HTTPS tarkoittaa suojattua yhteyttä – mitä lukko kertoo ja mitä ei

Mitä HTTPS tarkoittaa?

HTTPS on lyhenne sanoista Hypertext Transfer Protocol Secure. Se on verkkosivujen siirtoprotokollan HTTP:n suojattu versio, ja lopun S-kirjain tarkoittaa sanaa secure eli suojattu. Tavallisessa HTTP-yhteydessä tiedot kulkevat salaamattomina, jolloin samassa verkossa oleva tai liikenteen välissä toimiva taho voi lukea tai muokata niitä.

Suojauksen hoitaa TLS (Transport Layer Security), joka on kehittynyt vanhemmasta SSL-protokollasta. Siksi puhutaan yhä usein SSL-varmenteista, vaikka nykyiset yhteydet käyttävät TLS:ää. HTTPS:n kehitti alun perin Netscape 1990-luvulla.

Käyttäjälle HTTPS näkyy osoitteen alussa (https://) ja osoiterivin kuvakkeena, jonka takaa löytyvät yhteyden tiedot. Perinteinen merkki on lukko, mutta esimerkiksi Chrome on korvannut sen neutraalimmalla asetuskuvakkeella juuri siksi, että lukko tulkittiin liian usein luotettavuuden merkiksi. Mitään ei tarvitse asentaa – selain ja palvelin hoitavat salauksen automaattisesti.

HTTP ja HTTPS: erot

Ero on kuin postikortin ja suljetun kirjekuoren välillä: molemmat vievät viestin perille, mutta vain kirjekuori suojaa sisällön matkan aikana.

Miten HTTPS-yhteys muodostuu?

1. Selain ottaa yhteyttä. Kun avaat https-osoitteen, selain aloittaa TLS-kättelyn ja kertoo palvelimelle, mitä salausmenetelmiä se tukee.
2. Palvelin esittää varmenteen. Palvelin lähettää TLS-varmenteensa, jossa on sen julkinen avain ja tieto varmenteen myöntäjästä.
3. Selain tarkistaa varmenteen. Selain varmistaa, että varmenne on voimassa, sen on myöntänyt luotettu varmentaja ja se kuuluu juuri siihen verkkotunnukseen, jota olet avaamassa.
4. Istuntoavaimet sovitaan. Osapuolet sopivat yhteisistä salausavaimista, joita ulkopuolinen ei saa selville.
5. Tiedonsiirto alkaa salattuna. Sivun sisältö, lomakkeet ja evästeet kulkevat tämän jälkeen salattuina.

Kättely kestää sekunnin murto-osan, eikä käyttäjä huomaa sitä. Nykyaikainen TLS 1.3 on vanhempia versioita nopeampi ja turvallisempi. Vanhat versiot TLS 1.0 ja 1.1 ovat haavoittuvia, ja selaimet ovat luopuneet niiden tuesta.

Mitä HTTPS suojaa – ja mitä ei

HTTPS ei myöskään piilota kaikkea. Verkon ylläpitäjä tai operaattori voi yleensä nähdä, minkä verkkotunnuksen palvelimeen olet yhteydessä, mutta ei sivun tarkkaa osoitetta tai sisältöä.

Käytännön esimerkki: jos saat viestin, jossa kehotetaan kirjautumaan sähköpostiisi, ja linkki alkaa https://, se voi silti olla kalastelusivu. Kirjoita tuttu osoite itse tai käytä kirjanmerkkiä. Oikeat osoitteet ja kirjautumisvaiheet löydät esimerkiksi oppaistamme Elisa Webmailiin kirjautumisesta ja Oma Veikkaukseen kirjautumisesta.

Miksi selain varoittaa suojaamattomasta sivusta?

Chrome on merkinnyt salaamattomat HTTP-sivut Ei turvallinen -merkinnällä vuodesta 2018. Selain varoittaa myös, jos sivun varmenne on vanhentunut, myönnetty väärälle verkkotunnukselle tai sen myöntäjään ei luoteta. Chromessa on lisäksi tila Vaarallinen, jolloin sivustoa ei pidä käyttää lainkaan. Firefox näyttää vastaavissa tilanteissa omat virhesivunsa, esimerkiksi ilmoituksen epäonnistuneesta suojatusta yhteydestä.

• Älä syötä salasanoja tai maksutietoja sivulle, josta selain varoittaa.
• Tarkista, että osoite on kirjoitettu oikein ja kuuluu palveluun, jota olit avaamassa.
• Avaa yhteyden tiedot osoiterivin kuvakkeesta ja katso, kenelle varmenne on myönnetty.
• Jos varoitus tulee tutulta sivustolta yllättäen, kokeile myöhemmin uudelleen tai toisesta verkosta.
• Tarkista tietokoneen päivämäärä ja kellonaika: väärä aika voi saada voimassa olevan varmenteen näyttämään vanhentuneelta.

Pidä selain ja käyttöjärjestelmä päivitettyinä, sillä varmenteiden tarkistus ja salausmenetelmät päivittyvät niiden mukana. Jos koneessasi on vielä Windows 10, lue, miten Windows 10:n ESU-päivitykset toimivat. Jatkuvasti ponnahtelevat ilmoitukset taas ovat eri asia kuin yhteysvaroitukset – niiden hallintaan auttaa ohjeemme Chromen ilmoitusten estämisestä.

Sivuston ylläpitäjälle: näin otat HTTPS:n käyttöön

1. Hanki TLS-varmenne luotetulta varmentajalta. Maksuttoman varmenteen saa esimerkiksi Let’s Encryptiltä, maksullisia myyvät muun muassa DigiCert ja Sectigo. Monet webhotellit hoitavat varmenteen automaattisesti.
2. Asenna varmenne palvelimelle. Yleiset palvelinohjelmistot, kuten Apache, Nginx ja IIS, tukevat tätä suoraan.
3. Ohjaa HTTP-liikenne HTTPS-osoitteeseen pysyvällä 301-uudelleenohjauksella.
4. Korjaa sekasisältö. Päivitä sisäiset linkit, kuvat, skriptit ja tyylitiedostot https-muotoon, jotta selain ei varoita.
5. Automatisoi uusiminen. Varmenteilla on aina voimassaoloaika, jota alan yhteisillä säännöillä on lyhennetty vaiheittain. Let’s Encryptin varmenteet ovat olleet voimassa 90 päivää.
6. Testaa asennus esimerkiksi SSL Labsin maksuttomalla testillä.

Google on kertonut käyttävänsä HTTPS:ää yhtenä hakutulosten sijoitukseen vaikuttavana signaalina, mutta tärkein syy on käyttäjien luottamus ja tietoturva.

Usein kysyttyä

Onko HTTPS-sivu aina turvallinen?

Ei. HTTPS takaa vain, että yhteys on salattu ja päätyy varmenteen verkkotunnukseen. Myös huijaussivuilla voi olla voimassa oleva varmenne, joten tarkista aina osoite.

Mitä S tarkoittaa HTTPS:ssä?

S tulee sanasta secure eli suojattu. Se erottaa salatun HTTPS-yhteyden salaamattomasta HTTP:stä.

Mikä ero on SSL:llä ja TLS:llä?

TLS on SSL:n seuraaja. Vanhat SSL-versiot eivät ole enää käytössä, mutta arkikielessä puhutaan yhä SSL-varmenteista.

Vanheneeko HTTPS-varmenne?

Vanhenee. Jokaisella varmenteella on voimassaoloaika, ja vanhentunut varmenne saa selaimen varoittamaan. Siksi ylläpitäjät automatisoivat uusimisen.

Maksaako HTTPS-varmenne?

Ei välttämättä. Let’s Encrypt myöntää maksuttomia varmenteita, jotka salaavat yhteyden yhtä hyvin kuin maksulliset.

Mitä sekasisältö tarkoittaa?

Sekasisällössä HTTPS-sivu lataa osan sisällöstään, kuten kuvia tai skriptejä, salaamattomalla HTTP-yhteydellä. Selain voi estää tällaisen sisällön tai näyttää varoituksen.

Lähteet ja lisätietoa

• Wikipedia – HTTPS
• Cloudflare – What is HTTPS
• DigiCert – SSL, TLS ja HTTPS selitettynä
• Google Chrome -ohje – sivuston yhteyden turvallisuuden tarkistaminen
• Mozilla – Firefoxin suojatun yhteyden virheet
• Google Transparency Report – salaus verkossa
• Itä-Suomen yliopisto – sivustojen turvallisuus