HTTPS tarkoittaa – suojattu yhteys selaimen ja palvelimen välillä

Kun selaimen osoiterivillä näkyy pieni lukkosymboli, moni tulkitsee sen automaattisesti merkiksi turvallisesta sivustosta. Todellisuudessa lukko kertoo vain siitä, että selaimen ja palvelimen välinen yhteys on salattu – se ei kerro sivuston sisällön luotettavuudesta tai ylläpitäjän hyvistä aikeista.

HTTPS:n käyttöaste maailman verkkosivustoista: noin 80 % (W3Techs) · Googlen liikenteestä salattu: yli 95 % (Google Transparency Report) · Protokollan koko nimi: Hypertext Transfer Protocol Secure · Salausmenetelmä: TLS (Transport Layer Security)

Nämä tiedot muodostavat perustan, jolle koko HTTPS-ymmärrys rakentuu.

Mitä HTTPS tarkoittaa?

Mikä on HTTPS-protokolla?

• HTTPS on HTTP:n suojattu laajennus, joka salaa selaimen ja palvelimen välisen liikenteen TLS-protokollalla (sertifikaattiviranomainen DigiCert).
• Ilman salausta kuka tahansa samassa verkossa voi lukea tai muuttaa lähetettyjä tietoja (Itä-Suomen yliopisto (korkeakoulu)).
• HTTPS ei muuta itse verkkosivun sisältöä, ainoastaan tavan, jolla tieto siirretään.

Käytännössä siis joka kerta, kun kirjoitat osoiteriville https://, selaimesi neuvottelee palvelimen kanssa salatun yhteyden ennen kuin yhtään tietoa vaihdetaan. Ilman tätä vaihetta kaikki kirjoittamasi – salasanat, luottokorttinumerot, viestit – kulkevat verkossa selväkielisenä.

Mistä lyhenne HTTPS tulee?

• HTTPS on lyhenne sanoista Hypertext Transfer Protocol Secure (tietosanakirja Wikipedia).
• S-kirjain lopussa tarkoittaa “Secure” eli suojattu – se on ero tavalliseen HTTP-protokollaan.
• Protokollan määritteli alun perin Netscape Communications 1990-luvulla, ja se on kehittynyt SSL:stä nykyiseen TLS-muotoonsa.

Lyhenne on niin vakiintunut, että harva pysähtyy miettimään, mitä kirjaimet oikein tarkoittavat. Silti juuri tuo pieni S-kirjain on se, joka erottaa suojaamattoman selailun salatusta yhteydestä.

The pattern on selvä: teknisesti HTTPS on yksinkertainen parannus, mutta sen vaikutus käyttäjien tietoturvaan on perustavanlaatuinen.

Miksi HTTPS on tärkeä?

Mitä HTTPS suojaa?

• HTTPS estää tietojen lukemisen ja muuttamisen siirron aikana – tätä kutsutaan tiedon eheydeksi (sertifikaattiviranomainen DigiCert).
• HTTPS vahvistaa, että yhteys kohdistuu oikeaan palvelimeen, eikä johonkin huijaussivustolle (tietoturvayritys SSL.com).
• Ilman HTTPS:ää esimerkiksi julkisessa Wi-Fi-verkossa kuka tahansa voi siepata lähettämäsi tiedot (Itä-Suomen yliopisto (korkeakoulu)).

Käytännön esimerkki: olet kahvilassa ja kirjaudut verkkopankkiin avoimen Wi-Fi-verkon kautta. Ilman HTTPS:ää verkkopankkitunnuksesi kulkevat sellaisenaan verkon yli, ja kuka tahansa samassa verkossa voi lukea ne. HTTPS-salaus tekee tästä mahdotonta.

Miksi selain varoittaa suojaamattomasta sivusta?

• Chrome näyttää varoituksen “Yhteys tähän sivustoon ei ole turvallinen”, jos sivusto ei tue suojattua yhteyttä (Googlen tukisivu Google Chrome Help).
• Chrome erottelee tilat “Ei turvallinen” ja “Vaarallinen” – jälkimmäinen kehottaa olemaan käyttämättä sivustoa lainkaan (Googlen tukisivu Google Chrome Help).
• Firefoxilla on omat virhe- ja varoitussivunsa, jos sertifikaatti on vanhentunut tai epäluotettava (Firefoxin tukisivu Mozilla Support).

Tämä ei ole vain tekninen yksityiskohta – se on tietoinen valinta, jonka selainvalmistajat ovat tehneet suojellakseen käyttäjiä. Kun selain varoittaa, se sanoo käytännössä: “Emme voi taata, että tämä yhteys on turvallinen.”

The catch: selain varoittaa juuri siksi, että ilman HTTPS:ää kuka tahansa verkossa voi nähdä tai muuttaa tietojasi.

Miten HTTP ja HTTPS eroavat toisistaan?

HTTP- ja HTTPS-protokollien keskeiset erot

• HTTP siirtää tiedot selaimen ja palvelimen välillä salaamattomina – kuka tahansa voi lukea ne matkan varrella (Googlen tukisivu Google Chrome Help).
• HTTPS lisää HTTP:n päälle TLS-salauksen, joka suojaa tiedot luvattomalta lukemiselta ja muuttamiselta (sertifikaattiviranomainen DigiCert).
• HTTPS-yhteydessä osoite alkaa https:// ja selain näyttää lukkosymbolin osoiterivillä (tietoturvayritys SSL.com).

Kolme keskeistä eroa, yksi selvä johtopäätös: HTTPS on nykyaikaisen verkon perusedellytys, ei lisävaruste.

Ero ei ole pieni – se on perustavanlaatuinen. Siirtyminen HTTP:stä HTTPS:ään on kuin postikortin vaihtaminen suljettuun kirjekuoreen: kummassakin voi lähettää viestin, mutta vain toinen suojaa sen sisällön matkan aikana.

Miksi HTTPS-salaus on tarpeen?

• Ilman salausta verkkosivun kautta lähetetyt tiedot – kuten lomakkeiden sisältö – ovat kenen tahansa luettavissa (Itä-Suomen yliopisto (korkeakoulu)).
• Salaus estää niin sanotut väliintulohyökkäykset, joissa hyökkääjä muuttaa sivun sisältöä huomaamatta.
• Hakukoneet, kuten Google, suosivat HTTPS-sivustoja hakutuloksissaan.

Kyse ei ole vain teknisestä yksityiskohdasta vaan perusoikeudesta: jokaisella on oikeus selaimeen, joka ei vuoda tietojaan sivullisille.

The implication: HTTP ja HTTPS eivät ole vaihtoehtoja vaan eri aikakausia verkkoselailussa.

Miten HTTPS-yhteys muodostetaan?

Miten selain ja palvelin aloittavat suojatun yhteyden?

• Selain pyytää HTTPS-yhteyttä ennen tiedonsiirtoa – se lähettää palvelimelle “ClientHello”-viestin.
• Palvelin vastaa lähettämällä TLS-varmenteensa, joka sisältää julkisen avaimen (sertifikaattiviranomainen DigiCert).
• Selain tarkistaa varmenteen voimassaolon ja sen, onko sen myöntänyt luotettu varmenteen myöntäjä.

Koko prosessi tapahtuu sekunnin murto-osassa ja on käyttäjälle täysin näkymätön. Ainoa merkki siitä on lukkosymboli osoiterivillä.

Mitä TLS-kättely tarkoittaa?

• TLS-kättelyssä selain ja palvelin sopivat yhdessä salausavaimet, joita käytetään istunnon aikana (tietoturvayritys SSL.com).
• Kättely varmistaa, että molemmat osapuolet käyttävät samaa salausprotokollaa eikä kolmas osapuoli voi päästä tietoihin käsiksi.
• Moderni TLS 1.3 -kättely on nopeampi ja turvallisempi kuin vanhemmat versiot.

TLS-kättely on kuin kaksi henkilöä, jotka sopivat salaisesta koodista ennen kuin alkavat puhua – vain ne, jotka tietävät koodin, voivat ymmärtää keskustelua.

What this means: yhteysmuodostus on näkymätön, mutta sen turvallisuus riippuu täysin siitä, että palvelin käyttää ajan tasalla olevaa TLS-versiota.

Miten HTTPS otetaan käyttöön?

Kuinka sivuston omistaja hankkii HTTPS-varmenteen?

• Sivuston omistaja tarvitsee SSL/TLS-varmenteen, jonka myöntää luotettu varmenteen myöntäjä (tietoturvayritys SSL.com).
• Varmenteen voi hankkia maksullisena tai ilmaiseksi esimerkiksi Let’s Encrypt -palvelusta.
• Varmenteen asennuksen jälkeen sivusto voi käyttää https://-osoitetta (Microsoftin kysymyspalsta Microsoft Q&A).

Ilmaiset varmenteet ovat nykyään täysin toimivia ja yhtä turvallisia kuin maksulliset – suurin ero on takuussa ja asiakastuessa.

Mikä on HTTPS-varmenne?

• HTTPS-varmenne on digitaalinen todistus, joka vahvistaa palvelimen identiteetin (sertifikaattiviranomainen DigiCert).
• Varmenne sisältää tiedot myöntäjästä, voimassaoloajasta ja julkisen avaimen.
• Jos varmenteen voimassaolo on päättynyt tai se on myönnetty väärälle toimijalle, selain varoittaa käyttäjää.

Käyttöönoton kannalta tärkeintä on muistaa, että HTTPS ei ole kertaluonteinen toimenpide – varmenteet vanhenevat ja vaativat uusimista.

Vaiheittainen käyttöönotto-ohje

1. Hanki SSL/TLS-varmenne luotetulta varmenteen myöntäjältä, kuten Let’s Encrypt, DigiCert tai Sectigo.
2. Asenna varmenne palvelimelle – useimmat palvelinalustat (kuten Apache, Nginx, IIS) tukevat tätä suoraan.
3. Päivitä sivuston asetukset käyttämään HTTPS-osoitetta oletusarvoisesti.
4. Ohjaa HTTP-liikenne HTTPS-osoitteeseen 301-uudelleenohjauksella, jotta kaikki kävijät ohjautuvat suojattuun versioon.
5. Päivitä sisäiset linkit ja resurssit (kuvat, skriptit, tyylitiedostot) HTTPS-muotoon, jotta vältät sekasisältövaroitukset (sertifikaattiviranomaisen blogi DigiCert Blog).
6. Testaa yhteys SSL Labs -työkalulla varmistaaksesi, että kaikki toimii oikein.

Yksikään vaihe ei ole erityisen vaikea, mutta jokainen on välttämätön. Erityisesti sekasisältö on yleinen ongelma: sivusto on HTTPS:ssä, mutta osa sen sisällöstä (esimerkiksi kuvat) ladataan edelleen HTTP:n kautta, jolloin selain varoittaa (sertifikaattiviranomaisen blogi DigiCert Blog).

The catch: käyttöönotto on yksinkertainen prosessi, mutta sekasisältö ja vanhentuneet varmenteet ovat yleisiä sudenkuoppia, jotka tekevät “suojatusta” sivustosta turvattoman.

Voiko HTTPS-yhteyteen luottaa?

Onko HTTPS hyvä vai huono?

• HTTPS on ehdoton hyvä asia – se salaa yhteyden ja estää tietojen vuotamisen.
• HTTPS ei kuitenkaan takaa sivuston sisällön luotettavuutta – myös huijaussivustot voivat käyttää HTTPS:ää (sertifikaattiviranomainen DigiCert).
• Lukkosymboli ei ole luottamusmerkki – se on salausmerkki.

Tämä on tärkein asia, joka jokaisen verkkokäyttäjän tulisi ymmärtää: lukkosymboli kertoo, että yhteys on suojattu, mutta se ei kerro, kenelle olet yhteydessä. Jos saat sähköpostiviestin, jossa väitetään olevasi pankkisi ja linkki näyttää https://, se voi silti olla tietojenkalastelusivusto.

Mitä HTTPS ei kerro sivustosta?

• HTTPS ei kerro, onko sivuston ylläpitäjä luotettava.
• HTTPS ei kerro, onko sivuston sisältö asiallista tai todenmukaista.
• HTTPS ei kerro, kerääkö sivusto tietoja käyttäjistä tai myykö niitä eteenpäin.

Toisin sanoen HTTPS on teknisen suojauksen minimitaso, ei eettisen toiminnan takuu. Se on kuin lukko ovesi – se suojaa sinua siltä, ettei kukaan kävele sisään, mutta se ei kerro, onko talon omistaja rehellinen.

HTTPS on HTTP:n suojattu versio, joka käyttää TLS-salausta turvalliseen verkkoliikenteeseen.

– pilvipalveluyritys Cloudflare Learning Center

HTTPS on HTTP:n laajennus, joka käyttää salausta turvalliseen verkkoliikenteeseen.

– tietosanakirja Wikipedia

HTTPS on keskeinen protokolla tietosuojan ja verkkoliikenteen yksityisyyden kannalta.

– tietosuojayritys PrivacyEngine

HTTPS:n merkitys on kiistaton: se suojaa yhteyttä, salaa tiedot ja varmistaa, että kohde on oikea palvelin. Mutta se ei ole taikaratkaisu. Lukkosymboli kertoo, että yhteys on suojattu – ei sitä, että sivusto on hyväksytty, luotettava tai turvallinen käyttää. Suomalaiselle verkkokäyttäjälle valinta on selvä: käytä HTTPS:ää aina kun mahdollista, mutta pidä kriittinen ajattelu mukana – lukko ei korvaa maalaisjärkeä.

The implication loppukäyttäjälle: HTTPS on pakollinen perustaso, mutta se ei anna lupaa sokeaan luottamukseen – jokaisen on itse arvioitava sivuston uskottavuus.

Usein kysytyt kysymykset

Aiheeseen liittyvää

• Maksujärjestelmien sääntelymullistus: Trustlyn vetäytyminen ja Pohjoismaiden uusi linja 2026
• OVT-tunnus – Mikä on verkkolaskun osoite ja mihin sitä käytetään