HTTP ve HTTPS nedir

Bir adresi açtığınızda gerçekte ne alınıp verilir?

Tarayıcı bir istek kurar ve gönderir, sunucu bir yanıt döndürür. HTTP, bu ikisinin biçimini belirleyen anlaşmanın adıdır: istek neyi nereden istediğini söyler, yanıt işin nasıl gittiğini ve gövdesinin ne olduğunu söyler.

Her birinin bir ilk satırı, ardından birkaç başlığı, sonra bir gövdesi vardır. Neredeyse her şeyin saklandığı yer başlıklardır: tarayıcının dili, içeriğin sıkıştırılıp sıkıştırılmadığı, yanıtın ne kadar süre önbelleğe alınabileceği, sunucunun kendini nasıl tanıttığı. Bir sayfa tuhaf davrandığında yanıt genelde gövdede değil, başlıklardadır.

Adın sakladığı bir özellik: HTTP'nin belleği yoktur. Sunucu açısından her istek bağımsızdır ve sunucu kendiliğinden bunun bir saniye önce gelen kişi olduğunu bilmez. Oturum açmayı mümkün kılan şey, tarayıcının her seferinde yeniden gönderdiği fazladan tek bir başlıktır. Bunu bildiğinizde, oturumda kalmayla ilgili tuhaf davranışların yarısı tuhaf olmaktan çıkar.

Yeni sürümler aynı anlaşmayı tel üzerinde daha düzenli ve daha sıkı taşır; isteğin ve yanıtın anlamını değiştirmez. Bu sitenin sayfaları HTTP/2 üzerinden yanıt verir ve önünde duran içerik dağıtım ağı ayrı bir başlıkta HTTP/3'ün de hazır olduğunu duyurur. Okuyucu için bu fark görünmezdir ve öyle olmalıdır.

Durum kodu nasıl okunur?

İlk hane neredeyse her şeyi söyler, gerisi ayrıntıdır. İki yüz oldu demektir, üç yüz başka yere git demektir, dört yüz kusurun istekte olduğu, beş yüz ise sunucunun kendi kendine yıkıldığı anlamına gelir. Topun kimin sahasında olduğunu bilmek için pratikte bu tek cümle yeter.

Yaygın bir yanlış okumayı burada bitirelim: 404 sayfanın bulunamadığı anlamına gelir, sitenin bozuk olduğu anlamına değil. Sunucu gayet sağlamdı ve böyle bir şeyi olmadığını güvenle söyleyebildi. Gövdesi de zorunlu olarak boş değildir; bu sitedeki bulunamadı sayfası menüsü ve aramasıyla eksiksiz bir sayfadır ve HTML'i yüz kilobayttan fazladır. Kod ile sayfanın görünüşü birbirinden bağımsız iki şeydir.

Ve tam da bu sunucuda bedelini ödediğimiz bir tuzak: durum kodu ile yanıt gövdesi her zaman birlikte varmaz. Uygulamanın önündeki katmanlar, yani web sunucusu ve içerik dağıtım ağı, bir hata yanıtının gövdesini kendi sayfalarıyla değiştirebilir. Sonuç şudur: programınız kesin bir hata mesajı gönderdi, kullanıcı genel bir sayfa gördü. Sunucu günlüğünde olup tarayıcıda olmayan bir hatayı ayıklıyorsanız, önce bundan şüphelenin.

HTTPS tam olarak neyi güvene alır?

Üç şey, fazlası değil. Birincisi gizlilik: yolun ortasında oturan herkes, operatörden bir umumi kablosuz ağın sahibine kadar, yalnızca hangi alan adıyla konuştuğunuzu ve ne kadar veri aktığını görür; sayfanın tam adresini de içeriği de görmez. İkincisi bütünlük: yolda biri tek bir baytı değiştirirse tarayıcı bunu fark eder ve bağlantıyı keser. Üçüncüsü alan adının kimliği: tarayıcı, yanıt veren sunucunun gerçekten o alan adı için bir sertifika taşıdığından emin olur.

Bu iş, dışarıdan bir veren makamın imzaladığı bir sertifika ile, artı bağlantının başındaki kısa bir el sıkışmayla yapılır; o el sıkışma, o oturumun şifreleme anahtarını kurar. Bu sitenin sertifikasına şu anda bakılabilir: vereni Google Trust Services, rgb.ir ve onun her alt alan adı için geçerli ve ömrü doksan gün. Kısa ömür bilinçlidir; kısa ömürlü sertifika kendiliğinden yenilenir ve bir anahtar sızarsa kötüye kullanım penceresi küçük kalır.

Şu anda kurulan bir bağlantı TLS 1.3 üzerinden kapanır. Sürüm numarası neredeyse hiçbir ziyaretçinin görmediği bir şeydir ve ancak çok eski bir cihaz sayfayı hiç açamadığında önem kazanmaya başlar.

Bu korumanın sınırı da şu: HTTPS yalnızca yolu güvene alır. Veri sunucuya ulaştığı anda bu katmanın korumasından çıkmıştır. Kusursuz şifrelenmiş bir form, parolanızı kimsenin bakmadığı bir sunucudaki bir metin dosyasına yazabilir. Kilit bunun hakkında hiçbir şey söylemez ve söylediğini de iddia etmez.

Adresin yanındaki kilit neyi vaat etmez?

Sitenin dürüst olduğunu. Kilit yalnızca yolun şifreli olduğunu ve yanıt veren sunucunun bu alan adı için bir sertifika taşıdığını söyler. O alan adının arkasında kimin oturduğu, dükkânın gerçek olup olmadığı ve gönderdiğiniz paranın nereye gittiği hakkında hiçbir iddiası yoktur.

Bu bizim görüşümüz değil. Dünyanın en büyük ücretsiz sertifika makamlarından biri, kendi politikasını anlatırken, alan adı doğrulamalı bir sertifikanın yalnızca bir açık anahtarın bir alan adına ait olduğunu ileri sürdüğünü ve "bir sitenin içeriği ya da onu kimin işlettiği hakkında başka hiçbir şey söylemediğini" yazdı; bu sertifikaların bir sitenin itibarı, gerçek dünyadaki kimliği ya da güvenliği hakkında hiçbir bilgi taşımadığını da ekledi. Yani verenin kendisi, kilidin içerik için bir onay mührü olmadığını açıkça söylüyor.

Pratik sonucu acı ve basit: sahte bir site de dakikalar içinde geçerli bir sertifika alıp kilidi gösterebilir. Bir ödeme sayfasına güvenme ölçütünüz kilidin varlığıysa, saldırganın en kolay sağlayabileceği ölçütü seçmişsiniz demektir.

Asıl bakmanız gereken şey alan adıdır, harf harf: bir adreste önemli olan kısım, ilk eğik çizgiden hemen öncekidir. Onun önüne her şey konabilir. Tutumumuz şu: kilide değil alan adına bakın; bağlantı kısa mesajla ya da bir mesajlaşma uygulamasından geldiyse ona hiç tıklamayın, adresi kendiniz yazın.

Tamamlamak için bir istisna: kilidin yokluğu hâlâ gerçek bir uyarıdır. Bugün HTTPS olmadan giriş ya da ödeme formu gösteren bir sayfa, başka tartışmaya gerek kalmadan güvenilmezdir. Kilit gerekli bir koşuldur, yeterli değil.

Bir site HTTPS'e nasıl doğru taşınır?

Sertifika almak en kolay kısımdır ve genelde barındırma sağlayıcısı bunu kendisi yapar. İşi bozan, ardından gelen üç şeydir.

Birincisi, her HTTP isteği ana sayfaya değil, aynı adresin güvenli sürümüne bir 301 ile gitmelidir. Her şeyi ana sayfaya göndermek en basit yoldur ve en kötüsüdür, çünkü bütün eski bağlantıları öldürür. İkincisi karışık içerik: sayfa güvenliyken bir görseli ya da betiği güvensiz bir adresten çağırıyorsa, tarayıcı ya onu engeller ya da uyarır. Üçüncüsü HSTS başlığı; tarayıcıya bu alan adı için bir daha HTTP denememesini söyler ve bu sitede değeri bir yıldır.

Kimsenin konuşmadığı bir maliyet: her fazladan sıçrama bir gidiş dönüştür. Bu sitede eski adresi rgb.ir/seo/ https olmadan yazan biri iki sıçrama yer, önce HTTP'den HTTPS'e sonra eski adresten yenisine, ve sayfanın ilk baytı ancak ondan sonra gelir. Tek bir ziyaretçi için bunun önemi yoktur; reklamlarda, menülerde ve e-posta imzalarında tekrarlanan bir bağlantı için vardır. Kural basit: denetim sizdeyse eski adresi değil son adresi bağlayın.

Sınırı da şu: HSTS bir taahhüttür, geri alınabilir bir ayar değil. Başlığı görmüş bir tarayıcı, süre dolana kadar alan adınıza HTTP üzerinden bağlanmayı reddeder; sertifikanızın süresi dolmuş olsa bile. HTTPS'in kalıcı olduğundan emin değilseniz, bu başlığı kısa bir süreyle başlatın.

Herhangi bir alan adının sertifika durumu ve bitiş tarihi, hiçbir şey kurmadan saniyeler içinde görülebilir: ücretsiz SSL kontrol aracımız tam da bunu yapar. Sertifika kavramı ve türleri içinse SSL nedir yazısı zaten var ve bu ders onu bilerek tekrarlamıyor.