Yan yana
HTTPvsHTTPS
HTTP ile HTTPS arasındaki fark nedir?
Güncellendi 2 dk okuma7 fark
Kısaca
HTTPS, şifreli TLS üzerinden giden HTTP'dir: istekler aynıdır ama HTTPS onları dinleyenlerden gizler, değiştirilmeyi fark eder ve sunucunun kimliğini kanıtlar.
HTTP
Hiper Metin Aktarım Protokolü
HTTP, tarayıcıların, uygulamaların ve sunucuların basit bir istek-yanıt döngüsüyle web sayfaları ve veri alışverişi yapmasını sağlayan protokoldür.
HTTP sayfasını okuHTTPS
Güvenli Hiper Metin Aktarım Protokolü (Hypertext Transfer Protocol Secure)
HTTPS, tarayıcı ile web sitesi arasındaki trafiği TLS ile şifreleyen, verileri dinlemeye ve değiştirilmeye karşı koruyan HTTP'nin güvenli sürümüdür.
HTTPS sayfasını okuHTTP ve HTTPS karşılaştırması
| Özellik | HTTP | HTTPS |
|---|---|---|
| Şifreleme | Yok; veri okunabilir metin olarak yol alır | TLS ile şifrelenir |
| Varsayılan port | 80 | 443 |
| URL şeması | http:// | https:// |
| Sertifika | Gerekmez | Alan adı için bir TLS sertifikası gerekir |
| Bütünlük | Veri yolda fark edilmeden değiştirilebilir | Müdahale tespit edilir ve bağlantı başarısız olur |
| Tarayıcının yaklaşımı | Güvenli değil olarak etiketlenir; birçok modern API engellenir | Asma kilit gösterilir; modern web API'lerine tam erişim |
| Protokol sürümleri | Tarayıcılarda yalnızca HTTP/1.1 | HTTP/1.1, HTTP/2 ve HTTP/3 |
Fark, açıklamalı
HTTP (Hypertext Transfer Protocol, Köprüli Metin Aktarım Protokolü), tarayıcıların ve sunucuların web sayfalarını ve API verilerini alışverişte kullandığı protokoldür. HTTPS ise aynı protokolün TLS (Transport Layer Security, Taşıma Katmanı Güvenliği) içinde taşınmasıdır; TLS, URL yolunu, başlıkları, çerezleri ve gövdeyi ağ üzerinde yol almadan önce şifreler.
Fark, düz HTTP'nin sizinle sunucu arasındaki herkes, örneğin herkese açık bir Wi-Fi'ın işletmecisi ya da ele geçirilmiş bir yönlendirici tarafından okunabilmesi ve değiştirilebilmesinden doğar. TLS üç garanti ekler: şifreleme yoluyla gizlilik, her değişikliğin fark edilmesi için bütünlük ve gerçek alan adıyla konuştuğunuzu kanıtlayan bir sertifika yoluyla kimlik doğrulama.
HTTPS, HTTP'nin yerini almaz; onu taşır. Metotlar, durum kodları ve başlıklar tamamen aynı çalışır; sunucular genellikle http:// adresini https:// adresine yönlendirir ve tarayıcıların güvensiz sürümü bir daha kullanmaması için HSTS başlığı gönderir. Tarayıcılar HTTP/2'yi yalnızca TLS üzerinden konuşur, HTTP/3'te ise şifreleme her zaman yerleşiktir.
Sık yapılan bir yanlış, HTTPS'nin yavaş olduğu ya da yalnızca giriş ve ödeme sayfalarında gerektiği düşüncesidir. TLS 1.3 ile ek maliyet küçüktür, tarayıcılar düz HTTP sayfalarını güvenli değil olarak etiketler ve service worker'lar ile konum belirleme gibi birçok modern özellik HTTPS gerektirir. Bir diğeri, asma kilit simgesinin sitenin güvenilir olduğu anlamına geldiği düşüncesidir: yalnızca bağlantının özel olduğunu gösterir, sitenin dürüst olduğunu değil.
Hangisini kullanmalısınız?
HTTP şu durumlarda doğru seçim:
- Yerel geliştirme sırasında trafik kendi makinenizde kalıyor.
- TLS güvenilir bir proxy'de sonlandıktan sonra servisler özel bir ağ içinde konuşuyor.
- 80 numaralı porttaki bir sunucu ziyaretçileri yalnızca HTTPS sürümüne yönlendiriyor.
HTTPS şu durumlarda doğru seçim:
- Siteniz ya da API'niz genel internetten erişilebilir.
- Kullanıcılar oturum açıyor, form gönderiyor ya da herhangi bir kişisel veri iletiyor.
- Service worker'lar ya da HTTP/2 gibi modern tarayıcı özelliklerine ihtiyacınız var.
- Kullanıcıların ve arama motorlarının sitenize güvenmesini istiyorsunuz.
Sık sorulan sorular
HTTPS, HTTP'den daha mı yavaş?
Yalnızca ilk bağlantıda ve çok az. TLS 1.3'ün kurulumu tek bir gidiş-dönüş gerektirir ve HTTPS, tarayıcılarda HTTP/2 ile HTTP/3'ün kilidini açar; bu yüzden pratikte HTTPS siteleri çoğu zaman daha hızlıdır.
HTTPS hangi web sitelerini ziyaret ettiğimi gizler mi?
Kısmen. Sayfa yolunu, içeriği ve çerezleri gizler; ama şifreli DNS ve Encrypted Client Hello kullanılmadıkça alan adı çoğu zaman DNS sorguları ve TLS el sıkışması yoluyla yine görünür.
HTTPS sertifikaları para tutar mı?
Zorunlu değil. Ücretsiz ve otomatik sertifika otoriteleri güvenilir sertifikaları bedelsiz verir ve birçok barındırma platformu HTTPS'yi kendiliğinden etkinleştirir.