Protokół HTTP a HTTPS – jaka jest różnica między nimi?

HTTP, czyli Hypertext Transfer Protocol, to podstawowy protokół wymiany informacji między przeglądarką użytkownika a serwerem, na którym znajduje się strona internetowa.

Protokół działa w modelu request–response (żądanie-odpowiedź). Klient – czyli przeglądarka – wysyła zapytanie o konkretną stronę, a serwer odpowiada, przesyłając pliki wskazanej witryny. Cała wymiana przebiega w sposób bezstanowy; każde żądanie jest traktowane przez serwer jako oddzielna, niezależna operacja. Serwer nie „pamięta” wcześniejszych interakcji z danym użytkownikiem… co da się obejść za pomocą plików cookies (jednak to już inny temat).

Ale najważniejszą cechą HTTP jest fakt, że jest to protokół nieszyfrowany. Wszystkie wymieniane informacje – dane logowania, formularze itd. – przesyłane są w postaci otwartego tekstu. A to oznacza, że można je łatwo przechwycić, na przykład przy użyciu techniki „man-in-the-middle”; zwłaszcza jeśli korzystasz z publicznych sieci Wi-Fi.

Sam protokół powstał w latach 90. i można śmiało powiedzieć, że jest jednym z symboli wczesnego internetu… ale też, że przechodzi raczej do historii. Bo wraz z rosnącą liczbą zagrożeń wyparł go już w większości jego bezpieczniejszy następca – HTTPS.

Podstawowe cechy:

• bezstanowość – każde żądanie klienta jest niezależne;
• model request-response – przeglądarka wysyła zapytanie, serwer odpowiada;
• brak szyfrowania – dane przesyłane są jako otwarty tekst;
• brak uwierzytelniania serwera;
• domyślny port komunikacyjny: 80

HTTPS, czyli Hypertext Transfer Protocol Secure, to rozwinięcie klasycznego protokołu HTTP o warstwę zabezpieczeń. Spełnia to samo zadanie, ale dokłada do tego szyfrowanie transmisji danych przez protokół SSL/TLS.

Warstwa ta działa – w uproszczeniu – następująco:

• najpierw uwierzytelnia serwer – czyli daje przeglądarce pewność, że łączy się z właściwą stroną internetową;
• zabezpiecza przesyłane dane – loginy, hasła, numery kart itd. – i generuje klucz szyfrujący, do którego dostęp mają wyłącznie dwie strony wymiany (czyli serwer i przeglądarka).

Obecnie do szyfrowania wykorzystuje się protokół TLS 1.3 – najnowszy i najbezpieczniejszy standard, który dodatkowo zwiększa szybkość komunikacji dzięki uproszczonemu procesowi uzgadniania kluczy.

HTTPS jest dziś już ogólnie przyjętym standardem. Korzystają z niego nie tylko witryny, które wymagają przesyłania jakichkolwiek danych osobowych (sklepy, banki itd.) - ale po prostu większość stron WWW; według W3Techs, 88,1% wszystkich witryn korzysta właśnie z szyfrowanego protokołu.

Podstawowe cechy:

• działanie w modelu request-response, bezstanowość – tak samo jak w przypadku HTTP;
• szyfrowanie informacji oraz uwierzytelnianie serwera za pomocą protokołu SSL/TLS – czyli ochrona przed przechwyceniem lub modyfikacją danych w trakcie wymiany;
• domyślny port komunikacyjny: 443

Mimo że Google faworyzuje strony z protokołem HTTPS, taka zmiana ma jeszcze inny pozytywny wpływ na pozycjonowanie stron internetowych.

Na poprawienie pozycji witryny może po prostu wpłynąć fakt, że użytkownicy wiedzą, że jest bezpieczna – przez co skorzystają z niej chętniej niż z konkurencyjnych stron bez certyfikatu SSL.

Według badania GlobalSign 84% konsumentów zrezygnowałoby z zakupu, gdyby dane zostały przesłane przez niezabezpieczone połączenie, a 82% osób w ogóle nie przegląda niezabezpieczonej witryny. Użytkownicy bardziej ufają bezpiecznym stronom, co wpływa pozytywnie na konwersję oraz ruch na stronie. Ponadto dzięki zachowywaniu danych witryny odsyłającej zwiększa się skuteczność Google Analytics.

Poprosiliśmy naszego specjalistę ds. SEO o komentarz dotyczący bezpieczeństwa stron internetowych.

Aby przejście na HTTPS nie było ryzykowne dla SEO, trzeba pamiętać o kilku rzeczach. Przede wszystkim:

• poinformuj Google o przejściu z HTTP na HTTPS, żeby szybciej osiągnąć obiecane przez Google wyższe rankingi;
• zdecyduj, jaki certyfikat SSL potrzebujesz i dla ilu domen;
• używaj względnych adresów URL;
• pamiętaj, aby nie blokować witryny HTTPS za pomocą plików robots.txt;
• upewnij się, że zezwalasz wyszukiwarkom na indeksowanie;
• najlepiej wykorzystaj narzędzia Google dla webmasterów do monitorowania przejścia z HTTP na HTTPS, by szybko reagować na ewentualne problemy.

Oto, co możesz zyskać, wdrażając protokół HTTPS:

Migracja z protokołu HTTP na HTTPS nie jest trudna, ale może zająć trochę czasu. Oto kroki, które należy podjąć:

1. Wybierz typ certyfikatu SSL – warto mieć na uwadze, że Google zaleca korzystanie z 2048-bitowych certyfikatów. Certyfikat SSL można kupić w firmie, z hostingu której korzystasz. Najczęściej pomoże ona także z wdrożeniem. Pamiętaj, aby na wszelki wypadek wykonać backup przed instalacją.
2. Stwórz mapę URL – przejrzyj witrynę, przekieruj wszystkie linki z http na https.
3. Zaktualizuj grafiki – upewnij się, że wszystkie obrazy i grafiki mają poprawny adres.
4. Zweryfikuj linki wewnętrzne i przekierowania – nie zapomnij o odnośnikach, których używasz w narzędziach służących do automatyzacji marketingu, np. mailingów.
5. Zaktualizuj linki zewnętrzne – pamiętaj o odświeżeniu linkowania w social mediach i reklamach płatnych.
6. Upewnij się, że narzędzia analizujące mają właściwe linki.
7. Dodaj stronę ponownie w Google Search Console.
8. Przygotuj plik robots.txt.
9. Monitoruj pozycję swojej strony – skup się przede wszystkim na kilku najlepszych podstronach i je kontroluj.
10. Przetestuj witrynę – obserwuj przez kilka dni, jak wygląda ruch na stronie po wprowadzonych zmianach, sprawdź, czy czegoś nie pominąłeś.

Na koniec wskazówka dla tych, którzy nie chcą przechodzić przez ten proces samodzielnie ani inwestować w droższe warianty certyfikatu SSL/TLS. Większość firm hostingowych oferuje obecnie w pakiecie darmowe certyfikaty Let’s Encrypt wraz z ich wdrożeniem; to dobra opcja, jeśli nie jesteś zobowiązany do ochrony danych certyfikatem klasy OV/EV.

Jeżeli stawiasz nową stronę lub odświeżasz starszą, wybór jest tylko jeden: HTTPS.

Witryny bez szyfrowanego połączenia nie dość, że nie są bezpieczne, to jeszcze odstraszają potencjalnych użytkowników ostrzeżeniami w przeglądarce i mają mniejsze szanse na dobre pozycje w Google. Więc nawet jeśli prowadzisz „tylko” prostą stronę-wizytówkę, warto zdecydować się choćby na darmowy certyfikat SSL/TLS.