Přechod webu z HTTP na HTTPS změní v adresním řádku jedno písmeno a změní všechno v tom, jak se data pohybují mezi webem a jeho návštěvníky. HTTPS, zkratka pro Hypertext Transfer Protocol Secure, je šifrovaná verze protokolu, který weby používají k odesílání a příjmu dat. Ovlivňuje pozice ve vyhledávání, určuje, jak prohlížeče váš web návštěvníkům představují, a rozhoduje o tom, zda jsou osobní údaje odeslané přes vaše stránky při přenosu chráněné, nebo odkryté. Přesně vědět, co HTTPS dělá a co nedělá, je rozdíl mezi skutečně zabezpečeným řešením a řešením, které tak jen vypadá.
HTTP je základ datové komunikace na webu. Pokaždé, když prohlížeč požádá o stránku a server ji doručí, probíhá tato výměna přes HTTP. Problém je, že nešifrované HTTP přenáší data jako prostý text. Kdokoli s přístupem k síťovému provozu mezi prohlížečem a serverem může přečíst, co se posílá. HTTPS to řeší tak, že na stejnou komunikaci přidá šifrování pomocí certifikátu SSL. Úplné vysvětlení toho, jak certifikáty SSL fungují, najdete v článku co je certifikát SSL a jak funguje.
Jaký je rozdíl mezi HTTP a HTTPS?
Jak data putují
- HTTP přenáší data jako prostý text. Odeslání formuláře přes HTTP pošle vstup návštěvníka sítěmi ve formátu, který lze při zachycení přečíst
- HTTPS data zašifruje, než opustí prohlížeč, a dešifruje je až po dosažení serveru. Zachycená data jsou bez dešifrovacího klíče nečitelná
- Tento rozdíl je pro návštěvníky při běžném používání neviditelný, ale rozhoduje o tom, zda jsou data, která odešlou, při přenosu chráněná, nebo odkrytá
Co prohlížeče návštěvníkům ukazují
- Weby poskytované přes HTTPS zobrazují v adresním řádku prohlížeče ikonu zámku, která značí, že je spojení zabezpečené
- Weby poskytované přes HTTP zobrazují štítek „Nezabezpečeno". Na stránkách s vstupními poli zobrazují některé prohlížeče výraznější varování
- Návštěvníci, kteří před odesláním formuláře nebo nákupem vidí štítek „Nezabezpečeno", budou pokračovat s menší pravděpodobností
Úloha certifikátu SSL
- HTTPS vyžaduje certifikát SSL nainstalovaný na serveru. Certifikát je to, co šifrovaná spojení umožňuje
- Bez platného certifikátu prohlížeč nemůže navázat zabezpečené spojení a místo běžného načtení stránky zobrazí varování
- Certifikát také ověřuje identitu webu a potvrzuje, že doména patří organizaci, za kterou se vydává
Jak HTTPS chrání data vašich návštěvníků?
Když se návštěvník připojí k webu na HTTPS, prohlížeč a server naváží šifrovaný kanál procesem zvaným handshake TLS. Všechna data vyměněná od tohoto okamžiku jsou po dobu relace šifrovaná.
Co HTTPS chrání
- Odeslané kontaktní formuláře, včetně jmen, e-mailových adres a obsahu zpráv
- Přihlašovací údaje, včetně uživatelských jmen a hesel zadaných na vašem webu
- Platební informace, včetně čísel karet a fakturačních údajů na stránkách pokladny
- Vyhledávací dotazy zadané do polí vyhledávání na webu
Co HTTPS nechrání
- HTTPS šifruje data při přenosu, ale nechrání data, jakmile jsou uložena na serveru. Průnik do databáze je samostatný bezpečnostní problém, kterému HTTPS nezabrání
- HTTPS nečiní web odolným vůči jiným útokům. SQL injection, cross-site scripting a útoky hrubou silou míří na samotný web, ne na data při přenosu
- HTTPS je jednou součástí širšího zabezpečení, ne úplné řešení samo o sobě
Širší pohled na to, jakým hrozbám weby čelí a jak je řešit, najdete v článku proč je zabezpečení webu důležité.
Jak HTTPS ovlivňuje pozice ve vyhledávání?
HTTPS je potvrzený signál pro řazení. Vyhledávače ho používají jako jeden z faktorů při hodnocení stránek a weby bez HTTPS jsou ve srovnání s rovnocennými zabezpečenými stránkami v nevýhodě.
HTTPS jako přímý signál pro řazení
- Stránky poskytované přes HTTPS mají v řazení výhodu před stránkami na HTTP, které jsou jinak totožné
- U stránek, které se v pozicích těsně přetahují, může být HTTPS faktorem, který rozhodne, která se zobrazí výš
Souvislost s uživatelským zážitkem ze stránky
- HTTPS je součástí signálů uživatelského zážitku ze stránky, které vyhledávače při hodnocení stránek posuzují vedle Core Web Vitals
- Stránka, která požadavek na HTTPS nesplňuje, nesplňuje plně kritéria uživatelského zážitku, což ovlivňuje, jak se s ní zachází ve srovnání se stránkami, které je splňují
- Úplný rozbor toho, co Core Web Vitals měří a jak vstupují do hodnocení uživatelského zážitku, najdete v článku co jsou Core Web Vitals
Varování ve výsledcích vyhledávání
- Pokud je web označen kvůli bezpečnostním problémům, mohou vyhledávače přidat varování k jeho záznamu ve výsledcích nebo úplně snížit jeho viditelnost
- Web na HTTP, který má i další bezpečnostní problémy, může čelit kumulujícímu se snížení viditelnosti ve vyhledávání
Přesnost dat o zdrojích návštěv
- Když návštěvník klikne na odkaz z webu na HTTPS na web na HTTP, zdroj odkazu se odstraní a návštěva se v analytice zobrazí jako přímý provoz
- Weby na HTTP ztrácejí přesná data o zdrojích z webů na HTTPS, což ztěžuje sledování výkonu marketingu
- Odkazy z HTTPS na HTTPS předávají úplné informace o zdroji správně
Co obnáší přechod webu na HTTPS?
Získání certifikátu SSL
- HTTPS vyžaduje certifikát SSL nainstalovaný na serveru. U webů hostovaných na platformách, které certifikáty zahrnují, se to děje automaticky
- U webů na samostatně spravovaných serverech je třeba certifikát získat od certifikační autority a nainstalovat ho ručně
Aktualizace interních odkazů a odkazů na zdroje
- Po zapnutí HTTPS by všechny interní odkazy a odkazy na zdroje (obrázky, skripty, šablony stylů) na webu měly mířit na adresy HTTPS
- Stránky, které načítají zdroje přes HTTP, zatímco samotná stránka je poskytována přes HTTPS, spouštějí varování o smíšeném obsahu, což může zrušit bezpečnostní přínos a způsobit varování v prohlížeči
Nastavení přesměrování
- Přesměrování z HTTP na HTTPS zajistí, že každý, kdo se dostane na verzi HTTP, je automaticky odeslán na zabezpečenou verzi
- Bez přesměrování má web fakticky dvě verze každé stránky, což vytváří problémy s duplicitním obsahem a rozděluje signály odkazů mezi ně
Aktualizace mapy webu a nastavení nástroje pro vyhledávače
- Po přechodu na HTTPS aktualizujte mapu webu XML tak, aby obsahovala adresy HTTPS, a odešlete ji vyhledávačům znovu
- Pokud používáte účet v nástroji pro správu vyhledávání, přidejte verzi svého webu na HTTPS jako samostatnou vlastnost a ověřte ji
Kompletního průvodce ochranou webu nad rámec HTTPS najdete v článku jak ochránit web před hackery.
Jak WEMASY řeší HTTPS
Všechny weby vytvořené ve WEMASY jsou ve výchozím stavu poskytovány přes HTTPS. Certifikáty SSL jsou součástí každého tarifu a aktivují se automaticky při vytvoření webu. Neexistuje samostatné nastavení, žádný certifikát k nákupu ani proces obnovy, který byste museli spravovat.
Interní odkazy, zdroje i veškerý obsah poskytovaný platformou používají ve výchozím stavu adresy HTTPS. Varování o smíšeném obsahu nejsou u webů hostovaných ve WEMASY problém, protože platforma vynucuje HTTPS všude. Přesměrování z HTTP na HTTPS se také řeší na úrovni platformy, takže jsou návštěvníci i vyhledávače vždy směrováni na zabezpečenou verzi webu.
Co všechno je součástí, zjistíte v tvůrci webů WEMASY, nebo si projděte možnosti tarifů na stránce s cenami.
Často kladené otázky
Co znamená HTTPS?
HTTPS je zkratka pro Hypertext Transfer Protocol Secure. Je to šifrovaná verze HTTP, protokolu používaného k přenosu dat mezi prohlížečem a webovým serverem. Písmeno „S" značí, že je spojení zabezpečeno certifikátem SSL, který data při přenosu šifruje, takže je nelze při zachycení přečíst. Web běžící na HTTPS zobrazuje v adresním řádku prohlížeče zámek. S tvůrcem webů WEMASY si to můžete nastavit přímo na svém webu.
Je HTTPS vyžadováno u všech webů?
Ano. HTTPS je nezbytné pro každý veřejně dostupný web, nejen pro ty, které zpracovávají platby nebo citlivá data. Prohlížeče zobrazují na webech na HTTP štítek „Nezabezpečeno", což snižuje důvěru návštěvníků. HTTPS je také potvrzený signál pro řazení, takže weby na HTTP jsou ve výsledcích vyhledávání v nevýhodě. Každý web, který sbírá údaje návštěvníků přes formuláře, komentáře nebo přihlášení, by měl být minimálně poskytován přes HTTPS.
Zlepšuje HTTPS SEO?
Ano, přímo. HTTPS je potvrzený signál pro řazení a stránky poskytované přes HTTPS mají v řazení výhodu před rovnocennými stránkami na HTTP. HTTPS je také součástí signálů uživatelského zážitku ze stránky, které vyhledávače posuzují vedle Core Web Vitals. Kromě pozic předává provoz odkazující z HTTPS na HTTPS v analytice úplná data o zdroji, zatímco weby na HTTP ztrácejí informace o zdroji z původů na HTTPS.
Jaký je rozdíl mezi HTTP a HTTPS?
HTTP přenáší data jako prostý text, což znamená, že odeslané formuláře, přihlašovací údaje a další vstupy putují sítí v čitelné podobě. HTTPS data zašifruje, než opustí prohlížeč, takže je může přečíst jen zamýšlený server. HTTPS také ověřuje web pomocí certifikátu SSL a potvrzuje, že je web tím, za koho se vydává. Prohlížeče označují weby na HTTP jako „Nezabezpečeno" a u webů na HTTPS zobrazují zámek.
Může mít web stránky na HTTP i na HTTPS?
Technicky ano, ale vytváří to problémy. Vyhledávače mohou indexovat obě verze a považovat je za duplicitní obsah. Signály odkazů se rozdělí mezi obě verze, místo aby se soustředily na jedné. Návštěvníci mohou skončit na nezabezpečené verzi, pokud nejsou správně nastavena přesměrování. Stránky, které načítají zdroje přes HTTP, zatímco stránka je poskytována přes HTTPS, spouštějí varování o smíšeném obsahu. Správný postup je poskytovat všechny stránky přes HTTPS a všechny adresy HTTP přesměrovat na jejich ekvivalenty na HTTPS.
Chrání HTTPS můj web před hackery?
HTTPS chrání data při přenosu mezi prohlížečem a serverem. Nechrání před jinými druhy útoků, jako je SQL injection, cross-site scripting nebo pokusy o přihlášení hrubou silou, které míří na samotný web, ne na data při přenosu. HTTPS je nezbytné základní bezpečnostní opatření, ale funguje spolu s dalšími ochranami a nenahrazuje je.