HTTPS (HTTP Secure) versleutelt gegevens die worden verzonden tussen browsers en webservers, en beschermt tegen afluisteren en man-in-the-middle aanvallen. Het waarborgt gegevensintegriteit en authenticiteit via SSL/TLS-certificaten. Moderne webbeveiligingsbest practices vereisen HTTPS voor al het webverkeer, met functies zoals HSTS die consistente versleuteling garanderen.
HTTPS is gewone HTTP die via een TLS-versleuteld kanaal wordt getransporteerd. Wanneer een browser verbinding maakt met een https://-URL, voert hij een TLS-handshake uit met de server: beide partijen onderhandelen over een cipher, de server presenteert een X.509-certificaat dat is ondertekend door een vertrouwde certificate authority, en samen leiden ze een gedeelde sessiesleutel af. Vanaf dat moment worden alle requests en responses, headers, cookies, formuliervelden en pagina-inhoud versleuteld en tegen manipulatie beschermd tijdens het transport. Het certificaat authenticeert ook de server, zodat de browser kan bevestigen dat hij echt praat met de opgegeven host en niet met een bedrieger die zich op het netwerkpad tussen beide bevindt.
Zonder HTTPS kan iedereen op het netwerkpad, een malafide wifi-toegangspunt, een gecompromitteerde router, een provider, het verkeer lezen en aanpassen. Dat betekent afluisteren van inloggegevens en sessiecookies, en actieve man-in-the-middle-manipulatie zoals het injecteren van scripts of advertenties in pagina's. HTTPS sluit beide af: vertrouwelijkheid stopt passief meeluisteren en integriteit stopt stille wijziging. Het is ook een voorwaarde voor moderne browserfuncties (service workers, de Web Crypto API, geolocatie) die browsers weigeren beschikbaar te stellen op onveilige origins, en voor HTTP/2 en HTTP/3. Zoekmachines en browsers behandelen gewone HTTP tegenwoordig als een waarschuwingswaardige, tweederangs status.
Serveer elke pagina en elke subresource via HTTPS om mixed content te voorkomen, stuur HTTP door naar HTTPS en voeg HSTS toe zodat browsers weigeren te downgraden. Houd certificaten actueel met geautomatiseerde vernieuwing, schakel verouderde protocolversies en zwakke ciphers uit, en overweeg monitoring van certificate transparency. HTTPS beveiligt het transport, maar staat niet garant voor de scripts die eroverheen binnenkomen: een gecompromitteerde third-party tag wordt net zo trouw afgeleverd als legitieme code. cside vult transportbeveiliging aan door third-party scripts via een Script-methode te leiden en de daadwerkelijke JavaScript-payload te analyseren, zodat kwaadaardig gedrag binnen een versleutelde, betrouwbaar ogende response alsnog wordt opgemerkt en in realtime kan worden geblokkeerd.
Nee. HTTPS bewijst alleen dat de verbinding versleuteld is en dat je praat met de host die in het certificaat wordt genoemd. Het zegt niets over de vraag of die host eerlijk is of dat de scripts die hij laadt onschadelijk zijn. Phishingsites gebruiken routinematig geldige certificaten. Beschouw HTTPS als noodzakelijke transporthygiëne, niet als een oordeel over de integriteit van de site.
TLS is het generieke cryptografische protocol dat een verbinding versleutelt en authenticeert. HTTPS is simpelweg HTTP dat binnen een TLS-tunnel draait. TLS beveiligt ook andere protocollen zoals SMTP en IMAP, dus elke HTTPS-sessie gebruikt TLS, maar niet elke TLS-sessie is HTTPS.
We answer client-side security questions every day. Bring yours.