Какво е HTTPS?

HTTPS (Hypertext Transfer Protocol Secure) е разширение на протокола HTTP за поддръжка на криптиране. Той осигурява безопасна връзка между клиента (браузъра) и сървъра, предпазвайки данните от прихващане и промяна.

Основни компоненти:

• HTTP: Основният протокол за пренос на хипертекст (уеб страници).
• SSL/TLS: Протоколи за криптиране, които работят върху HTTP, създавайки криптиран тунел за пренос на данни. TLS (Transport Layer Security) е по-модерната и по-безопасна версия на SSL (Secure Sockets Layer).

Как работи HTTPS:

1. Ръкостискане (Handshake): Клиентът и сървърът обменят информация за установяване на сигурна връзка и съгласуване на алгоритми за криптиране.
   • Клиентът изпраща приветствие с поддържаните версии на SSL/TLS и алгоритми за криптиране.
   • Сървърът отговаря, като избира най-силните общи алгоритми и изпраща своя цифров сертификат.
   • Клиентът проверява автентичността на сертификата (кой го е издал, срок на валидност).
   • Клиентът генерира сесионен ключ, криптира го с публичния ключ от сертификата на сървъра и го изпраща на сървъра.
   • Сървърът декриптира сесионния ключ със своя частен ключ.
   • Клиентът и сървърът потвърждават готовността за криптирана комуникация.
2. Криптиране: Всички следващи данни между клиента и сървъра се криптират с използване на съгласувания сесионен ключ.

Предимства на използването на HTTPS:

• Конфиденциалност на данните: Защитава чувствителна информация (логини, пароли, номера на кредитни карти) от прихващане.
• Цялост на данните: Гарантира, че пренасяните данни не са били променени по време на доставка.
• Автентикация: Потвърждава автентичността на сървъра, намалявайки риска от фишинг.
• SEO: Търсачките като Google предпочитат сайтове с HTTPS.
• Доверие на потребителите: Браузърите показват иконка с ключалка, сигнализираща за сигурна връзка.

Сертификатите SSL/TLS се издават от удостоверяващи центрове (Certificate Authorities - CA). Типовете сертификати включват:

• Domain Validated (DV): Проверява се само собствеността върху домейна.
• Organization Validated (OV): Проверява се собствеността върху домейна и информация за организацията.
• Extended Validation (EV): Най-строгият тип проверка, включва проверка на собствеността върху домейна и разширена проверка на организацията. Показва името на компанията в адресната лента (зависи от браузъра).

Реализацията на HTTPS на сървъра изисква инсталиране на SSL/TLS сертификат.

// Пример за конфигурация в Nginx за HTTPS
server {
    listen 443 ssl; // Послушване на порт 443 за HTTPS
    server_name example.com; // Домейн име

    ssl_certificate /etc/nginx/ssl/example.com.crt; // Път към файла с сертификата
    ssl_certificate_key /etc/nginx/ssl/example.com.key; // Път към файла с частния ключ

    // Допълнителни настройки за сигурност
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;

    location / {
        // Конфигурация за обработка на заявките
    }
}