HTTP yoki HTTPS: nega har qanday saytga shifrlash kerak

Qisqacha javob

HTTP hamma narsani ochiq matn sifatida uzatadi. HTTPS xuddi shu trafikni TLS shifrlashiga o‘raydi: uni yo‘lda o‘qib yoki o‘zgartirib bo‘lmaydi, brauzer esa haqiqiy server bilan muloqot qilayotganiga ishonch hosil qila oladi.

Ko‘p uchraydigan e’tiroz: «Saytimda kirish ham, to‘lov ham yo‘q, menga bu nima uchun?» Javob: HTTPS nafaqat foydalanuvchilar ma’lumotlarini, balki sizning kontentingizni ham ularga yetib borguncha o‘zgartirilishdan himoya qiladi. Sertifikat esa bugun bepul bo‘lishi mumkin.

HTTP orqali aslida nima noto‘g‘ri ketadi

Ommaviy Wi-Fi’da ushlab qolish. Kafe, aeroport yoki mehmonxonada shu tarmoqdagi boshqa foydalanuvchilar — yoki kirish nuqtasi egasi — HTTP trafikni ushlab qolishi mumkin. Ular ko‘radi:

• barcha sahifalar va qidiruv so‘rovlarini;
• aloqa, kirish va buyurtma formalari mazmunini;
• sessiya cookie’larini — ular yordamida buzg‘unchi parolsiz akkauntga kiradi.

Begona kontent qo‘shish. Foydalanuvchi va server o‘rtasidagi har qanday vositachi — buzilgan router, insofsiz kirish nuqtasi, zararli proksi — HTTP sahifani qayta yozishi mumkin. Amalda bu qo‘shilgan reklama, ortiqcha trekerlar va zararli saytlarga yo‘naltirishlar. Tashrif buyuruvchi esa tarmoqni emas, sizning saytingizni ayblaydi.

Fayllarni almashtirish. HTTP orqali berilgan narxlar PDF’i yoki ilova o‘rnatuvchisini boshqa fayl bilan almashtirish mumkin.

Soxta sahifalar orqali fishing. HTTPS bo‘lmasa, foydalanuvchi sahifa aynan sizning serveringizdan kelganini tekshira olmaydi.

Brauzerlar va qidiruv tizimlari qanday munosabatda

SEO uchun ta’sir o‘z-o‘zidan kamtarona. Asosiy yo‘qotish — ishonch: formaning yonida «Xavfsiz emas» yozuvini ko‘rgan tashrif buyuruvchi ko‘pincha chiqib ketadi.

HTTPS’ga o‘tish nimalardan iborat

1. Sertifikat olish. Ko‘pchilik saytlarga Let’s Encrypt’ning bepul avtomatik sertifikatlari yetarli. Hosting panellari va CDN’lar ularni ko‘pincha bir bosishda chiqaradi.
2. O‘rnatish va avtomatik yangilashni sozlash. Muddati o‘tgan sertifikat saytni butunlay buzadi, shuning uchun yangilash kimningdir xotirasiga bog‘liq bo‘lmasligi kerak.
3. Butun HTTP trafikni HTTPS’ga doimiy 301-redirekt bilan yo‘naltirish.
4. Aralash kontentni (mixed content) tuzatish. Rasmlar, skriptlar, shriftlar va iframe’larga barcha http:// havolalarni https:// yoki nisbiy yo‘llarga almashtiring. Brauzerlar himoyalangan sahifalardagi xavfsiz bo‘lmagan resurslarni bloklaydi yoki belgilaydi.
5. Canonical, sitemap va ichki havolalarni yangilash, so‘ng HTTPS versiyani Google Search Console va Yandex Webmaster’ga qo‘shish.
6. Cookie’larni Secure bayrog‘i bilan belgilash, toki ular hech qachon HTTP orqali ketmasin.
7. Hammasi ishlagach, HSTS’ni yoqish — shunda brauzerlar HTTP’ni umuman sinab ko‘rmaydi.

nginx’dagi minimal redirekt:

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://example.com$request_uri;
}

Ko‘p uchraydigan xatolar

• Redirekt faqat bosh sahifa uchun sozlangan, ichki sahifalar HTTP’da qolgan.
• 301 o‘rniga 302 (vaqtinchalik) redirekt ishlatilgan.
• Eski maqolalarda yoki CMS bazasida rasmlarga qattiq yozilgan http:// havolalar.
• Unutilgan subdomenlar: www, api, admin.
• HSTS barcha subdomenlar HTTPS’da ishlashidan oldin yoqilgan.