HTTP vs HTTPS - czym się różnią, rola certyfikatu SSL i dlaczego HTTPS jest ważny

W skrócie: HTTPS to ten sam protokół HTTP, tylko z warstwą szyfrowania TLS (dawniej SSL). HTTP wysyła dane otwartym tekstem na porcie 80, HTTPS szyfruje je na porcie 443 i potwierdza tożsamość serwera certyfikatem. Efekt: prywatność, kłódka w przeglądarce i lepszy SEO.

HTTP vs HTTPS - różnice w tabeli

Konkret: cała różnica sprowadza się do jednej rzeczy - szyfrowania. Reszta to jego konsekwencje.

Czym jest HTTP

HTTP (Hypertext Transfer Protocol) to protokół, którym przeglądarka rozmawia z serwerem: prosi o stronę, a serwer odsyła HTML, obrazki i resztę. Działa od początków WWW i sam w sobie robi swoją robotę dobrze.

Ma jednak jedną wadę, która dziś go dyskwalifikuje: przesyła wszystko otwartym tekstem. Login, hasło, numer karty, treść formularza - każdy pakiet leci przez sieć czytelny jak pocztówka. To zwykle nie problem u Ciebie w domu, ale gdy siedzisz na publicznym Wi-Fi w kawiarni czy na lotnisku, osoba w tej samej sieci może ten ruch podejrzeć. Ten sam mechanizm sprawia, że warto rozumieć do czego naprawdę służy VPN to HTTP owinięty w szyfrowanie. Zanim poleci jakikolwiek login czy treść strony, przeglądarka i serwer ustalają wspólny, tajny klucz i od tego momentu cała komunikacja jest zaszyfrowana. Podsłuchujący widzi tylko szum.

Tu wchodzi certyfikat SSL/TLS. To plik wystawiony serwerowi przez urząd certyfikacji, który robi dwie rzeczy: dostarcza klucz do szyfrowania i potwierdza, że domena należy do tego, kto się pod nią podaje. Dzięki temu HTTPS chroni nie tylko przed podsłuchem, ale też przed podszywaniem się pod stronę (atak man-in-the-middle).

Pułapka nazewnictwa: mówimy "certyfikat SSL", ale realnie od lat wszędzie działa nowszy protokół TLS. SSL to stara, wycofana wersja - nazwa została z rozpędu, technologia poszła dalej.

Realny koszt (3 lata): certyfikat DV od Let's Encrypt jest darmowy i wystarcza dla zdecydowanej większości stron firmowych i sklepów. Większość paneli hostingowych (cyberfolks, lh.pl, seohost) instaluje go jednym kliknięciem i odnawia automatycznie co 90 dni. Płatne certyfikaty OV/EV mają sens głównie tam, gdzie liczy się dodatkowa weryfikacja firmy, nie samo szyfrowanie.

Jak działa szyfrowanie - handshake TLS krok po kroku

Krok po kroku, co dzieje się w ułamku sekundy po wpisaniu adresu https://:

1. Przeglądarka łączy się z serwerem na porcie 443 i mówi "chcę bezpieczne połączenie".
2. Serwer odsyła swój certyfikat z kluczem publicznym.
3. Przeglądarka sprawdza, czy certyfikat jest ważny i wystawiony przez zaufany urząd.
4. Obie strony negocjują wspólny klucz sesyjny (to właśnie handshake TLS).
5. Od tego momentu cały ruch leci zaszyfrowany tym kluczem.

Dopiero po tym uścisku dłoni serwer wysyła właściwą stronę. Zanim jednak w ogóle dojdzie do handshake, przeglądarka musi zamienić domenę na adres serwera - tym zajmuje się system DNS to punkt, z którym nawiązywane jest połączenie.

Dlaczego HTTPS jest ważny - bezpieczeństwo

Trade-off między HTTP a HTTPS przestał istnieć - HTTPS wygrywa na całej linii, a koszt spadł do zera. Dlatego dziś to standard, nie opcja:

• Chroni dane logowania i płatności przed przechwyceniem w niezaufanej sieci.
• Potwierdza, że łączysz się z prawdziwą stroną, a nie z jej podróbką.
• Uniemożliwia wstrzykiwanie treści (np. reklam przez operatora sieci).
• Jest wymagany przez RODO tam, gdzie zbierasz dane osobowe przez formularze.

Sprawdź: Google Chrome od dawna oznacza strony bez certyfikatu jako "Niezabezpieczona" tuż przy adresie. Dla odwiedzającego to czerwona flaga, która potrafi wypłoszyć klienta zanim przeczyta cokolwiek na stronie.

HTTPS a SEO - czy to czynnik rankingowy

Tak, ale z zachowaniem proporcji. Google potwierdziło HTTPS jako sygnał rankingowy już w 2014 roku. Jest to jednak czynnik lekki - HTTPS sam w sobie nie wypchnie słabej strony na szczyt. Traktuj go jak higienę: brak certyfikatu szkodzi, obecność jest oczekiwanym minimum.

Realny zysk SEO leży gdzie indziej: HTTPS odblokowuje HTTP/2, który ładuje stronę szybciej dzięki multipleksowaniu wielu żądań w jednym połączeniu. A szybkość ładowania to już wymierny czynnik rankingowy i konwersji. Konkret: przejście na HTTPS to nie tylko kłódka, to też furtka do nowszego, szybszego transportu.

Jak sprawdzić, czy strona działa na HTTPS

Sprawdź na trzy sposoby, od najprostszego:

• Kłódka przy adresie w przeglądarce - kliknij ją, żeby zobaczyć szczegóły i datę ważności certyfikatu.
• Adres zaczyna się od https://, nie http://.
• Z terminala: curl -I https://twojadomena.pl pokaże nagłówki odpowiedzi, a openssl s_client -connect twojadomena.pl:443 szczegóły certyfikatu.

Pro tip admina: jeśli chcesz tylko potwierdzić, że serwer w ogóle nasłuchuje na porcie HTTPS, sprawdź otwarty port 443 telnetem - darmowy test wystawi ocenę konfiguracji TLS i wyłapie słabe szyfry.

Kłódka to nie gwarancja, że strona jest bezpieczna

Ważne rozróżnienie, bo tu ludzie się gubią. Kłódka mówi jedno: połączenie jest zaszyfrowane i domena ma ważny certyfikat. Nie mówi, że po drugiej stronie siedzi uczciwa firma. Oszust też może wystawić sobie darmowy certyfikat na stronę-pułapkę i pokazać Ci kłódkę. Szyfrowanie chroni transmisję, nie intencje właściciela.

Odwrotny problem jest częstszy: certyfikat wygasa, jest źle skonfigurowany albo mieszasz treści HTTP i HTTPS - i przeglądarka pokazuje przekreśloną kłódkę lub blokuje wejście. Jeśli trafiłeś na komunikat błędu, rozpisałem przyczyny i naprawę w osobnym poradniku o błędzie "Połączenie nie jest prywatne" i wymuś ruch przez HTTPS.

Czy HTTPS pomaga w SEO?

Tak, ale to lekki czynnik. Google potwierdziło HTTPS jako sygnał rankingowy w 2014 roku. Sam certyfikat nie podniesie słabej strony, ale jego brak szkodzi i odstrasza użytkowników. Większy pośredni zysk to dostęp do szybszego protokołu HTTP/2, który działa tylko po HTTPS.

Czy kłódka oznacza, że strona jest w pełni bezpieczna?

Nie. Kłódka potwierdza tylko, że połączenie jest szyfrowane i domena ma ważny certyfikat. Nie gwarantuje, że właściciel strony jest uczciwy - oszust też może wystawić sobie darmowy certyfikat. Szyfrowanie chroni transmisję danych, a nie intencje osoby po drugiej stronie.