HTTPSyhteys

HTTPS-yhteys on Hypertext Transfer Protocol Secure -yhteys, jossa tavallinen HTTP-viestinvaihto kulkee kryptatun TLS- (aiemmin SSL-) kerroksen kautta. TLS tarjoaa salaamisen, eheyden ja todentamisen, jotta kolmas osapuoli ei pysty kuuntelemaan, muuntelemaan eikä esittämään identiteettiä.

TLS-kättelyssä (handshake) asiakas ja palvelin neuvottelevat protokollan version ja käytettävän salausalgoritmin sekä vaihtavat avaimet istunnon suojaamiseksi. Palvelin esittää varmenteen, jonka avulla asiakas voi todentaa palvelimen domainin. Varmenteen myöntää luotettava sertifikaattiviranomainen (CA) osana julkisen avaimen infrastruktuuria. Kun kättely on valmis, syntyy salattu istuntoväylä, ja seuraavat HTTP-viestit kulkevat tämän avaimen avulla salattuina.

HTTPSin keskeiset turvallisuusominaisuudet ovat salaus, eheyden suojaus ja palvelimen todentaminen. Salaus suojaa tiedot liikkeellä olevilta epärehellisiltä katselijoilta, eheyden tarkistaa, ettei viesteihin ole luvattomasti tehty muutoksia, ja todentaminen varmistaa, että käyttäjä kommunikoi oikean palvelimen kanssa. Eri palvelinsovelluksissa on käytössä lisäominaisuuksia, kuten forward secrecy (ephemeral-avainvaihto), HSTS-tuki sekä mahdolliset sertifikaattivarmennukset (DV/OV/EV) ja pinnaaminen.

Versioista yleisimmät nykyään ovat TLS 1.2 ja TLS 1.3. TLS 1.3 parantaa sekä turvallisuutta että suorituskykyä vähentämällä käynnistyksiä ja poistamalla osa vanhoista, heikommista vaihtoehdoista. HTTPSin toteutuksessa on tärkeää oikein hallinnoida sertifikaatteja, varmentamisjonoja sekä yhteensopivuutta asiakkaiden kanssa, jotta yhteydet ovat aina luotettavia ja nopeita.

Rajoitukset ja riskit liittyvät muun muassa luotettaviin CA-tietoihin, sertifikaattien vanhenemiseen, mixed content -ilmiöön sekä mahdollisiin konfiguraatiovirheisiin. Käyttäjä voi huomata merkkejä HTTPS-yhteydestä selaimen osoiterivillä, mutta värilliset varoitukset ja sivupaneelit voivat vaihdella. HTTPS vähentää korvaamattomasti palveluiden riskejä verkkoliikenteessä, erityisesti verkkoselailussa, API-kutsujen suojaamisessa ja maksutapahtumissa.