Co je HTTPS: 6 důvodů, proč váš web musí být zabezpečený

Co je HTTPS a čím se liší od HTTP?

Když odešlete formulář přes HTTP, jeho obsah putuje po síti bez této ochrany. Kdo může provoz cestou sledovat nebo měnit, může údaje přečíst či do komunikace zasáhnout. HTTPS přenáší stejné požadavky a odpovědi přes šifrované spojení TLS.

Zabezpečení má smysl na veřejné Wi-Fi i doma. Vaše připojení je jen část cesty k serveru a zbytek nemáte pod kontrolou.

V administraci hostingu se obvykle setkáte s názvem „SSL certifikát“. Název se používá dál, ačkoli moderní HTTPS pracuje s novějším protokolem TLS. Certifikát umožňuje prohlížeči ověřit spojení s požadovanou doménou. Pouhé přepsání adresy na https:// nestačí: zabezpečené spojení musí podporovat a správně obsluhovat také server.

Proč má mít každý web HTTPS?

1. Chrání údaje návštěvníků během přenosu

Heslo nebo poptávka z formuláře nemají být cestou k serveru čitelné. HTTPS je šifruje. Chrání také soukromí při pouhém čtení webu: obsah navštívené stránky může prozradit zdravotní potíže nebo jinou citlivou situaci.

Úplnou anonymitu tím nezískáte. Historie zůstává v zařízení a provozovatel může údaje, které od vás přijal, dál ukládat.

2. Brání nepozorované změně obsahu cestou

Návštěvník má dostat stránku, kterou odeslal server. Ochrana přenosu pomocí TLS brání tomu, aby někdo na síti nepozorovaně přidal cizí formulář nebo škodlivý skript. To je užitečné i na webu, který zveřejňuje jen otevírací dobu.

Pokud je ovšem napadený samotný server, HTTPS jeho škodlivý obsah přenese také. Chrání cestu dat, ne stav aplikace na serveru.

3. Umožňuje ověřit spojení s požadovanou doménou

Prohlížeč kontroluje, zda je certifikát důvěryhodný, platný a vystavený pro název, ke kterému se připojujete. Varování před chybou certifikátu proto neodklikávejte jen proto, abyste se dostali na stránku.

I podvodný e-shop ale může mít platný certifikát pro svou vlastní adresu. Zabezpečené spojení není doporučením obchodu. Také proto Chrome nahradil ikonu zámku symbolem nastavení.

4. Odstraňuje varování před nezabezpečeným připojením

Prohlížeče upozorňují návštěvníky na nezabezpečené HTTP. Správným nastavením HTTPS odstraníte příčinu tohoto varování. Návštěvník pak nemusí řešit, proč web před odesláním formuláře hlásí nezabezpečené spojení.

Symboly se mezi prohlížeči liší. Při kontrole otevřete informace o spojení a sledujte případné chyby certifikátu, nejen přítomnost zámku.

5. Umožňuje používat některé funkce prohlížeče

Chcete, aby webová aplikace fungovala i bez připojení? Může k tomu používat service worker, který vyžaduje bezpečný kontext. Na veřejném webu to obvykle znamená HTTPS. Na HTTP se taková funkce nemusí vůbec spustit.

HTTPS přitom nenahrazuje souhlas uživatele s oprávněními aplikace. Výjimky pro lokální vývoj také nejsou důvodem nechat veřejný web na HTTP.

6. Patří k technickému základu webu pro vyhledávače

Google zahrnuje zabezpečené připojení mezi hlediska dobré uživatelské zkušenosti stránky. HTTPS proto patří i do technické správy webu pro vyhledávače. Samotný certifikát lepší pozice nezaručí a nenahradí užitečný obsah.

Při přechodu na HTTPS hlídejte hlavně správné adresy a přesměrování. Staré odkazy mají návštěvníky i vyhledávače dovést na odpovídající stránky.

Jak přejít z HTTP na HTTPS?

Nejdřív se podívejte do administrace hostingu. Poskytovatel často umí certifikát vystavit i automaticky obnovovat. Certifikáty od Let's Encrypt jsou zdarma; hosting nebo práce správce se mohou platit zvlášť. Na vlastním serveru musíte zajistit také nasazení a obnovu.

1. Zprovozněte certifikát pro používané názvy. Hlavní doména i varianta s www se mají otevřít přes HTTPS bez chyby, pokud používáte obě.
2. Přesměrujte staré HTTP adresy. Použijte trvalé serverové přesměrování na stejnou stránku přes HTTPS. Odkaz na článek nemá končit na úvodní stránce.
3. Aktualizujte adresy uvnitř webu. Při změně URL upravte interní odkazy, kanonické adresy i sitemapu.
4. Zkontrolujte soubory a formuláře. Obrázky, styly, skripty i cíle formulářů mají používat HTTPS. Staré adresy často zůstávají v šabloně nebo ručně vloženém kódu.
5. Projděte důležité stránky. Vyzkoušejte přihlášení, formulář a objednávku. Ověřte také automatickou obnovu certifikátu a určete, kdo bude řešit její případné chyby.

Kvůli HTTPS obvykle nemusíte měnit registrátora domény. Pokud zároveň stěhujete web, zkontrolujte i DNS záznamy, které jej směrují na nový server.

Proč nestačí mít HTTPS jen v adresním řádku?

Po přechodu může stránka přestat načítat obrázek nebo spouštět skript. Jednou z příčin je stará HTTP adresa v jejím kódu. Když stránka načtená přes HTTPS požaduje nezabezpečený soubor, jde o smíšený obsah, anglicky mixed content. Prohlížeč podle typu souboru požadavek převede na HTTPS, nebo jej zablokuje.

Projděte proto i podstránky, nejen úvodní stránku. V nástrojích pro vývojáře hledejte hlášení o mixed content. Soubor musí být dostupný přes HTTPS; pokud není, změňte jeho zdroj nebo jej odstraňte. Přesměrování hlavní stránky tyto adresy samo neopraví.

Jak ověřit HTTPS vlastní domény?

Při kontrole certifikátu a přesměrování sledujte platnost certifikátu a cílovou adresu webu. Ověřte název s www i bez něj, pokud používáte obě varianty. Každá musí fungovat správně.

Kontrola neprochází všechny podstránky, skripty ani formuláře. Z vložené URL používá název serveru, nikoli cestu. Zadáním adresy /objednavka/ tedy neotestujete objednávku; tu projděte přímo v prohlížeči.

Pokud se nepodaří ani najít server, začněte kontrolou DNS. Pravost DNS odpovědí ověřuje DNSSEC, které HTTPS doplňuje.

Často kladené otázky