HTTP و HTTPS چیست

وقتی یک آدرس را باز می کنید چه چیزی رد و بدل می شود؟

مرورگر یک درخواست می سازد و می فرستد، سرور یک پاسخ برمی گرداند. HTTP اسم قراردادی است که شکل این دو را تعیین می کند: درخواست می گوید چه چیزی را از کجا می خواهد، پاسخ می گوید نتیجه چه شد و بدنه اش چیست.

هر کدام یک خط اول دارد، بعد چند هدر، بعد بدنه. هدرها همان جایی هستند که تقریبا همه چیز آنجا پنهان شده است: زبان مرورگر، اینکه محتوا فشرده شده یا نه، اینکه پاسخ چقدر اجازه دارد کش شود، اینکه سرور خودش را چه معرفی می کند. وقتی صفحه ای رفتار عجیب دارد، جواب معمولا در بدنه نیست، در هدرهاست.

یک ویژگی که اسم این قرارداد پنهانش می کند: HTTP حافظه ندارد. هر درخواست برای سرور مستقل است و سرور به خودی خود نمی داند این همان کسی است که یک ثانیه پیش آمده بود. چیزی که ورود به حساب کاربری را ممکن می کند فقط یک هدر اضافه است که مرورگر هر بار دوباره می فرستد. اگر این را بدانید، نصف رفتارهای عجیب ورود و خروج از حساب دیگر عجیب نیستند.

نسخه های تازه تر همان قرارداد را مرتب تر و فشرده تر روی سیم می برند و معنی درخواست و پاسخ را عوض نمی کنند. صفحه های همین سایت روی HTTP/2 جواب می دهند و شبکه توزیع محتوایی که جلوی آن نشسته در یک هدر جداگانه اعلام می کند که HTTP/3 هم آماده است. برای خواننده این تفاوت دیدنی نیست و نباید هم باشد.

کدهای وضعیت را چطور بخوانیم؟

رقم اول کد تقریبا همه چیز را می گوید و بقیه اش جزئیات است. دویست یعنی شد، سیصد یعنی جای دیگری برو، چهارصد یعنی اشکال از درخواست بود، پانصد یعنی سرور خودش زمین خورد. همین یک جمله در عمل کافی است تا بدانید توپ زمین کیست.

یک تصور غلط رایج را همین جا تمام کنیم: کد 404 یعنی صفحه پیدا نشد، نه اینکه سایت خراب است. سرور کاملا سالم بوده و توانسته با اطمینان بگوید چنین چیزی ندارد. بدنه اش هم لزوما خالی نیست؛ صفحه چهارصد و چهار همین سایت یک صفحه کامل با منو و جستجو است و HTML آن بیش از صد کیلوبایت است. کد و ظاهر صفحه دو چیز مستقل اند.

و یک تله که در همین سرور بهایش را داده ایم: کد وضعیت و بدنه پاسخ همیشه با هم به مقصد نمی رسند. لایه های جلوی برنامه، یعنی وب سرور و شبکه توزیع محتوا، اجازه دارند بدنه یک پاسخ خطا را با صفحه خودشان عوض کنند. نتیجه اش این است که برنامه شما یک پیام خطای دقیق فرستاده و کاربر یک صفحه عمومی دیده است. اگر روزی خطایی را دیباگ می کنید که در لاگ سرور هست و در مرورگر نیست، اول به همین شک کنید.

HTTPS دقیقا چه چیزی را امن می کند؟

سه چیز، نه بیشتر. اول محرمانگی: هر کسی که در میانه راه نشسته باشد، از اپراتور تا صاحب یک وای فای عمومی، فقط می بیند که شما با کدام دامنه حرف زده اید و چه حجمی رد و بدل شده؛ نه نشانی دقیق صفحه را می بیند و نه محتوا را. دوم درستی: اگر کسی در راه یک بایت را عوض کند، مرورگر می فهمد و اتصال را قطع می کند. سوم هویت دامنه: مرورگر مطمئن می شود سروری که جواب می دهد واقعا برای همان دامنه گواهی دارد.

این کار با یک گواهی انجام می شود که یک مرجع صدور بیرونی امضایش کرده، به علاوه یک دست دادن کوتاه در ابتدای اتصال که کلید رمزنگاری آن نشست را می سازد. گواهی همین سایت را می شود همین حالا دید: صادرکننده اش Google Trust Services است، برای rgb.ir و هر زیردامنه آن معتبر است، و عمرش نود روز است. کوتاه بودن عمدی است؛ گواهی کوتاه عمر خودکار تمدید می شود و اگر کلیدی لو برود پنجره استفاده نادرست از آن کوچک می ماند.

اتصالی که همین حالا برقرار می شود روی TLS 1.3 بسته می شود. عدد نسخه چیزی است که تقریبا هیچ بازدیدکننده ای نمی بیند و تنها جایی اهمیت پیدا می کند که یک دستگاه خیلی قدیمی نتواند صفحه را باز کند.

و مرز این محافظت: HTTPS فقط مسیر را امن می کند. به محض اینکه داده به سرور رسید، از حفاظت این لایه بیرون آمده است. یک فرم کاملا رمز شده می تواند رمز عبور شما را در یک فایل متنی روی سروری ذخیره کند که هیچ کس مراقبش نیست. قفل درباره آن هیچ نمی گوید و ادعایش را هم ندارد.

قفل کنار آدرس چه چیزی را تضمین نمی کند؟

اینکه سایت راستگوست. قفل فقط می گوید مسیر رمز شده است و سروری که جواب می دهد برای همین دامنه گواهی دارد. درباره اینکه پشت آن دامنه چه کسی نشسته، فروشگاه واقعی است یا نه، و پولی که می فرستید کجا می رود، هیچ ادعایی ندارد.

این را از خودمان نمی گوییم. یکی از بزرگ ترین مراجع صدور گواهی رایگان دنیا در توضیح سیاست خودش نوشته است که گواهی اعتبارسنجی دامنه فقط می گوید یک کلید عمومی به یک دامنه تعلق دارد و «چیز دیگری درباره محتوای سایت یا اینکه چه کسی آن را می گرداند نمی گوید»، و اضافه می کند این گواهی ها هیچ اطلاعاتی درباره اعتبار، هویت واقعی یا امن بودن یک سایت در خود ندارند. یعنی خود صادرکننده تصریح می کند که قفل مهر تایید محتوا نیست.

نتیجه عملی اش تلخ و ساده است: یک سایت جعلی هم می تواند در چند دقیقه گواهی معتبر بگیرد و قفل را نشان بدهد. پس اگر ملاک شما برای اعتماد به یک صفحه پرداخت وجود قفل باشد، دقیقا همان چیزی را ملاک گرفته اید که مهاجم به سادگی می تواند فراهم کند.

چیزی که واقعا باید نگاه کنید نام دامنه است، حرف به حرف. در یک نشانی، تنها بخشی که هویت را تعیین می کند همان است که درست قبل از اولین اسلش می آید. هر چیزی می تواند قبل از آن قرار بگیرد. موضع ما این است: به قفل نگاه نکنید، به دامنه نگاه کنید، و اگر لینک از پیامک یا از یک پیام رسان آمده، اصلا رویش کلیک نکنید و نشانی را خودتان تایپ کنید.

یک استثنا هم بگوییم تا کامل باشد: نبودن قفل هنوز هم یک هشدار واقعی است. صفحه ای که در سال جاری فرم ورود یا پرداخت را بدون HTTPS نشان می دهد، بدون هیچ بحث دیگری قابل اعتماد نیست. قفل شرط لازم است و کافی نیست.

سایت را چطور درست روی HTTPS ببریم؟

گواهی گرفتن آسان ترین قسمت کار است و معمولا هاست خودش انجامش می دهد. چیزی که کار را خراب می کند سه تای بعدی است.

اول، هر درخواست HTTP باید با کد 301 به نسخه امن همان نشانی برود، نه به صفحه اول. انتقال همه چیز به صفحه اول ساده ترین راه است و بدترین، چون هر لینک قدیمی را می کشد. دوم، محتوای مخلوط: اگر صفحه امن است ولی یک تصویر یا اسکریپت را از نشانی ناامن صدا می زند، مرورگر یا آن را می بندد یا هشدار می دهد. سوم، هدر HSTS، که به مرورگر می گوید از این به بعد اصلا HTTP را امتحان نکن؛ روی همین سایت مقدارش یک سال است.

یک هزینه که کسی درباره اش حرف نمی زند: هر پرش اضافه یک رفت و برگشت است. روی همین سایت، کسی که نشانی قدیمی rgb.ir/seo/ را بدون https تایپ کند دو پرش می خورد، اول از HTTP به HTTPS و بعد از نشانی قدیم به نشانی تازه، و تازه بعد از آن اولین بایت صفحه می آید. برای یک بازدیدکننده اهمیتی ندارد؛ برای یک لینک که در تبلیغات و منو و امضای ایمیل تکرار می شود، مهم است. قاعده ساده است: در هر جایی که خودتان کنترل دارید، نشانی نهایی را لینک کنید نه نشانی قدیمی را.

و مرزش: HSTS یک تعهد است، نه یک تنظیم قابل بازگشت. مرورگری که این هدر را دیده تا پایان مدتش حاضر نیست با HTTP به دامنه شما وصل شود، حتی اگر گواهی تان منقضی شده باشد. اگر مطمئن نیستید که HTTPS برای همیشه پابرجاست، این هدر را با مدت کوتاه شروع کنید.

وضعیت گواهی و تاریخ انقضای هر دامنه ای را می شود در چند ثانیه دید، بدون نصب هیچ چیزی: ابزار رایگان بررسی SSL همین کار را می کند. برای خود مفهوم گواهی و انواعش هم مقاله SSL چیست نوشته شده و این درس عمدا تکرارش نمی کند.