Tekst źródłowy strony HTTPS

[[Plik:Internet2.jpg|mały|Protokół HTTPS]]
'''HTTPS''' ({{W języku|en|Hypertext Transfer Protocol Secure}}) – protokół [[Hypertext Transfer Protocol|HTTP]] chroniony przy pomocy szyfrowania protokołu [[Transport Layer Security|TLS]] (dawniej SSL) i ustandaryzowany w dokumencie [[Request for Comments|RFC]] 2818 pod rzadziej używaną nazwą ''HTTP Over TLS''<ref name="rfc2818">{{RFC|2818}}</ref>. Szyfrowanie komunikacji w systemie [[Szyfrowanie od końca do końca|od końca do końca]] ma zapobiegać jej przechwytywaniu między klientem i serwerem (np. [[atak man in the middle]]) czy wręcz modyfikacji przesyłanych danych, zanim dotrą do celu<ref name="rfc2818" />.

W przeciwieństwie do niezabezpieczonego HTTP, którego serwery nasłuchują na [[Port protokołu|porcie]] 80<ref name="rfc2616">{{RFC|2616}}</ref>, serwery obsługujące HTTPS nasłuchują domyślnie na porcie 443 protokołu [[Protokół sterowania transmisją|TCP]]<ref name="rfc2818" />. Adresy [[Uniform Resource Locator|URL]] zaczynają się od <code>https://</code>, podczas gdy adresy niezabezpieczonego HTTP od <code>http://</code><ref name="rfc2818" />.

== Ograniczenia i rozpowszechnienie ==
Protokół HTTP realizuje się warstwę wyżej od standardu TLS, który znajduje się na warstwie prezentacji. Najpierw następuje więc wymiana kluczy TLS, a dopiero później możliwe jest przesłanie żądania HTTP. Historycznie uniemożliwiało to serwerom obsługiwanie wielu [[domena internetowa|domen]] (bądź poddomen) z różnymi certyfikatami przy użyciu jednego [[adres IP|adresu IP]]. Było to spowodowane brakiem informacji o tym, którego certyfikatu [[X.509]] i [[Kryptografia klucza publicznego|klucza prywatnego]] należy użyć do odszyfrowania danych, ponieważ nagłówek [[Lista nagłówków HTTP#Host|HTTP Host]] jest przekazywany wewnątrz zaszyfrowanej części zapytania (którego z kolei nie można odszyfrować, nie znając domeny). Jedynym obejściem było użycie wspólnego certyfikatu dla wszystkich domen. Problem został zażegnany poprzez wprowadzenie do TLS rozszerzenia [[Server Name Indication|SNI]] ({{w języku|en|Server Name Indication}}), które przechowuje informację o domenie w nieszyfrowanej postaci<ref>Rozszerzenie to łączy się jednak ze szczególnymi implikacjami prywatności i bezpieczeństwa, bowiem pozwala na wgląd w szyfrowany ruch sieciowy. Serwery pośredniczące w ruchu posiadają możliwość śledzenia, z jakimi domenami łączy się przeglądarka użytkownika. Ponieważ w implementacjach HTTP starszych niż 1.1 osobny IP musiał odpowiadać jednej zabezpieczonej domenie, co umożliwiało mapowanie ruchu, nie pogarsza to poziomu prywatności użytkowników, ale także go nie podnosi.</ref>.

{{Wykres demograficzny
|tytuł=Procent domen w Internecie serwujących strony domyślnie po HTTPS na przestrzeni lat
|szerokość=480
|wysokość=240
| rok1=  2017   || pop1= 20
| rok2=  2018   || pop2= 26.9
| rok3=  2019   || pop3= 45.9
| rok4=  2020   || pop4= 57.4
| rok5=  2021   || pop5= 68.8
| rok6=  2022   || pop6= 77.4
| rok7=  2023-03   || pop7= 82
|źródło= W3Tech, marzec 2023<ref>{{Cytuj stronę |url = https://w3techs.com/technologies/history_overview/site_element/all/y |tytuł = Historical yearly trends in the usage statistics of site elements for websites |opublikowany = w3techs.com |język = en |data dostępu = 2023-03-03}}</ref><ref>{{Cytuj stronę | url = https://w3techs.com/blog/entry/fact_20170808 |tytuł = 20% of all websites and 53.9% of the top 1000 sites redirect to https. |autor = Sam Soltano |opublikowany = w3techs.com |język = en |data = 2017-08-08 |data dostępu = 2023-03-03}}</ref>
}}

W starszych wersjach HTTP szyfrowanie połączenia było rozszerzeniem protokołu. Począwszy od [[HTTP/2]] mimo braku takiego wymogu w RFC<ref>{{cytuj stronę | url = https://www.mnot.net/blog/2015/06/15/http2_implementation_status | tytuł = HTTP/2 Implementation Status | autor = Mark Nottingham | data = 2015-07-15 | data dostępu = 2022-09-06}}</ref>, szyfrowanie stało się ''de facto'' wymogiem protokołu ze względu na stan implementacji w najpopularniejszych silnikach [[przeglądarka internetowa|przeglądarek internetowych]]<ref>{{cytuj stronę | url = https://http2.github.io/faq/#does-http2-require-encryption | tytuł = HTTP/2 Frequently Asked Questions | język = en | data dostępu = 2022-09-06}}</ref>.

== Zobacz też ==
{{Commonscat|HTTPS}}
* [[S-HTTP]]

== Przypisy ==
{{Przypisy}}

{{Protokoły stosu TCP/IP}}

{{Kontrola autorytatywna}}

[[Kategoria:HTTP]]