Co je HTTPS a proč je důležité pro bezpečnost na webu?

Publikováno: Autor:

HTTPS je zabezpečená verze webového protokolu HTTP, která chrání přenášená data pomocí šifrování. Zajišťuje bezpečnou komunikaci mezi uživatelem a webovou stránkou, a tím brání odposlechu, podvržení či zneužití informací. V dnešní době je HTTPS standardem pro každý důvěryhodný web.

Co je HTTPS protokol a proč je důležitý pro bezpečnost webu?
HTTPS je zabezpečená verze protokolu HTTP, který se používá pro komunikaci mezi webovým prohlížečem a serverem. HTTPS chrání přenášená data pomocí šifrování a zároveň umožňuje ověřit identitu webového serveru prostřednictvím TLS certifikátu. Starší označení SSL certifikát se stále běžně používá, technicky však dnešní HTTPS využívá především TLS.

S HTTPS se setkáte prakticky na každém moderním webu. Používá se například při přihlašování, odesílání kontaktních formulářů, nakupování v e-shopech nebo při komunikaci s internetovým bankovnictvím.

Co znamená HTTPS?
Zkratka HTTPS znamená Hypertext Transfer Protocol Secure. Jedná se o zabezpečenou variantu protokolu HTTP.

Při běžném HTTP může být komunikace mezi prohlížečem a serverem přenášena bez šifrování. HTTPS tuto komunikaci zabezpečuje pomocí protokolu TLS (Transport Layer Security).

Zjednodušeně lze říct:

  • HTTP = komunikace mezi prohlížečem a serverem,
  • HTTPS = zabezpečená komunikace mezi prohlížečem a serverem,
  • TLS = technologie, která zajišťuje šifrování a zabezpečení spojení,
  • TLS certifikát = certifikát používaný k ověření identity serveru a navázání zabezpečeného spojení.

Jak HTTPS funguje?
Když zadáte do prohlížeče adresu webu začínající na https://, prohlížeč se pokusí se serverem navázat zabezpečené spojení.

Během navazování spojení dochází mimo jiné k ověření certifikátu serveru a k vytvoření šifrovaného spojení. Následná komunikace mezi prohlížečem a serverem je chráněna před běžným odposlechem a neoprávněnou změnou přenášených dat.

HTTPS tedy pomáhá chránit například:

  • přihlašovací údaje,
  • hesla,
  • osobní údaje,
  • obsah kontaktních formulářů,
  • údaje o objednávkách,
  • informace o platbách,
  • další data přenášená mezi uživatelem a webem.

Proč je HTTPS důležité?
HTTPS je dnes základním bezpečnostním standardem webových stránek. Bez zabezpečeného spojení mohou být citlivá data během přenosu vystavena většímu riziku odposlechu nebo manipulace.

HTTPS je důležité především proto, že pomáhá zajistit:

  • důvěrnost komunikace – přenášená data jsou šifrována,
  • integritu dat – komunikace je chráněna před neoprávněnou změnou,
  • ověření serveru – certifikát pomáhá prohlížeči ověřit, s jakým serverem komunikuje,
  • vyšší důvěryhodnost webu – návštěvník vidí, že spojení je zabezpečené.

Je však důležité vědět, že samotné HTTPS neznamená, že je web automaticky důvěryhodný. I podvodný web může používat platný TLS certifikát. HTTPS zabezpečuje především spojení mezi uživatelem a serverem, nikoli pravdivost obsahu webu.

Jak poznat HTTPS na webu?
Nejjednodušší způsob je podívat se do adresního řádku prohlížeče.

Zabezpečený web používá adresu ve tvaru: https://www.example.cz

Zatímco nezabezpečený HTTP web používá: http://www.example.cz

Moderní prohlížeče mohou vedle adresy zobrazovat také symbol označující zabezpečené připojení. Konkrétní vzhled tohoto označení se může mezi prohlížeči lišit.

Co je TLS certifikát?
TLS certifikát je digitální certifikát, který je součástí zabezpečené komunikace HTTPS. Pomáhá prohlížeči ověřit identitu serveru a umožňuje navázání šifrovaného spojení.

Dříve se často používal pojem SSL certifikát. SSL je však starší technologie, která byla nahrazena modernějšími verzemi TLS. Přesto se označení SSL certifikát stále používá v běžné řeči i v nabídce některých hostingových služeb.

Provozovatel webu by měl zajistit, aby jeho certifikát byl platný, správně nakonfigurovaný a odpovídal používané doméně.

HTTPS a ochrana osobních údajů
HTTPS je důležitý také u webů, které zpracovávají osobní údaje. Pokud návštěvník zadává do formuláře jméno, e-mail, telefonní číslo nebo jiné informace, je vhodné zajistit bezpečný přenos těchto údajů.

U e-shopů a dalších služeb je zabezpečené spojení obzvlášť důležité. Přenášejí se zde například údaje o zákaznících, objednávkách a platbách.

HTTPS samo o sobě samozřejmě nezajišťuje kompletní soulad webu s GDPR. Je však jedním z důležitých technických opatření pro zabezpečení komunikace.

HTTPS a SEO
HTTPS má význam také z pohledu SEO. Vyhledávače dlouhodobě podporují bezpečnější webové prostředí a HTTPS je dnes standardem moderních webů.

Přechod z HTTP na HTTPS proto může být součástí technické optimalizace webu. Nelze však očekávat, že samotná instalace TLS certifikátu automaticky výrazně zlepší pozice ve vyhledávání.

SEO ovlivňuje celá řada dalších faktorů, například kvalita obsahu, technický stav webu, rychlost načítání, použitelnost, interní prolinkování nebo autorita webu.

HTTPS a webhosting
Při výběru webhostingu je vhodné ověřit, zda poskytovatel nabízí HTTPS a TLS certifikát. U mnoha moderních hostingů je certifikát k dispozici bez příplatku a jeho instalace může být automatizovaná.

Po aktivaci HTTPS je potřeba správně nastavit také přesměrování z HTTP na HTTPS, aby návštěvníci používali zabezpečenou verzi webu.

Pozornost je vhodné věnovat také takzvanému mixed content, kdy je samotná stránka načtena přes HTTPS, ale některé její zdroje jsou stále načítány přes nezabezpečené HTTP.

Je HTTPS úplně bezpečné?
HTTPS výrazně zvyšuje bezpečnost webové komunikace, ale není všemocné.

HTTPS například neochrání uživatele před:

  • phishingem,
  • škodlivým softwarem,
  • falešným obsahem webu,
  • krádeží hesla přímo ze zařízení,
  • podvodnými e-maily,
  • sociálním inženýrstvím.

Je proto chybou považovat samotný symbol zabezpečeného spojení za důkaz, že web není podvodný.

Útočník může vytvořit falešnou stránku a také na ni nasadit platný TLS certifikát. Uživatel proto musí kromě HTTPS kontrolovat také doménu a důvěryhodnost webu.

HTTP vs. HTTPS:

Vlastnost HTTP HTTPS
Šifrování komunikace Ne Ano
Ochrana přenášených dat Omezená Výrazně vyšší
TLS certifikát Ne Ano
Bezpečný přenos hesel Nevhodné řešení Ano
Vhodné pro moderní web Ne Ano
Vliv na důvěryhodnost webu Nižší Vyšší

Jak přejít z HTTP na HTTPS?

Pokud web stále používá pouze HTTP, je vhodné přechod na HTTPS řešit co nejdříve.

Obecný postup zahrnuje:

  1. získání a aktivaci TLS certifikátu,
  2. instalaci certifikátu na server,
  3. kontrolu funkčnosti HTTPS,
  4. přesměrování HTTP adres na HTTPS,
  5. kontrolu interních odkazů,
  6. opravu případného mixed content,
  7. kontrolu webu v nástrojích pro webmastery a analytice.

U běžného webhostingu může být celý proces výrazně jednodušší, protože poskytovatel některé kroky provádí automaticky.

Závěr: HTTPS je dnes standardem bezpečného webu
HTTPS protokol je základním prvkem bezpečnosti moderních webových stránek. Pomocí TLS chrání komunikaci mezi prohlížečem a serverem, šifruje přenášená data a pomáhá ověřovat identitu serveru.

HTTPS by dnes měl používat prakticky každý veřejný web, zejména pokud pracuje s přihlašovacími údaji, osobními údaji nebo jinými citlivými informacemi.

Zároveň ale platí, že HTTPS neznamená automaticky důvěryhodný web. Zabezpečené spojení chrání přenos dat, nikoli uživatele před podvodným obsahem. Proto je při návštěvě webů stále důležité kontrolovat správnou doménu a dávat pozor na phishing a další internetové podvody.