Como pode proteger os seus dados com o protocolo…

O HTTPS utiliza o protocolo SSL/TLS para garantir uma ligação segura entre o cliente e o servidor. Isto é conseguido através de três mecanismos principais:

Criptografia: Todos os dados transmitidos são encriptados, tornando-os ilegíveis para os atacantes que interceptam o tráfego. São utilizados algoritmos de encriptação simétrica e assimétrica.
Integridade dos dados: O HTTPS garante que os dados não foram alterados durante a transmissão. Para isso, são utilizadas funções de hash. Se os dados forem alterados, a soma de verificação ao receber não coincidirá com a do remetente.
Autenticação: O cliente verifica a autenticidade do servidor através de um certificado digital emitido por uma autoridade de certificação confiável (CA). Isto previne ataques do tipo Man-in-the-Middle.

Ao estabelecer uma ligação HTTPS, ocorre um aperto de mão (handshake):

O cliente e o servidor concordam com a versão de SSL/TLS e os conjuntos de cifras.
O servidor envia ao cliente o seu certificado digital.
O cliente verifica o certificado (autenticidade da CA, validade, correspondência com o nome de domínio).
O cliente gera uma chave de sessão, encripta-a com a chave pública do servidor (do certificado) e envia-a ao servidor.
O servidor desencripta a chave de sessão com a sua chave privada.
Depois, todo o tráfego entre o cliente e o servidor é encriptado usando esta chave de sessão.

Exemplo de uso de HTTPS no Ruby on Rails:

Em ambiente de produção, o Rails redireciona automaticamente as requisições HTTP para HTTPS quando a configuração do servidor web (Nginx, Apache) está correta:

# config/environments/production.rb
# Forçar todo o acesso à aplicação via SSL, usar Strict-Transport-Security e cookies seguros.
config.force_ssl = true

Ao nível do servidor web:

# Exemplo para Nginx
server {
    listen 80;
    server_name myapp.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name myapp.com;

    ssl_certificate /path/to/myapp.com.crt;
    ssl_certificate_key /path/to/myapp.com.key;

    # Outras configurações SSL/TLS
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    # ... outras configurações do servidor (root, location, etc.)
}

Como pode proteger os seus dados com o protocolo HTTPS?