Co to jest HTTPS i jaki ma wpływ na Twój biznes?

HTTPS często kojarzy się wyłącznie z niewielką kłódką widoczną obok adresu strony. W praktyce odpowiada jednak za znacznie więcej niż zmianę ikonki w przeglądarce.

To jeden z podstawowych elementów bezpieczeństwa każdej współczesnej strony internetowej. Ma znaczenie zarówno dla sklepu przyjmującego płatności, jak i dla prostej strony firmowej, na której znajduje się jedynie formularz kontaktowy.

W swojej pracy nadal spotykam strony, które nie korzystają z HTTPS albo mają je wdrożone tylko częściowo. Certyfikat jest aktywny, adres zaczyna się od https://, ale niektóre obrazy, skrypty lub inne zasoby nadal są pobierane przez niezabezpieczone połączenie.

Formalnie HTTPS istnieje. Technicznie wdrożenie nadal nie jest zakończone.

Co to jest HTTPS?

HTTPS to bezpieczna wersja protokołu HTTP, który odpowiada za komunikację pomiędzy przeglądarką użytkownika a serwerem strony internetowej.

Najprościej mówiąc: kiedy odwiedzasz stronę, Twoja przeglądarka wysyła do serwera określone zapytania, a serwer odsyła jej treść strony, obrazy, pliki oraz pozostałe informacje.

W przypadku zwykłego HTTP przesyłane dane nie są odpowiednio chronione.

HTTPS wykorzystuje szyfrowane połączenie TLS. Dzięki temu informacje przesyłane pomiędzy użytkownikiem a serwerem są znacznie trudniejsze do przechwycenia lub zmodyfikowania przez osoby trzecie.

Nazwa „certyfikat SSL” nadal jest powszechnie używana, chociaż współczesne strony korzystają głównie z protokołu TLS, który zastąpił starsze rozwiązania SSL.

Dla właściciela strony nie jest jednak najważniejsza sama terminologia. Liczy się efekt: dane wysyłane przez stronę powinny być szyfrowane, a przeglądarka powinna być w stanie potwierdzić tożsamość serwera, z którym się łączy.

Co chroni HTTPS?

HTTPS chroni dane przesyłane pomiędzy przeglądarką a stroną internetową.

Mogą to być między innymi:

• dane wpisywane w formularzu kontaktowym,
• adres e-mail i numer telefonu,
• dane logowania do konta,
• informacje podawane podczas składania zamówienia,
• dane klientów zapisane w panelu użytkownika,
• zapytania wysyłane do wyszukiwarki na stronie,
• informacje przesyłane pomiędzy stroną a zewnętrznymi systemami.

Nie oznacza to, że HTTPS zabezpiecza stronę przed każdym rodzajem ataku.

Nie ochroni WordPressa przed nieaktualną wtyczką, słabym hasłem administratora ani złośliwym kodem znajdującym się już na serwerze. Jest jednym z elementów bezpieczeństwa, a nie kompletnym systemem ochrony.

Jaki wpływ HTTPS ma na Twój biznes?

1. Zwiększa zaufanie do strony

Użytkownicy coraz częściej rozpoznają komunikaty ostrzegające przed niezabezpieczonym połączeniem.

Nawet jeśli nie wiedzą dokładnie, czym jest HTTPS, rozumieją, że komunikat „Niezabezpieczona” nie brzmi dobrze.

Jest to szczególnie istotne w sklepie internetowym. Klient ma podać swoje dane, adres dostawy, numer telefonu, a czasami również utworzyć konto. Jeśli przeglądarka ostrzega go, że strona nie jest bezpieczna, może po prostu zrezygnować z zakupu.

HTTPS nie sprawi automatycznie, że klient Ci zaufa. Jego brak może jednak skutecznie to zaufanie zniszczyć.

2. Chroni formularze i dane klientów

Na stronie firmowej formularz kontaktowy jest często jednym z najważniejszych elementów sprzedażowych.

Potencjalny klient wpisuje w nim swoje dane i opisuje problem, który chce rozwiązać. Może podać informacje o firmie, budżecie, planowanym wdrożeniu albo obecnej sytuacji technicznej.

Takie dane nie powinny być przesyłane przez niezabezpieczone połączenie.

Dotyczy to również zapisów do newslettera, formularzy rejestracyjnych, systemów rezerwacji i paneli klienta.

3. Jest niezbędny w sklepie internetowym

Sklep bez prawidłowo działającego HTTPS trudno dziś traktować jako gotowy do prowadzenia sprzedaży.

Proces zakupowy obejmuje wiele wrażliwych operacji:

• dodawanie produktów do koszyka,
• logowanie użytkownika,
• podawanie danych dostawy,
• wybór płatności,
• komunikację z operatorem płatności,
• dostęp do historii zamówień.

Nawet gdy sama płatność odbywa się na stronie zewnętrznego operatora, dane klienta nadal przechodzą przez sklep.

HTTPS powinno działać na całej stronie, a nie tylko w koszyku i procesie zamówienia.

4. Ma znaczenie dla pozycjonowania

HTTPS jest jednym z sygnałów branych pod uwagę przez wyszukiwarki, ale nie należy traktować go jak magicznego sposobu na zdobycie wysokich pozycji.

Samo przejście z HTTP na HTTPS nie sprawi, że słaba strona nagle wyprzedzi konkurencję.

Brak HTTPS może jednak powodować problemy techniczne, ostrzeżenia w przeglądarkach, błędne przekierowania i kilka wersji tej samej strony dostępnych pod różnymi adresami.

To z kolei może utrudniać prawidłowe indeksowanie serwisu.

HTTPS jest więc bardziej podstawą techniczną niż przewagą konkurencyjną. Dobra strona powinna je po prostu mieć.

5. Umożliwia korzystanie z nowoczesnych funkcji

Niektóre funkcje przeglądarek i aplikacji internetowych wymagają bezpiecznego połączenia.

Dotyczy to między innymi wybranych funkcji lokalizacji, powiadomień, pracy w trybie aplikacji internetowej oraz integracji wykorzystujących dane użytkownika.

Brak HTTPS może więc nie tylko obniżać bezpieczeństwo, ale również ograniczać rozwój strony.

Czy certyfikat SSL i HTTPS oznaczają to samo?

Nie do końca.

Certyfikat jest jednym z elementów potrzebnych do uruchomienia HTTPS. Potwierdza tożsamość domeny i umożliwia zestawienie szyfrowanego połączenia.

Samo zainstalowanie certyfikatu nie oznacza jednak, że cała strona działa już poprawnie przez HTTPS.

Po wdrożeniu należy jeszcze sprawdzić między innymi:

• czy wszystkie adresy HTTP przekierowują na HTTPS,
• czy strona nie ładuje zasobów przez HTTP,
• czy w bazie danych nie pozostały stare adresy,
• czy formularze wysyłają dane przez bezpieczne połączenie,
• czy mapy witryny zawierają właściwe adresy,
• czy wersje www i bez www są prawidłowo przekierowane,
• czy integracje zewnętrzne działają po zmianie adresu.

Właśnie dlatego czasami widzę strony z aktywnym certyfikatem, na których przeglądarka nadal zgłasza problemy.

Co to jest mixed content?

Mixed content, czyli zawartość mieszana, pojawia się wtedy, gdy strona otwiera się przez HTTPS, ale część jej zasobów nadal jest pobierana przez HTTP.

Może to dotyczyć:

• obrazów,
• plików CSS,
• skryptów JavaScript,
• fontów,
• materiałów wideo,
• ramek osadzających zewnętrzne treści.

Przykładowo sama strona może działać pod adresem:

https://twojafirma.pl

ale jedno z jej zdjęć nadal jest ładowane z adresu:

http://twojafirma.pl/zdjecie.jpg

Przeglądarka może wtedy wyświetlić ostrzeżenie, zablokować część zasobów albo uznać stronę za nie w pełni zabezpieczoną.

Mixed content często pojawia się po przeniesieniu strony, zmianie domeny, wdrożeniu certyfikatu albo ręcznym wpisywaniu adresów w treściach i ustawieniach szablonu.

Najczęstsze błędy przy wdrażaniu HTTPS

Brak przekierowania z HTTP na HTTPS

Strona jest dostępna pod dwoma adresami:

• http://twojafirma.pl
• https://twojafirma.pl

To może powodować duplikację adresów i dezorientować zarówno użytkowników, jak i roboty wyszukiwarek.

Wersja HTTP powinna automatycznie przekierowywać na właściwy adres HTTPS.

Nieprawidłowe przekierowania

Zdarza się, że przekierowanie działa tylko dla strony głównej.

Użytkownik otwierający stary adres podstrony lub produktu trafia wtedy na błąd, niewłaściwy adres albo stronę główną zamiast na odpowiadającą mu podstronę.

Każdy stary adres powinien prowadzić do swojego bezpośredniego odpowiednika.

Stare adresy w bazie danych

Po wdrożeniu certyfikatu w bazie WordPressa mogą nadal znajdować się adresy rozpoczynające się od http://.

Dotyczy to treści wpisów, ustawień Elementora, widżetów, obrazów, przycisków i pól niestandardowych.

Proste wyszukanie i zastąpienie nie zawsze jest bezpieczne, ponieważ część danych WordPressa jest zapisywana w strukturach, których nie należy edytować zwykłym zapytaniem tekstowym.

Certyfikat nie obejmuje wszystkich domen

Strona może działać pod wersją z www, ale certyfikat został wystawiony wyłącznie dla wersji bez www, albo odwrotnie.

Problem może dotyczyć również subdomen, panelu klienta, osobnej domeny sklepu albo środowiska testowego.

Wygasający certyfikat

Wiele certyfikatów odnawia się automatycznie, ale automatyzacja może przestać działać.

Przyczyną może być zmiana DNS, migracja hostingu, błędna konfiguracja serwera albo brak dostępu do domeny podczas próby odnowienia.

Warto więc monitorować ważność certyfikatu, zamiast zakładać, że będzie działał bezterminowo.

Jak samodzielnie sprawdzić HTTPS?

Możesz zacząć od kilku prostych testów.

Otwórz stronę przez HTTP

Wpisz adres strony ręcznie, używając http://.

Sprawdź, czy przeglądarka automatycznie przeniesie Cię na dokładnie tę samą podstronę w wersji HTTPS.

Sprawdź kilka różnych podstron

Nie ograniczaj testu do strony głównej.

Otwórz:

• podstronę oferty,
• wpis blogowy,
• stronę kontaktową,
• produkt,
• koszyk,
• formularz,
• panel logowania.

Problem może występować tylko w jednej części serwisu.

Sprawdź konsolę przeglądarki

W narzędziach deweloperskich przeglądarki można znaleźć komunikaty o zasobach blokowanych z powodu mixed content.

To szczególnie przydatne, gdy strona wygląda poprawnie, ale nie działa część skryptów, fontów albo integracji.

Przetestuj formularze

Wyślij formularz kontaktowy i sprawdź, czy:

• wiadomość dociera,
• nie pojawia się ostrzeżenie,
• strona po wysłaniu nadal korzysta z HTTPS,
• integracje z systemem CRM lub mailingiem działają poprawnie.

Sprawdź certyfikat

Kliknij ikonę znajdującą się przy adresie strony i sprawdź informacje o połączeniu.

Zwróć uwagę, czy certyfikat:

• jest ważny,
• został wystawiony dla właściwej domeny,
• nie wygasa w najbliższych dniach,
• nie powoduje ostrzeżeń przeglądarki.

Czy darmowy certyfikat wystarczy?

W większości typowych stron firmowych i sklepów internetowych prawidłowo skonfigurowany darmowy certyfikat jest wystarczający.

Nie oznacza to jednak, że każda konfiguracja będzie równie dobra.

Znacznie ważniejsze od ceny certyfikatu jest to, czy:

• odnawia się automatycznie,
• obejmuje wszystkie potrzebne domeny,
• został prawidłowo skonfigurowany na serwerze,
• strona wymusza HTTPS,
• nie występuje mixed content,
• protokoły i ustawienia serwera są aktualne.

Płatny certyfikat nie naprawi błędnych przekierowań ani starych adresów zapisanych w bazie.

Czy HTTPS spowalnia stronę?

Prawidłowo skonfigurowane HTTPS nie powinno być powodem zauważalnego spowolnienia współczesnej strony.

Szyfrowanie wymaga dodatkowych operacji, ale nowoczesne serwery i przeglądarki są do tego przystosowane.

Znacznie częstszymi przyczynami wolnego działania są:

• źle zoptymalizowane obrazy,
• zbyt wiele wtyczek,
• ciężkie skrypty,
• nieprawidłowy cache,
• słaby hosting,
• błędy w bazie danych,
• nadmiernie rozbudowany motyw.

Nie wyłączałbym zabezpieczeń po to, aby próbować przyspieszyć stronę. Należy znaleźć prawdziwe źródło problemu.

Najważniejsze wnioski

HTTPS jest dziś podstawowym elementem każdej profesjonalnej strony internetowej.

Chroni dane przesyłane przez użytkowników, zwiększa wiarygodność serwisu i umożliwia bezpieczne korzystanie z formularzy, kont klientów oraz procesu zakupowego.

Samo zainstalowanie certyfikatu nie kończy jednak pracy.

Trzeba jeszcze sprawdzić przekierowania, stare adresy, zasoby zewnętrzne, wersje domeny, formularze i integracje. Dopiero wtedy można uznać, że HTTPS zostało wdrożone prawidłowo.

Czy Twoja strona korzysta z HTTPS prawidłowo?

Jeśli obok adresu strony widzisz kłódkę, jest to dobry znak. Nie daje jednak pewności, że cały serwis został poprawnie skonfigurowany.

Podczas audytu mogę sprawdzić certyfikat, przekierowania, mixed content, formularze, integracje oraz pozostałe elementy techniczne związane z bezpiecznym połączeniem.

Nie ograniczam się do sprawdzenia, czy strona się otwiera. Sprawdzam, czy HTTPS rzeczywiście działa tam, gdzie powinno, i czy nie powoduje problemów niewidocznych na pierwszy rzut oka.

DIGIKROM

Zobacz pełny biogram