Bayangkan seseorang membuka laman perniagaan anda melalui Wi-Fi di kafe. Dia cuma mahu melihat waktu operasi, mungkin menghantar pertanyaan melalui borang. “Laman saya bukan bank,” kata kita, “jadi HTTP pun cukup.” Masalahnya, pembaca tidak tahu di mana laman ringkas berakhir dan tempat mereka mula berkongsi maklumat. Sambungan itu patut selamat sejak halaman pertama.
HTTPS ialah HTTP yang menggunakan TLS untuk melindungi perjalanan data antara pelayar dan pelayan. Menurut penerangan MDN tentang TLS, perlindungan itu merangkumi penyulitan, integriti data dan pengesahan pelayan. Dalam bahasa mudah: orang di tengah rangkaian tidak sepatutnya dapat membaca atau mengubah kandungan sambungan sesuka hati, dan pelayar boleh menyemak identiti domain yang dihubungi.
“Saya cuma ada blog” pun masih ada sebab
Artikel yang anda tulis mungkin terbuka kepada umum, tetapi halaman itu turut membawa skrip, gaya, pautan dan kadangkala borang. Jika kandungan diubah ketika dalam perjalanan, pembaca boleh melihat sesuatu yang bukan anda terbitkan. Apabila dia mengisi nama, e-mel atau mesej, maklumat itu pula tidak wajar bergerak melalui sambungan yang tidak disulitkan. HTTPS menjaga sambungan tersebut; ia tidak secara automatik menjadikan kod laman atau pangkalan data kebal daripada serangan.
Ada juga fungsi pelayar moden yang memerlukan secure context. MDN menyenaraikan API yang terhad kepada konteks selamat. Anda mungkin tidak memerlukannya hari ini, tetapi lebih mudah membina laman di atas asas yang betul daripada membetulkan sambungan kemudian apabila fungsi baharu ditambah.
Bagaimana dengan kepercayaan dan Google?
Pelayar boleh menandakan laman HTTP sebagai tidak selamat, sesuatu yang mudah meragukan pembaca sebelum mereka membaca satu perenggan pun. Google Search Central mengesyorkan HTTPS untuk keselamatan pengguna dan laman. Namun jangan anggap menukar kepada HTTPS sebagai jalan pintas untuk naik ranking. Kandungan yang berguna, laman yang mudah digunakan dan prestasi masih memerlukan kerja sendiri.
Satu lagi salah faham ialah ikon kunci bermaksud perniagaan di sebalik laman sudah pasti jujur. HTTPS mengesahkan sambungan ke domain dan melindungi data dalam perjalanan. Laman penipuan juga boleh memasang sijil. Pembaca tetap perlu melihat alamat domain dengan teliti, terutama sebelum memasukkan kata laluan atau membuat bayaran.
Semak perkara kecil yang selalu tertinggal
Mulakan dengan memastikan sijil TLS untuk domain aktif. Akses alamat http:// dan lihat sama ada ia membawa pembaca ke https://. Jika menggunakan Cloudflare, tetapan Always Use HTTPS boleh membuat pengalihan itu. Kemudian buka beberapa halaman sebenar, termasuk artikel lama dan borang, untuk mencari gambar atau skrip yang masih dimuat melalui HTTP. Campuran kandungan begini boleh menyebabkan amaran atau fungsi yang rosak.
Jika laman anda menggunakan pelayan asal di belakang Cloudflare, periksa juga sambungan Cloudflare ke pelayan asal. Pilihan Full (strict) menyulitkan sambungan itu dan menyemak sijil asal yang sah. Untuk laman yang dihantar terus sebagai aset Cloudflare Workers, susunan pelayan asalnya berbeza; jangan menukar tetapan SSL secara membuta tuli hanya kerana mengikuti tutorial untuk hosting lain.
HTTPS hari ini ialah kerja asas, bukan tambahan mewah. Ia tidak menyelesaikan semua masalah keselamatan, tetapi memberi pembaca satu sambungan yang patut mereka terima setiap kali membuka laman anda.