HTTP a HTTPS: Jak zabezpečit webové stránky

V několika předešlých článcích jsem uváděl, že různé SEO faktory mohou přispět nejen k získání důvěry samotného vyhledávače, ale taktéž i návštěvníků. V případě zabezpečení webu to platí dvojnásob. Pokud web není zabezpečený, vyhledávač upřednostní spíše weby, které budou působit důvěryhodněji. Stejně tak zákazník vstoupí spíše na takové stránky, po jejichž návštěvě nebude muset následně měnit uniklá hesla. Pojďme se tedy podívat na to, jak zabezpečit web. Zásadní vliv na bezpečnost webových stránek má užití samotného HTTP – respektive HTTPS – protokolu.

Co je HTTP?

HTTP znamená Hypertext Transfer Protocol – doslova “hypertextový přenosový protokol“. Slouží pro komunikaci mezi servery a uživatelem (respektive prohlížečem) a funguje na principu požadavek → odpověď. Web, který používá HTTP poznáte podle toho, že má ve své URL “http://”. V dnešní době, zejména pokud používáte prohlížeč Google Chrome, se při pokusu vstoupit na nezabezpečený web objeví upozornění, které před touto skutečností varuje.

Prohlížeč generuje požadavky HTTP při interakci uživatele s webovou stránkou. Pokud například uživatel klikne na hypertextový odkaz, prohlížeč odešle sérii požadavků “HTTP GET” a jako odpověď se uživateli zobrazí obsah dané stránky, na kterou odkaz vede.

Jak vypadá HTTP požadavek?

Požadavek HTTP není na první pohled nijak zajímavý – jedná se jen o několik řádků textu, které následují protokol HTTP. Může tedy vypadat třeba takto:

GET http://www.collabim.cz HTTP/1.1
User-Agent: curl/7.63.0 libcurl/7.63.0 OpenSSL/1.1.l zlib/1.2.11
Host: www.collabim.cz
Accept-Language: cs

Těchto několik řádků prostého textu vygenerovaných prohlížečem se odesílá přes internet. A v tom je právě ta potíž. Text se posílá totiž přesně takhle, nešifrovaný, a může být zachycen uživateli ve stejné síti. Problémem je to zejména tehdy, kdy uživatelé zadávají prostřednictvím webové stránky citlivé údaje, jako jsou hesla nebo čísla platebních karet. Pokud web používá protokol HTTP místo HTTPS, záškodník, který sleduje interakci mezi uživatelem a webem, si může snadno přečíst veškeré informace, které posíláte nebo přijímáte.

Stavové kódy HTTP

Stavové kódy jsou reakcí serveru na požadavek klienta na straně prohlížeče. Mají podobu třímístných číselných kódů, z nichž první číslice označuje kategorii stavového kódu a zbylé dvě číslice udávají konkrétní typ odpovědi. Rozlišujeme 5 kategorií stavových kódů:

• 1XX – informační kódy: server promýšlí požadavek,
• 2XX – úspěch: požadavek byl úspěšně dokončen a server poskytl prohlížeči očekávanou odpověď,
• 3XX – přesměrování: požadavek byl přijat a byli jste přesměrováni na jinou stránku,
• 4XX – chyba klienta: stránka nebyla nalezena, došlo k chybě ze strany klienta,
• 5XX – chyba serveru: klient odeslal platný požadavek, ale serveru se nepodařilo jej dokončit.

V praxi se ale nejčastěji setkáte s těmito konkrétními stavovými kódy:

• 200 – stránka funguje normálně a správně,
• 301 – stránka je trvale přesměrována jinam, její autorita byla předána nové stránce,
• 302 – stránka je přesměrována pouze dočasně, autorita stránky nemusela být přenesena na novou stránku,
• 404 – server nenašel požadovanou stránku (mohla být odstraněna, došlo ke změně URL atd.),
• 410 – stránka je trvale nedostupná a nemá žádné přesměrování,
• 500 – problém se serverem,
• 503 – server není dostupný, může být dočasně přetížený nebo právě probíhá jeho údržba.

Co je HTTPS?

Novější variantou je protokol HTTPS (Hypertext Transfer Protocol Secure), který je znatelně bezpečnější než protokol HTTP. Jedná se totiž o zabezpečený protokol, který prostřednictvím SSL protokolu používá šifrování, aby zabránil získání citlivých dat mezi webem a uživatelem třetí stranou. Protokol HTTPS je dnes již považován za standard, jelikož má značný vliv na bezpečnost webu.

HTTP vs HTTPS

Rozdíl mezi HTTP a HTTPS tkví ve zmiňovaném šifrování. V případě původního protokolu HTTP komunikace není chráněna šifrováním, proto data může poměrně snadno získat třetí strana. Dnes se již užívání protokolu HTTP jeví jako zastaralé a při vstupu na HTTP stránky může vyhledávač varovat před nezabezpečenými, případně nebezpečnými stránkami. Užitím HTTPS protokolu jednak zvyšujete zabezpečení svého webu (což může taktéž mít vliv na případné umístění ve vyhledávání) a kromě tohoto bude váš web vzbuzovat mnohem větší důvěryhodnost u potenciálních návštěvníků.

V případě, že jsou stránky zabezpečené, uvidíte u adresy webu v liště prohlížeče ikonu zámečku.

Pokud stránky využívají původní HTTP protokol a jsou tedy nezabezpečené, pak je v liště uvedeno “Nezabezpečeno” s výstražným trojúhelníkem.

Co je SSL protokol?

Doslova Secure Sockets Layer. Jedná se o protokol, který v síťové architektuře přidává novou vrstvu mezi tzv. transportní vrstvu (ta se stará o přenos dat) a aplikační vrstvu (tzn. vrstvu, která umožňuje aplikacím přistupovat ke komunikačnímu systému). Vrstva přidaná SSL protokolem pak zamezuje úniku důvěrných informací mezi webovými stránkami a jejich uživatelem pomocí šifrování.

Protokol HTTPS šifruje komunikaci mezi uživatelem a serverem právě pomocí tohoto SSL protokolu. Ověření zabezpečení webu je stvrzeno pomocí SSL certifikátu.

SSL protokol používá pro šifrování tzv. kryptografii veřejného klíče (jinak také asymetrickou kryptografii), při které se k šifrování a ověření informací používá dvojice klíčů – veřejný a soukromý. Jak se dá očekávat, veřejný klíč může být distribuován kdekoliv, zatímco soukromý zná jen vlastník. Všechna data jsou zašifrována těmito klíči a pokud někdo komunikaci zachytí, uvidí pouze náhodný řetězec znaků a nikoliv prostý text, jako tomu bylo u protokolu HTTP.

Co je SSL certifikát?

SSL certifikát je digitální potvrzení od kompetentní autority – tedy příslušné služby, která prověřuje servery a dokládá potvrzení o jejich důvěryhodnosti. Aby web mohl využívat zabezpečený HTTPS protokol, je nutný právě tento SSL certifikát.

Jak získat SSL certifikát?

Obvykle stačí obrátit se na poskytovatele hostingu vašeho webu, který vám certifikát zajistí. Ve většině případů najdete certifikát v administraci hostingu.

Existuje několik druhů SSL certifikátů. Některé jsou placené – placené certifikáty bývají důvěryhodnější a k obnově certifikace dochází obvykle za delší časové období. Je však možné využít i certifikátů, které jsou zdarma – například certifikace Let’s Encrypt. Nevýhodou však je, že tento certifikát je třeba pravidelně obnovovat po relativně krátkém období.

Přechod z HTTP na HTTPS

• Nejprve je třeba zajistit SSL certifikát, po jehož získání je možné přejít na samotný zabezpečený protokol HTTPS.
• V administraci webu (nejčastěji v sekci týkající se zabezpečení) je nutné změnit adresu domény z HTTP na HTTPS.
• Stejně tak je zapotřebí změnit protokol u všech jednotlivých stránek webu.
• Při přechodu je však třeba dostatečně dbát na to, aby přechod proběhl pro každý element na webu. Je nutné, aby na webu nezůstaly žádné skripty, které jsou určeny pro HTTP protokol, díky kterým by poté mohlo docházet k blokaci v prohlížečích.
• Původní nezabezpečené stránky by měly mít nastavené trvalé přesměrování pomocí stavového kódu 301 – tak aby případní návštěvníci byli po vstupu přesměrováni na novou – již zabezpečenou – adresu. Tím je zamezeno, aby se uživateli zobrazila neexistující stránka se stavovým kódem 404.

Proč přejít z HTTP na HTTPS?

Jmenujme tři základní důvody, proč je taková změna výhodná: šifrování, integrita dat a ověřování. Díky autentickým a šifrovaným informacím získávají webové stránky na důvěryhodnosti. Vyhledávače je proto považují za cennější, jelikož předpokládají, že se na takových stránkách nachází relevantní obsah, neobsahují chyby a ani žádnou podezřelou aktivitu.

Provozujete-li e-shop a ještě jste nepřešli na HTTPS, máte nejvyšší čas. Bez něj totiž nemáte záruku, že udržíte informace o zákaznících v soukromí a zajistíte potřebnou bezpečnost online transakcí. Navíc znatelně posílíte důvěryhodnost vašeho internetového obchodu, který hned bude pro potenciální zákazníky atraktivnější.

Má SSL certifikace vliv na ranking?

Původně se obecně doporučovalo zajistit certifikaci zejména u e-shopů a webů, na nichž uživatelé vyplňují osobní údaje a zadávají například platební karty v rámci své objednávky. Dnes je již běžné, že většina fungujících webů používá zabezpečený protokol.

Jak jsme naznačili v podkapitole výše, zabezpečení stránek skutečně ranking ovlivňuje. Od roku 2014 Google zařadil SSL certifikaci mezi hodnoticí faktory stránek, tudíž certifikací můžete jednak zvýšit ranking svého webu a taktéž bude web působit důvěryhodněji pro případné návštěvníky. Naopak nezabezpečené stránky většinou Google penalizuje nižšími pozicemi.

Použité zdroje

1. Why is HTTP not secure – Cloudflare – The Web Performance & Security Company | Cloudflare [online]. Dostupné z: https://www.cloudflare.com/learning/ssl/why-is-http-not-secure/
2. HTTP vs HTTPS: Risks of not using an SSL certificate – HostAsean.com. Website Hosting, Domain Names & Secure Email | HostAsean [online]. Dostupné z: https://www.hostasean.com/http-vs-https-risks-of-not-using-an-ssl-certificate-on-your-website/
3. Understanding HTTP vs HTTPS | Keyfactor. Keyfactor | Trusted PKI and Machine Identity Management Platform [online]. Copyright © 2023 keyfactor. All Rights Reserved [cit. 05.04.2023]. Dostupné z: https://www.keyfactor.com/blog/http-vs-https-whats-the-difference/
4. How to Convert HTTP to HTTPS: A Quick Guide (Infographic) | Brafton. Brafton | Creative Content Marketing Agency [online]. Copyright © 2023 Brafton. [cit. 05.04.2023]. Dostupné z: https://www.brafton.com/blog/distribution/how-to-convert-http-to-https-a-quick-guide/
5. What is an SSL Certificate & Why is it important?. Kaspersky Cyber Security Solutions for Home and Business | Kaspersky [online]. Copyright © [cit. 05.04.2023]. Dostupné z: https://www.kaspersky.com/resource-center/definitions/what-is-a-ssl-certificate
6. What is Asymmetric Cryptography? Definition from SearchSecurity. Purchase Intent Data for Enterprise Tech Sales and Marketing – TechTarget [online]. Dostupné z: https://www.techtarget.com/searchsecurity/definition/asymmetric-cryptography
7. HTTP response status codes | mlytics. Mlytics Learning Center [online]. Copyright © 2023 Mlytics. All rights reserved. [cit. 05.04.2023]. Dostupné z: https://learning.mlytics.com/the-internet/http-response-status-codes/
8. What are HTTP Status Codes? List Of Important Status Codes – Moz. Moz – SEO Software for Smarter Marketing [online]. Copyright © 2021 [cit. 05.04.2023]. Dostupné z: https://moz.com/learn/seo/http-status-codes