V roku 2014 spoločnosť Google implementovala zabezpečenú verziu protokolu na prenos hypertextu (https) ako a hodnotiaci signál.
To však viedlo k nebezpečnému predpokladu, že by ste nikdy nemali používať žiadny iný typ protokolu (napríklad HTTP).
Toto nie je pravda.
Google v skutočnosti stále indexovo prehľadáva adresy URL iné ako https.
John Mueller to uviedol na Twitteri v júli 2021:
Búranie mýtov: HTTPS nie je potrebné na hodnotenie
Jednou z príčin udržiavania tohto mýtu je skutočnosť, že HTTPS je nevyhnutným komponentom pre hodnotenie.
Čo nie je pravda, ako sme práve ukázali.
HTTPS je skôr signálom prerušenia než čokoľvek iné a nemá veľkú váhu. Myšlienka je taká, že ak sú všetky veci rovnaké, ak má web HTTPS cez HTTP, bude mať vyššie hodnotenie ako HTTP.
Ešte raz, toto je len jeden z tých zlomových signálov, ktoré v posledných rokoch získali veľkú pozornosť vďaka mýtom šíriacim sa na Twitteri a inde.
Google to dokonca hovorí
Pred nejakým časom sa na to na Twitteri spýtali Garyho Illyesa a tiež vysvetlil, že HTTPS je skôr signálom narušiteľa obchodov ako čokoľvek iné:
Nezľavujte HTTP
Inými slovami, nezľavujte z HTTP v prospech HTTPS z nesprávnych dôvodov. Zlomový charakter HTTPS znamená, že pre veľký počet stránok signál HTTPS pravdepodobne nebude mať veľký vplyv.
Pre tých, ktorí sú vo výrazne konkurenčných SERP (stránkach s výsledkami vyhľadávacích nástrojov), je tento rozhodovací prvok niečo, čo môže niektorým webom poskytnúť super extra podporu v dôsledku používania HTTPS.
Je však dôležité poznamenať, že spoločnosť Google presadzuje, aby sa viac stránok posunulo vpred s HTTPS, pričom sa odvolávajú na bezpečnostné problémy s HTTP.
Toto je pravdepodobne prázdna výhovorka (a že takéto všeobecné vyhlásenie má vlastný finančný záujem) a skutočnosť, že žiadne metriky používateľských údajov sa v službe Google Analytics nikdy výrazne nezdieľajú (a nikdy neboli), používanie HTTPS má určité výhody.
Aké sú výhody HTTPS?
Používanie HTTPS v porovnaní s jeho nezabezpečeným náprotivkom HTTP má množstvo výhod.
Patria medzi ne:
- Väčšia bezpečnosť pre používateľov a ich údaje
- Jednoduché nasadenie s riešeniami ako Let’s Encrypt
- Vylepšené hodnotenie vyhľadávania v Google
- Včasné prijatie nového štandardu
- Podpora prehliadača pre HTTP/2
- Zvýšená rýchlosť pre používateľov
Ktorýkoľvek z týchto dôvodov je dostatočný na to, aby ste zvážili migráciu vašich stránok na HTTPS, ale keď to vezmeme, jasná voľba je zrejmá: je čas implementovať HTTPS na váš webový server, ak ste tak ešte neurobili!
Ochrana osobných údajov vďaka vyššej bezpečnosti pre používateľov a údaje
HTTPS bráni odposluchom zachytiť a prečítať vašu návštevnosť. Chráni tiež pred „útokom typu man-in-the-middle“, pri ktorom sa útočník postaví medzi vás a cieľový server, aby prečítal alebo zmenil údaje.
Ak skontrolujete certifikát akejkoľvek webovej stránky, ktorá používa HTTPS, bude podpísaný dôveryhodnou certifikačnou autoritou, aby ste si mohli overiť, že nikto nemanipuloval s informáciami skôr, ako sa dostanú do vášho počítača.
To bráni útočníkom oklamať používateľov, aby si mysleli, že navštevujú jednu stránku, keď sú skutočne na inej (bežne sa to deje prostredníctvom phishingu).
Útočník nemôže sfalšovať certifikát, pretože nemá prístup k súkromnému kľúču použitému na jeho podpísanie.
Preto, ak sa vám niekto pokúsi poslať odkaz na webovú stránku, ktorá vyzerá ako https://www.paypal.com, môžete skontrolovať certifikát a zistiť, že v skutočnosti patrí paypalsecure.paypal2.com, čo rozhodne nie je oficiálna stránka PayPal.
Bezpečnosť HTTPS pochádza z používania kryptografie v infraštruktúre verejných kľúčov (PKI). PKI pozostáva z certifikačných autorít (CA) a zoznamu dôveryhodných koreňových certifikátov nainštalovaných na počítačoch; tieto umožňujú webovým prehliadačom a inému softvéru overiť, či sú webové stránky autentické alebo podvodné.
Systém používateľa už obsahuje niekoľko certifikátov vrátane tých, ktoré sú potrebné na prístup k sieťovým zdrojom, ako sú e-mailové servery cez šifrované pripojenia (SSL), overenie identity cez Secure Shell (SSH), chránený e-mail S/MIME atď. Používatelia, ktorí dodržiavajú dobré bezpečnostné postupy, budú mať certifikát pre webovú stránku, ktorú si prezerajú, a všetky jej subdomény.
Bezpečnosť je často dodatočným nápadom pri vývoji webových stránok a SEO, ale nemalo by to tak byť. Ak vám nezáleží na súkromí používateľov, to je jedna vec – ale ak áno, uistite sa, že ste prijali všetky opatrenia na ochranu ich údajov pred útočníkmi.
Vplyv HTTPS na výkon
Stránky HTTPS sa načítavajú rýchlejšie ako stránky HTTP, pretože réžia šifrovania je zvyčajne zanedbateľná v porovnaní s veľkosťou stránky s obyčajným textom, najmä v moderných systémoch a sieťach.
Typická stránka HTTPS sa môže načítavať o niečo pomalšie, ak je zahrnuté viac šifrovania (napr. certifikát Extended Validation), ale nie vždy výrazne.
Dôvod, prečo môže byť HTTPS rýchlejší ako HTTP, je ten, že prehliadač môže začať načítavať iné zdroje (ako sú reklamy, sledovacie zariadenia alebo obrázky) skôr, ako dostane celú stránku HTML.
Prehliadače sú optimalizované na sťahovanie viacerých vecí naraz cez to isté pripojenie – pokiaľ sú všetky súčasťou rovnakej zabezpečenej relácie. To znamená, že používanie HTTPS vám nebráni v plnom využívaní techník optimalizácie webu.
Niektorí ľudia môžu namietať, že zlepšenie rýchlosti načítania je triviálne, pretože väčšina používateľov má vysokorýchlostné pripojenie a počítačové systémy schopné spracovať viacero požiadaviek súčasne. Aj keď to platí pre mnohých používateľov, stále existuje veľa bez takéhoto luxusu.
No a čo?
Ak na svojom webe ešte nepoužívate protokol HTTPS, je čas na zmenu. Výhody sú početné a na ich získanie nepotrebujete certifikát vydaný dôveryhodnou certifikačnou autoritou. Musíte však aktualizovať softvér servera, aby podporoval TLS 1.1 alebo 1.2 (pozri odkazy nižšie).
HSTS a jeho vzťah k HTTPS
Ako profesionál v oblasti SEO ste možno v niektorých odporúčaniach týkajúcich sa auditu SEO videli informácie o HSTS. Čo to presne je a ako to súvisí?
HSTS alebo HTTP Strict Transport Security je hlavička HTTP, ktorá umožňuje webovým stránkam povedať prehliadačom, že by s nimi mali interagovať iba pomocou HTTPS a nikdy nie cez nezabezpečený protokol HTTP.
Prehliadače budú tieto informácie na určitý čas brať na vedomie.
Typická hodnota v hlavičkách Strict-Transport-Security je približne šesť mesiacov, ale sú možné až dva roky v závislosti od toho, ako často web mení svoj obsah.
Používatelia sa zvyčajne dostanú na webovú stránku HSTS bez problémov, ale ak ju náhodou navštívia prostredníctvom protokolu HTTP (napríklad zadaním adresy URL priamo do prehliadača), prehliadač zobrazí chybové hlásenie.
Strict-Transport-Security vás nemôže ochrániť pred používateľmi, ktorí deaktivujú vašu hlavičku HSTS, ani nie je náhradou za HTTPS. Najlepšie sa používa v kombinácii s HTTPS na inak obyčajnom webe HTTP.
Pretože Strict-Transport-Security hovorí prehliadačom, aby neočakávali nič iné ako prenos HTTPS, niektorí vývojári ho používajú aj v očakávaní nasadenia HTTPS, len aby zabránili návštevníkom vidieť upozornenia na zmiešaný obsah.
Nevýhodou je, že TLS 1.1 a 1.2 vyžadujú väčší výpočtový výkon ako predchádzajúce verzie; a môžu sa vyskytnúť problémy s kompatibilitou so staršími zariadeniami alebo softvérom, ktoré ich ešte nepodporujú. V niektorých prípadoch sa môže znížiť aj sila šifrovania. Predstavujú tiež bezpečnostné riziko, vystavujú klientov potenciálnym problémom, zatiaľ čo ich nástupca (TLS 1.3) tieto riziká znižuje.
Za zmienku tiež stojí, že nie všetky webové stránky musia používať HTTPS. Vo všeobecnosti platí, že ak váš web vyžaduje vstup používateľa (napríklad obchod elektronického obchodu alebo prihlasovacie údaje), malo by to byť iba HTTPS. Ak to tak nie je, môžete aspoň zvážiť vytvorenie protokolu HTTP a presmerovanie akejkoľvek nezabezpečenej prevádzky na HTTPS.
S podporou protokolu HTTPS od Googlu však môže mať zmysel použiť možnosť Let’s Encrypt na vašom webovom serveri a zavolať ho na deň.
Šifrovanie: Prečo by ste ho mali používať pre svoje stránky
HTTPS šifruje spojenia medzi používateľmi a servermi na vašom webe, aby útočníkom zabránil v zobrazení citlivých informácií, ako sú heslá alebo čísla kreditných kariet, ktoré by mohli byť odoslané ako čistý text.
Šifrovanie chráni používateľov pred útokmi typu „man-in-the-middle“, kedy sa útočník môže pokúsiť zachytiť informácie, ktoré prechádzajú z počítača používateľa na váš server, a zmeniť to, čo vidia, aby ich prinútil odovzdať citlivé informácie alebo vykonaním inej činnosti, ktorá je pre nich škodlivá.
Šifrovanie lokality by malo byť povolené na každej stránke webovej lokality, ale nie nevyhnutne na všetkých subdoménach. ak máte blog, ktorý nie je súčasťou vašej hlavnej domény, nechceli by ste, aby používal protokol HTTPS. To isté platí pre iné položky, ako sú obrázky alebo videá. Užitočný obsah je v poriadku bez HTTPS, ale všetko s prihlasovacími údajmi alebo inými súkromnými údajmi by ho malo používať.
S jednoduchosťou nastavenia HTTPS sa však možno budete chcieť rozhodnúť pre paušálne riešenie, pretože používanie iného protokolu pre iné časti vášho webu neprináša presne žiadne výhody SEO.
Niektoré typy webových stránok budú mať z HTTPS väčší úžitok ako iné. Vo všeobecnosti by každá webová stránka, ktorá sa zaoberá heslami, finančnými údajmi alebo osobnými identifikačnými údajmi (PII), mala byť šifrovaná. Pri nastavovaní stránky elektronického obchodu je najdôležitejšou vecou, pokiaľ ide o šifrovanie, získanie certifikátu a správna konfigurácia webového servera. V súčasnosti existuje niekoľko možností výberu certifikátu SSL: certifikáty založené na názve (DV), certifikáty so zástupnými znakmi (OV), certifikáty pre viacero domén/SAN a rozšírené overenie (EV).
Hranie Webmaster: Šifrovanie stojí za problémy
Aby boli používatelia v bezpečí pred mnohými typmi kybernetických útokov – vrátane odpočúvania a útokov typu man-in-the-middle – všetky webové stránky by mali na prenos údajov používať skôr HTTPS ako HTTP. HTTPS pomáha zaistiť, že citlivé informácie používateľov sú šifrované a nie sú náchylné na neoprávnené zásahy tretích strán.
Zelený visiaci zámok na vašom prehliadači, ktorý ukazuje, že je bezpečný
V paneli s adresou prehliadača sa zobrazí zelený visiaci zámok, ktorý ukazuje, že sa nachádzate na šifrovanej stránke.
Google Chrome dokonca od júla 2018 začal varovať používateľov, ktorí navštevujú nezabezpečené stránky.
Vaše heslo a číslo kreditnej karty sú (vo všeobecnosti) v bezpečí
Ak sa niekto pokúsi ukradnúť vaše heslo alebo číslo kreditnej karty, nebude môcť prečítať informácie z dôvodu šifrovania.
Šifrovanie vynucuje bezpečnostné protokoly, neustále sa zlepšuje
Keď webová stránka používa iba HTTPS alebo má aplikácia možnosť prejsť na HTTPS, ak beží na lokálnom hostiteľovi, existuje menej bezpečnostných medzier. Keď sa nejaký nájde, problémy s protokolmi sa dajú riešiť rýchlejšie, pretože všetky webové stránky používajú rovnaké pravidlá: šifrovanie. Keďže väčšina stránok používa šifrované certifikáty SSL (namiesto certifikátov s vlastným podpisom), znamená to, že ich informácie overuje dôveryhodná organizácia – ďalší skvelý spôsob, ako udržať vaše údaje v bezpečí.
Zadarmo a jednoducho s Let’s Encrypt
Nastavenie SSL certifikátu pre váš web pomocou Let’s Encrypt je bezplatné a jednoduché.
Aj keď vaše stránky nepoužívajú žiadne citlivé informácie, môžete použiť šifrovanie na ochranu hesiel používateľov a čísel kreditných kariet. Je to skvelý spôsob, ako zabezpečiť, aby informácie vašich používateľov zostali súkromné, a zároveň zlepšiť ich skúsenosti.
Čím viac webových stránok používa Let’s Encrypt na poskytovanie šifrovania pre svojich používateľov, tým je to úžasnejšie. A keďže Let’s Encrypt možno dôverovať, pretože jeho certifikáty vydávajú organizácie ako Mozilla a Google, používanie HTTPS má zmysel aj pre stránky, ktoré nie sú elektronickým obchodom.
Nerobte chybu a nemyslite si, že práve preto, že na vašich stránkach neprebieha žiadny zber údajov, môžete mať výhovorku, aby ste neprešli na HTTPS. Existujú výhody, ktoré je ťažké ignorovať.
