Https

voient également : Couche transport de Security#How cela fonctionne le

À proprement parler, les https n'est pas un protocole séparé, mais se rapporte à la combinaison d'une interaction normale de HTTP au-dessus d'un chiffré par fixent la couche de douilles (SSL) ou le raccordement de la sécurité (TLS) de couche transport de . Ceci assure la protection raisonnable contre des oreilles indiscrètes et des attaques Homme-dans-le-moyennes

https : l'URL de peut spécifier un port de TCP ; s'il ne fait pas, le raccordement emploie le port 443 (le HTTP sans garantie emploie typiquement le port 80).

Pour préparer un web server pour accepter des raccordements de https l'administrateur doit créer un certificat de clef publique pour le web server. Ces certificats peuvent être créés pour les serveurs basés par d'Unix de avec des outils tels que le OpenSSL 's ssl-ca ou le SuSE 's gensslcert. Ce certificat doit être signé par un Certificate Authority d'une forme ou d'une autre, qui certifient que le support de certificat est en effet l'entité qu'il prétend être. Des navigateurs de Web sont généralement distribués avec les certificats de signature de des principales autorités de certificat, de sorte qu'ils puissent vérifier des certificats signés par eux.

Les organismes peuvent également courir leur propre Certificate Authority, en particulier s'ils sont responsables des navigateurs d'établissement pour accéder à leurs propres emplacements (par exemple, emplacements sur un intranet de compagnie), car ils peuvent trivialement ajouter leur propre certificat de signature à ceux embarqué avec le navigateur.

Quelques emplacements, particulièrement ceux ont fonctionné par des amateurs, d'utilisation Individu-signé délivre un certificat sur les emplacements publics. Using ces derniers assure la protection contre l'écoute clandestine simple, mais à la différence d'un certificat bien connu, l'empêchement d'une attaque Homme-dans-le-moyenne avec un certificat individu-signé exige de l'emplacement de faire disponible une autre méthode bloquée de vérifier le certificat.

Le système peut également être employé pour l'authentification de client, afin de limiter l'accès à un web server seulement aux utilisateurs autorisés. Pour ceci, typiquement l'administrateur d'emplacement crée les certificats pour chaque utilisateur qui sont chargés dans leur navigateur. Ceux-ci contiennent normalement le nom et l'email address de l'utilisateur autorisé, et sont automatiquement vérifiés par le serveur sur chacun rebranchent pour vérifier l'identité de l'utilisateur, potentiellement sans entrer jamais un mot de passe.

Limitations

HTTPS protège seulement des données en transit contre l'écoute clandestine et l'homme dans les attaques moyennes. Une fois que les données arrivent à leur destination, elles sont seulement aussi sûres que l'ordinateur elles sont allumés. Le gène Spafford déclare qu'il est comme le " ; using un camion blindé pour transporter des rouleaux de penny entre quelqu'un sur un banc de parc et quelqu'un faisant des affaires d'un carton box." ;

Puisque SSL fonctionne au-dessous du HTTP et n'a aucune connaissance des protocoles de plus haut niveau, les serveurs de SSL peuvent seulement présenter un certificat pour une combinaison particulière d'IP/port. Ceci signifie que dans la plupart des cas il n'est pas faisable d'employer de accueil virtuel nom-basé par avec HTTPS.