وقتی در اینترنت گشت و گذار می کنید، حتما متوجه شده اید که آدرس برخی سایت ها با http:// و برخی دیگر با https:// شروع می شود. شاید هم دیده باشید که کنار آدرس برخی سایت ها یک قفل کوچک (معمولا سبز یا خاکستری) وجود دارد و مرورگر به شما می گوید که این سایت «امن» (Secure) است.
تفاوت این دو پروتکل فقط در یک حرف «S» نیست؛ بلکه تفاوت بین «باز گذاشتن در خانه» و «قفل کردن آن با پیشرفته ترین سیستم های امنیتی» است. در این مقاله به زبان ساده بررسی می کنیم که این دو چه فرقی دارند و چرا باید به آن اهمیت دهید.
پروتکل HTTP چیست؟
کلمه HTTP مخفف Hypertext Transfer Protocol (پروتکل انتقال ابرمتن) است. این پروتکل زبان مشترکی است که مرورگر شما (مثل کروم یا فایرفاکس) و سرور سایت با هم صحبت می کنند تا متن، عکس و ویدیو را به شما نشان دهند.
مشکل HTTP چیست؟ در پروتکل HTTP، اطلاعات به صورت متن ساده (Plain Text) رد و بدل می شود. بیایید یک مثال بزنیم: فرض کنید شما در یک کلاس درس هستید و می خواهید یک پیام محرمانه به دوستتان در آن طرف کلاس بفرستید. اگر پیام را روی یک کاغذ بنویسید و دست به دست به دوستتان برسانید، هر کسی که در مسیر است می تواند کاغذ را باز کند و پیام شما را بخواند.
در دنیای اینترنت هم همینطور است. اگر در یک سایت HTTP شماره کارت بانکی یا رمز عبور خود را وارد کنید، هکرها می توانند در میانه راه اطلاعات شما را شنود کنند (Sniffing) و دقیقا همان چیزی که تایپ کرده اید را ببینند.
پروتکل HTTPS چیست؟
کلمه HTTPS مخفف Hypertext Transfer Protocol Secure است. آن حرف «S» آخر، نشانه امنیت (Security) است.
در این پروتکل، از یک لایه امنیتی به نام SSL/TLS استفاده می شود تا اطلاعات رمزگذاری شوند. برگردیم به مثال کلاس درس. در حالت HTTPS، شما پیام خود را با یک زبان رمزی عجیب و غریب می نویسید (مثلا: xd58#f9!mk) و آن را داخل یک جعبه قفل دار می گذارید. حالا حتی اگر همکلاسی هایتان جعبه را در مسیر بگیرند، نه کلید را دارند و نه می توانند معنی آن نوشته های عجیب را بفهمند. فقط دوست شما کلید را دارد.
در سایت های HTTPS، اطلاعات شما (مثل رمز عبور) قبل از خروج از کامپیوترتان رمزگذاری می شود و فقط در سرور مقصد رمزگشایی می شود.
مقایسه دقیق: تفاوت های اصلی این دو پروتکل
حالا که مفهوم کلی را فهمیدیم، بیایید تفاوت های فنی و کاربردی آن ها را مورد به مورد بررسی کنیم:
۱. تفاوت در امنیت (مهم ترین فاکتور) در پروتکل HTTP امنیت وجود ندارد و هر کسی در شبکه (مثل صاحب وای فای رایگان کافه) می تواند اطلاعات شما را ببیند. اما در HTTPS اطلاعات کاملا رمزگذاری شده و برای هکرها غیرقابل خواندن است.
۲. تفاوت در پورت اتصال پورت ها مثل درهای ورودی سرور هستند. پروتکل HTTP به صورت پیش فرض از پورت 80 استفاده می کند، در حالی که HTTPS به صورت پیش فرض از پورت 443 استفاده می کند.
۳. تفاوت در نمایش مرورگر وقتی وارد یک سایت HTTP می شوید، مرورگرهای جدید (مثل کروم) کنار آدرس می نویسند Not Secure (امن نیست) و گاهی با رنگ قرمز هشدار می دهند. اما در سایت های HTTPS، یک علامت قفل (Padlock) کنار آدرس نمایش داده می شود که نشانه امنیت است.
۴. تاثیر در سئو و گوگل گوگل اهمیت زیادی به امنیت کاربران می دهد. اگر سایت شما HTTPS داشته باشد، در نتایج جستجو رتبه بهتری می گیرد. در مقابل، سایت های HTTP ممکن است با افت رتبه مواجه شوند.
۵. نیاز به گواهینامه SSL سایت های HTTP نیاز به هیچ تنظیم خاصی ندارند. اما برای داشتن HTTPS، صاحب سایت باید حتما یک «گواهینامه SSL» تهیه کرده و روی سرور نصب کند.
چرا باید همین امروز به HTTPS مهاجرت کنیم؟
اگر صاحب یک وب سایت هستید و هنوز از HTTP استفاده می کنید، شما در خطر بزرگی هستید:
۱. از دست دادن اعتماد کاربران: وقتی کاربر وارد سایت شما می شود و با هشدار قرمز “Not Secure” روبرو می شود، احتمالا بلافاصله سایت را می بندد و خرید نمی کند. ۲. افت رتبه در گوگل: رقبای شما با HTTPS از شما جلو می زنند. ۳. سرعت بیشتر: نسخه جدید پروتکل وب یعنی HTTP/2 که بسیار سریع تر است، فقط روی سایت های دارای HTTPS کار می کند.
سوالات متداول
آیا داشتن HTTPS یعنی سایت ۱۰۰ درصد ضد هک است؟
خیر. HTTPS فقط امنیت «انتقال اطلاعات» بین کاربر و سایت را تامین می کند. اگر خودِ سرور سایت ویروسی باشد یا رمز مدیریت سایت ضعیف باشد، سایت همچنان قابل هک شدن است. اما HTTPS جلوی دزدی اطلاعات در مسیر را می گیرد.
آیا تبدیل سایت به HTTPS هزینه دارد؟
در گذشته گواهینامه های SSL گران بودند، اما امروزه شرکت های هاستینگ و سرویس هایی مثل Let's Encrypt گواهینامه SSL را به صورت رایگان در اختیار شما قرار می دهند. البته برای سایت های بانکی و بزرگ، نسخه های پولی با بیمه و اعتبار بالاتر وجود دارد.
آیا HTTPS سرعت سایت را کم می کند؟
در گذشته بله، چون رمزگذاری و رمزگشایی کمی زمان می برد. اما امروزه با تکنولوژی های جدید و ظهور پروتکل HTTP/2، سایت های HTTPS معمولا سریع تر از سایت های معمولی بارگذاری می شون
چطور بفهمم یک فروشگاه اینترنتی معتبر است؟
اولین قدم چک کردن HTTPS و علامت قفل است. دومین قدم کلیک روی نماد ای نماد (Enamad) است. هیچ وقت در سایتی که http است (بدون s) اطلاعات کارت بانکی خود را وارد نکنید.
نتیجه گیری
دوران HTTP به پایان رسیده است. امروزه HTTPS دیگر یک ویژگی لوکس نیست، بلکه یک استاندارد اجباری است. چه یک کاربر عادی باشید که می خواهد خرید اینترنتی کند، و چه مدیر یک سایت باشید، وجود HTTPS ضامن امنیت و حریم خصوصی شماست. همیشه قبل از وارد کردن اطلاعات کارت بانکی یا رمز عبور، نیم نگاهی به نوار آدرس بیندازید و به دنبال آن قفل کوچک و حرف «S» بگردید.
