Fino al 2017, la grande maggioranza dei siti Web su Internet utilizzava il protocollo di trasferimento ipertestuale (HTTP) per la trasmissione dei dati di un sito Web al browser Web di un visitatore.
Fino ad allora, la maggior parte dei browser era pienamente in grado di ricevere contenuti HTTP sicuri, ma pochi proprietari di siti si sono preoccupati di configurare i propri siti Web utilizzando HTTPS.
Cos’è HTTPS? Sta per protocollo di trasferimento ipertestuale sicuro. E oggi, questa versione sicura di HTTP è il modo in cui la maggior parte dei siti Web su Internet trasmette i propri contenuti ai browser.
Quando un sito Web utilizza HTTPS, significa che tutti i dati trasmessi tra quel sito Web e il browser sono crittografati. Prima di HTTPS, un hacker poteva facilmente intercettare la trasmissione tra l’host web e il browser dell’utente e leggere il contenuto trasmesso. Questo perché il contenuto è stato trasmesso in HTML o testo normale. In molti casi anche ID e password erano facili da estrarre da queste trasmissioni.
Cosa rende HTTPS diverso? HTTPS utilizza la cosiddetta Transport Layer Security (TLS), precedentemente nota come Secure Socket Layer (SSL). TLS utilizza due “chiavi” di sicurezza per crittografare completamente i dati che passano tra l’host web e il browser.
- Chiave privata: si tratta di una chiave archiviata nel server Web di origine. Non è accessibile al pubblico, quindi solo questa chiave privata memorizzata sul server web reale può decrittografare le trasmissioni.
- Chiave pubblica: la chiave pubblica viene utilizzata da qualsiasi browser che desidera comunicare con il server Web che detiene il sito Web.
Come funziona la comunicazione HTTPS
Il processo di comunicazione funziona come segue.
- Un utente apre un browser e si connette a una pagina web.
- Il sito Web invia al browser dell’utente un certificato SSL che contiene la chiave pubblica. Il browser necessita di questa chiave pubblica per poter aprire la connessione iniziale con il sito.
- Questo avvia quello che viene chiamato un “handshake TLS” in cui il client (browser) e il server (sito web) “concordano” sulla cifratura da utilizzare, verifica la firma digitale SSL del sito e genera nuove chiavi di sessione per la sessione corrente.
Una volta stabilita questa “sessione”, nessuno tra il browser e il server web sarà in grado di identificare facilmente le informazioni oi dati trasferiti.
Questo perché tutto, anche l’HTML trasmesso al browser, viene crittografato (essenzialmente codificato in testo e simboli senza senso). Solo il browser che ha stabilito la connessione iniziale con il sito web può decifrare le informazioni e viceversa. Solo il sito Web può ricevere elementi come ID e password e decifrarli per l’uso.
Quindi, ogni volta che vedi che un sito è sicuro, puoi essere certo che le comunicazioni tra il tuo browser e il sito remoto sono private e al sicuro da occhi indiscreti.
Come sapere se un sito utilizza HTTPS
A partire dal 2017, Google ha esercitato pressioni sui proprietari di siti Web affinché incorporassero certificati SSL nei loro siti Web. Lo hanno fatto integrando una nuova funzionalità nell’ultima versione di Chrome che visualizzava un avviso “Non sicuro” agli utenti ogni volta che visitavano un sito che non utilizzava HTTPS.
Se stai utilizzando l’ultima versione del browser Chrome e visiti un sito protetto che utilizza HTTPS, vedrai una piccola icona di lucchetto a sinistra dell’URL. Non molto tempo dopo, altri browser hanno iniziato a seguire l’esempio, inclusi Firefox, Safari e altri. Mostreranno tutti un’icona di blocco come fa Chrome.
Se visiti un sito Web e il sito non utilizza HTTPS per comunicare, vedrai un errore Non sicuro a sinistra dell’URL. Come se questo non fosse abbastanza scoraggiante per tenere i visitatori lontani da un sito Web, Google ha anche istituito una politica in base alla quale l’uso di certificati SSL aiuterebbe i siti Web a posizionarsi più in alto nei risultati di ricerca.
Questi due motivi sono il motivo per cui la maggior parte dei proprietari di siti Web ha finalmente iniziato la transizione dei propri siti per utilizzare i certificati SSL e comunicare con i browser dei visitatori tramite HTTPS.
Perché dovresti preoccuparti di HTTPS?
Come utente di Internet, dovresti preoccuparti molto se un sito utilizza o meno HTTPS. Potresti pensare che nessuno si preoccupi dei siti web che visiti o di ciò che stai facendo su Internet, ma ci sono comunità molto grandi di hacker là fuori che sono molto interessate.
Intercettando le comunicazioni del browser con i siti Web, gli hacker sono costantemente alla ricerca di una qualsiasi delle seguenti informazioni:
- Il tuo indirizzo email, in modo che possano venderlo agli spammer.
- Il tuo numero di telefono e indirizzo fisico in modo che possano venderlo ai professionisti del marketing.
- ID e password che utilizzi per accedere ai tuoi conti bancari in modo che possano accedere ai tuoi fondi.
- Eventuali siti imbarazzanti che visiti in modo che possano inviarti e-mail minacciando di condividere quell’attività con amici e familiari se non paghi.
- L’indirizzo IP diretto del tuo computer in modo che possano provare ad hackerare il tuo sistema.
In effetti, assicurarti di visitare solo siti che utilizzano HTTPS è un modo potente per proteggere la tua privacy e sicurezza online, per molte ragioni.
Se possiedi un sito web, ci sono ancora più motivi per cui dovresti preoccuparti di installare i certificati SSL e abilitare HTTPS.
- Otterrai più traffico di ricerca su Google.
- I visitatori si sentiranno sicuri di visitare il tuo sito web più frequentemente.
- I clienti si sentiranno più sicuri nell’acquistare prodotti da te.
- Gli hacker avranno meno probabilità di ottenere ID o password che rendano più facile per loro hackerare il tuo sito web.
Non ci sono più buone ragioni per chiunque utilizzi Internet in questi giorni per non utilizzare solo HTTPS per tutte le transazioni web.
Come utilizzare HTTPS sul tuo sito
Se possiedi un sito web e sei interessato a sbarazzarti di quel messaggio spaventoso “Non sicuro” quando le persone visitano il tuo sito, non è difficile installare certificati SSL per il tuo sito web.
I semplici passaggi sono i seguenti:
- Determina l’indirizzo IP dedicato che il tuo host web ha fornito al tuo sito web.
- Installa il certificato SSL fornito dal tuo sito web o uno che hai acquistato da un servizio di certificato SSL.
- Forza tutti i browser a utilizzare SSL quando visiti il tuo sito modificando il file .htaccess con un comando “rewrite” che cambia tutte le connessioni per utilizzare HTTPS.
- Assicurati di fornire il tuo certificato SSL privato a tutti i servizi CDN che hai installato sul tuo sito.
Questo processo sta diventando ancora più semplice ultimamente, poiché molti servizi di web hosting stanno fornendo ai proprietari di siti web soluzioni con un clic per installare i certificati SSL per il loro sito web.