Verkkosivuston vaihtaminen HTTP:stä HTTPS:ään muuttaa osoiterivillä yhtä kirjainta ja muuttaa kaiken siitä, miten data liikkuu sivuston ja sen kävijöiden välillä. HTTPS eli Hypertext Transfer Protocol Secure on salattu versio protokollasta, jolla verkkosivustot lähettävät ja vastaanottavat dataa. Se vaikuttaa hakusijoituksiin, muokkaa sitä, miten selaimet esittävät sivustosi kävijöille, ja ratkaisee, ovatko sivujesi kautta lähetetyt henkilötiedot suojattuja vai alttiina siirron aikana. Tieto siitä, mitä HTTPS tarkalleen tekee ja mitä se ei tee, erottaa aidosti turvallisen ratkaisun sellaisesta, joka vain näyttää siltä.
HTTP on verkon tiedonsiirron perusta. Aina kun selain pyytää sivua ja palvelin toimittaa sen, tämä vaihto tapahtuu HTTP:n yli. Ongelma on, että salaamaton HTTP siirtää dataa selkotekstinä. Jokainen, jolla on pääsy selaimen ja palvelimen väliseen verkkoliikenteeseen, voi lukea, mitä lähetetään. HTTPS ratkaisee tämän lisäämällä saman viestinnän päälle salauksen SSL-varmenteen avulla. Täydellisen selityksen SSL-varmenteiden toiminnasta löydät artikkelista mikä SSL-varmenne on ja miten se toimii.
Mikä ero on HTTP:llä ja HTTPS:llä?
Miten data kulkee
- HTTP siirtää dataa selkotekstinä. Lomakelähetys HTTP:n yli lähettää kävijän syötteen verkkojen läpi muodossa, jonka voi lukea, jos se siepataan
- HTTPS salaa datan ennen kuin se lähtee selaimesta ja purkaa salauksen vasta, kun data saapuu palvelimelle. Siepattu data on lukukelvotonta ilman purkuavainta
- Tämä ero on kävijöille näkymätön tavallisessa käytössä, mutta se ratkaisee, onko heidän lähettämänsä data suojattu vai alttiina siirron aikana
Mitä selaimet näyttävät kävijöille
- HTTPS:n kautta tarjotut sivustot näyttävät selaimen osoiterivillä lukkokuvakkeen, joka kertoo yhteyden olevan turvallinen
- HTTP:n kautta tarjotut sivustot näyttävät "Ei suojattu" -merkinnän. Sivuilla, joilla on syöttökenttiä, jotkin selaimet näyttävät näkyvämmän varoituksen
- Kävijät, jotka näkevät "Ei suojattu" -merkinnän ennen lomakkeen lähettämistä tai ostoksen tekemistä, jatkavat epätodennäköisemmin
SSL-varmenteen rooli
- HTTPS vaatii palvelimelle asennetun SSL-varmenteen. Varmenne tekee salatut yhteydet mahdollisiksi
- Ilman voimassa olevaa varmennetta selain ei voi muodostaa suojattua yhteyttä ja näyttää varoituksen sivun normaalin latauksen sijaan
- Varmenne myös todentaa verkkosivuston identiteetin ja vahvistaa, että verkkotunnus kuuluu organisaatiolle, jota se väittää edustavansa
Miten HTTPS suojaa kävijöidesi dataa?
Kun kävijä yhdistää HTTPS-verkkosivustoon, selain ja palvelin muodostavat salatun kanavan TLS-kättelyksi kutsutulla prosessilla. Kaikki tämän jälkeen vaihdettava data salataan istunnon ajan.
Mitä HTTPS suojaa
- Yhteydenottolomakkeen lähetykset, mukaan lukien nimet, sähköpostiosoitteet ja viestien sisältö
- Kirjautumistunnukset, mukaan lukien sivustollasi syötetyt käyttäjätunnukset ja salasanat
- Maksutiedot, mukaan lukien korttinumerot ja laskutustiedot kassasivuilla
- Sivustohakukenttiin syötetyt hakukyselyt
Mitä HTTPS ei suojaa
- HTTPS salaa siirrettävän datan mutta ei suojaa dataa, kun se on tallennettu palvelimelle. Tietokantamurto on erillinen tietoturvaongelma, jota HTTPS ei estä
- HTTPS ei tee verkkosivustosta immuunia muille hyökkäyksille. SQL-injektio, cross-site scripting ja raa'an voiman hyökkäykset kohdistuvat itse verkkosivustoon eivätkä siirrettävään dataan
- HTTPS on yksi osa laajempaa tietoturvakokonaisuutta, ei kokonainen ratkaisu yksinään
Laajemman kuvan siitä, millaisia uhkia verkkosivustot kohtaavat ja miten niihin vastataan, löydät artikkelista miksi verkkosivuston tietoturva on tärkeää.
Miten HTTPS vaikuttaa hakusijoituksiin?
HTTPS on vahvistettu sijoitussignaali. Hakukoneet käyttävät sitä yhtenä tekijänä sivuja arvioidessaan, ja sivustot ilman HTTPS:ää ovat epäedullisessa asemassa vastaaviin turvallisesti tarjottuihin sivuihin nähden.
HTTPS suorana sijoitussignaalina
- HTTPS:n kautta tarjotuilla sivuilla on sijoitusetu muuten identtisiin HTTP-sivuihin nähden
- Sivuilla, jotka kilpailevat sijoituksista tiukasti, HTTPS voi olla tekijä, joka ratkaisee, kumpi näkyy ylempänä
Yhteys sivukokemukseen
- HTTPS on osa sivukokemussignaaleja, joita hakukoneet arvioivat Core Web Vitalsin rinnalla sivuja arvioidessaan
- Sivu, joka ei täytä HTTPS-vaatimusta, ei täytä sivukokemuksen kriteerejä täysin, mikä vaikuttaa siihen, miten sitä kohdellaan niihin sivuihin nähden, jotka ne täyttävät
- Täydellisen erittelyn siitä, mitä Core Web Vitals mittaa ja miten se vaikuttaa sivukokemuksen arviointiin, löydät artikkelista mitä Core Web Vitals tarkoittaa
Hakutulosten varoitukset
- Jos sivusto merkitään tietoturvaongelmien vuoksi, hakukoneet voivat lisätä varoituksia sen hakutulokseen tai laskea sen näkyvyyttä kokonaan
- HTTP:n kautta tarjottu sivusto, jolla on myös muita tietoturvaongelmia, voi kohdata kertautuvaa hakunäkyvyyden laskua
Viittaustietojen tarkkuus
- Kun kävijä napsauttaa linkkiä HTTPS-sivustolta HTTP-sivustolle, viittauslähde poistuu ja käynti näkyy analytiikassa suorana liikenteenä
- HTTP:llä toimivat sivustot menettävät tarkat viittaustiedot HTTPS-lähteistä, mikä vaikeuttaa markkinoinnin tuloksellisuuden seurantaa
- HTTPS-HTTPS-viittaukset välittävät täydelliset viittaustiedot oikein
Mitä verkkosivuston siirtämiseen HTTPS:ään kuuluu?
SSL-varmenteen hankkiminen
- HTTPS vaatii palvelimelle asennetun SSL-varmenteen. Alustoilla, jotka sisältävät varmenteet, tämä tapahtuu automaattisesti
- Itse hallinnoiduilla palvelimilla olevien sivustojen varmenne pitää hankkia varmenteen myöntäjältä ja asentaa käsin
Sisäisten linkkien ja resurssiviitteiden päivittäminen
- HTTPS:n käyttöönoton jälkeen kaikkien sivuston sisäisten linkkien ja resurssiviitteiden (kuvat, skriptit, tyylitiedostot) pitäisi osoittaa HTTPS-osoitteisiin
- Sivut, jotka lataavat resursseja HTTP:llä, vaikka itse sivu tarjotaan HTTPS:llä, laukaisevat sekasisältövaroituksia, jotka voivat kumota tietoturvahyödyn ja aiheuttaa selainvaroituksia
Uudelleenohjausten määrittäminen
- Uudelleenohjaus HTTP:stä HTTPS:ään varmistaa, että jokainen HTTP-versioon saapuva ohjataan automaattisesti suojattuun versioon
- Ilman uudelleenohjausta sivustolla on käytännössä kaksi versiota jokaisesta sivusta, mikä luo päällekkäisen sisällön ongelmia ja jakaa linkkisignaalit niiden kesken
Sivustokartan ja Search Console -asetusten päivittäminen
- HTTPS:ään siirtymisen jälkeen päivitä XML-sivustokarttasi vastaamaan HTTPS-osoitteita ja lähetä se uudelleen hakukoneille
- Jos käytät Search Console -tiliä, lisää sivustosi HTTPS-versio erillisenä ominaisuutena ja vahvista se
Täydellisen oppaan verkkosivustosi suojaamiseen HTTPS:n lisäksi löydät artikkelista miten suojaat verkkosivustosi hakkereilta.
Miten WEMASY hoitaa HTTPS:n
Kaikki WEMASYlla rakennetut verkkosivustot tarjotaan oletuksena HTTPS:n kautta. SSL-varmenteet kuuluvat jokaiseen pakettiin ja aktivoidaan automaattisesti, kun sivusto luodaan. Erillistä käyttöönottoa, ostettavaa varmennetta tai hallinnoitavaa uusimisprosessia ei ole.
Sisäiset linkit, resurssit ja kaikki alustan kautta tarjottu sisältö käyttävät oletuksena HTTPS-osoitteita. Sekasisältövaroitukset eivät ole huolenaihe WEMASYn palvelimella toimivilla sivustoilla, koska alusta pakottaa HTTPS:n kauttaaltaan. HTTP:stä HTTPS:ään -uudelleenohjaukset hoidetaan myös alustatasolla, joten kävijät ja hakukoneet ohjataan aina sivuston suojattuun versioon.
Katso, mitä kuuluu mukaan, WEMASY-sivustonrakentajasta tai tutustu pakettivaihtoihin hinnoittelusivulla.
Usein kysytyt kysymykset
Mitä HTTPS tarkoittaa?
HTTPS tulee sanoista Hypertext Transfer Protocol Secure. Se on HTTP:n salattu versio, protokolla, jolla siirretään dataa selaimen ja verkkopalvelimen välillä. "S" kertoo, että yhteys on suojattu SSL-varmenteella, joka salaa siirrettävän datan niin, ettei sitä voi lukea, vaikka se siepattaisiin. HTTPS:llä toimiva verkkosivusto näyttää selaimen osoiterivillä lukon. WEMASY-sivustonrakentajalla voit ottaa tämän käyttöön suoraan omalla verkkosivustollasi.
Vaaditaanko HTTPS kaikille verkkosivustoille?
Kyllä. HTTPS on välttämätön jokaiselle julkisesti avattavalle verkkosivustolle, ei vain niille, jotka käsittelevät maksuja tai arkaluonteista dataa. Selaimet näyttävät HTTP-sivustoilla "Ei suojattu" -merkinnän, mikä heikentää kävijöiden luottamusta. HTTPS on myös vahvistettu sijoitussignaali, joten HTTP-sivustot ovat epäedullisessa asemassa hakutuloksissa. Jokaisen verkkosivuston, joka kerää kävijätietoja lomakkeilla, kommenteilla tai kirjautumisilla, pitäisi käyttää vähintään HTTPS:ää.
Parantaako HTTPS hakukoneoptimointia?
Kyllä, suoraan. HTTPS on vahvistettu sijoitussignaali, ja HTTPS:n kautta tarjotuilla sivuilla on sijoitusetu vastaaviin HTTP-sivuihin nähden. HTTPS on myös osa sivukokemussignaaleja, joita hakukoneet arvioivat Core Web Vitalsin rinnalla. Sijoitusten lisäksi HTTPS-HTTPS-viittausliikenne välittää täydelliset lähdetiedot analytiikkaan, kun taas HTTP-sivustot menettävät viittauslähdetiedot HTTPS-lähteistä.
Mikä ero on HTTP:llä ja HTTPS:llä?
HTTP siirtää dataa selkotekstinä, eli lomakelähetykset, kirjautumistunnukset ja muu syöte lähetetään verkon yli luettavassa muodossa. HTTPS salaa datan ennen kuin se lähtee selaimesta, jolloin sen voi lukea vain aiottu palvelin. HTTPS myös todentaa verkkosivuston SSL-varmenteella ja vahvistaa, että sivusto on se, joka se väittää olevansa. Selaimet merkitsevät HTTP-sivustot "Ei suojattu" -merkinnällä ja näyttävät lukon HTTPS-sivustoilla.
Voiko sivustolla olla sekä HTTP- että HTTPS-sivuja?
Teknisesti kyllä, mutta se aiheuttaa ongelmia. Hakukoneet voivat indeksoida molemmat versiot ja pitää niitä päällekkäisenä sisältönä. Linkkisignaalit jakautuvat kahden version kesken sen sijaan, että ne keskittyisivät yhteen. Kävijät voivat päätyä suojaamattomaan versioon, jos uudelleenohjauksia ei ole määritetty oikein. Sivut, jotka lataavat resursseja HTTP:llä, vaikka sivu tarjotaan HTTPS:llä, laukaisevat sekasisältövaroituksia. Oikea tapa on tarjota kaikki sivut HTTPS:llä ja ohjata kaikki HTTP-osoitteet HTTPS-vastineisiinsa.
Suojaako HTTPS verkkosivustoani hakkereilta?
HTTPS suojaa datan siirron aikana selaimen ja palvelimen välillä. Se ei suojaa muilta hyökkäystyypeiltä, kuten SQL-injektiolta, cross-site scriptingiltä tai raa'an voiman kirjautumisyrityksiltä, jotka kohdistuvat itse verkkosivustoon eivätkä siirrettävään dataan. HTTPS on välttämätön perustason suojatoimi, mutta se toimii muiden suojausten rinnalla eikä korvaa niitä.