کنم؟
از آن رد نشوید، مخصوصاً اگر قرار است اطلاعات حساسی وارد کنید. این هشدار یعنی هویت سرور قابل تأیید نیست — که هم میتواند اشتباه پیکربندی باشد و هم نشانهٔ حملهٔ واقعی. در شبکههای عمومی، احتمال دوم را جدی بگیرید.
اصطلاحات همخانوادهٔ اینترنت و وب
مشاهدهٔ همه ←- اینترنتاینترنت شبکهای جهانی از شبکههای کوچکتر است که با قواعد ارتباطی مشترک به هم وصل شدهاند. نکتهای که اغلب اشتباه گرفته میشود: اینترنت زیرساخت است و وب فقط یکی از سرویسهایی است که روی آن اجرا میشود.
- وبوب یا شبکهٔ جهانی، سامانهای از اسناد بههمپیوسته است که روی اینترنت اجرا میشود. ایدهٔ بنیادیاش ابرپیوند است: امکان پریدن از هر سند به سند دیگر با یک کلیک، بدون اینکه مهم باشد آن سند روی کدام سرور در کدام کشور است.
- وبسایتوبسایت مجموعهای از صفحات بههمپیوسته است که زیر یک دامنه منتشر میشوند و معمولاً هدف و مالک مشترکی دارند. هر سایت روی سروری میزبانی میشود و از طریق مرورگر با نشانیاش در دسترس است.
- مرورگر وبمرورگر وب نرمافزاری است که فایلهای یک صفحهٔ وب را دریافت میکند، تفسیر میکند و آن را به تصویری که میبینید تبدیل میکند. مرورگر امروز فقط نمایشگر سند نیست؛ عملاً یک سیستمعامل کوچک است که برنامههای کامل را اجرا میکند.
- موتور جستوجوموتور جستوجو سامانهای است که صفحات وب را جمعآوری و فهرستبندی میکند و سپس در پاسخ به عبارت کاربر، مرتبطترین آنها را مرتبشده نمایش میدهد. برخلاف تصور، هنگام جستوجو کل وب گشته نمیشود؛ فقط فهرست از پیش ساختهشدهٔ آن جستوجو میشود.
- URLURL نشانی یکتای یک منبع روی وب است — همان چیزی که در نوار نشانی مرورگر میبینید. هر URL دقیقاً میگوید با چه پروتکلی، به کدام سرور، و برای گرفتن کدام فایل باید مراجعه شود.
برای درک کاملتر، اینها را هم بخوانید
- پروتکل HTTPHTTP پروتکلی است که قواعد گفتوگوی مرورگر با سرور وب را تعیین میکند: مرورگر درخواست میفرستد، سرور پاسخ میدهد. تقریباً هر صفحهای که باز میکنید، حاصل دهها درخواست و پاسخ بر پایهٔ همین پروتکل است.
- مرورگر وبمرورگر وب نرمافزاری است که فایلهای یک صفحهٔ وب را دریافت میکند، تفسیر میکند و آن را به تصویری که میبینید تبدیل میکند. مرورگر امروز فقط نمایشگر سند نیست؛ عملاً یک سیستمعامل کوچک است که برنامههای کامل را اجرا میکند.
- DNSDNS سامانهای است که نامهای خوانای وب را به نشانیهای عددی سرورها ترجمه میکند. بدون آن، برای باز کردن هر سایتی باید رشتهای از اعداد را حفظ میکردید. به همین دلیل گاهی آن را «دفترچه تلفن اینترنت» مینامند.