HTTP ist das Protokoll, mit dem Browser und Server Seiten, Bilder und Daten austauschen. Die Abkürzung steht für Hypertext Transfer Protocol, auf Deutsch etwa Hypertext-Übertragungsprotokoll. HTTPS ist dieselbe Sprache in einem verschlüsselten Kanal; das S steht für secure, sicher.
- HTTP / HTTPS
Das Protokoll, mit dem Browser und Server Seiten austauschen, in unverschlüsselter und in verschlüsselter Form.
Beispiel: „Alle Seiten liefern wir nur über HTTPS aus.“Auch: Hypertext Transfer Protocol. Die Verschlüsselung bei HTTPS übernimmt TLS, nachgewiesen über ein SSL-Zertifikat.
Abgrenzung zur URL: Die URL nennt die Adresse, HTTP regelt, wie sie abgefragt wird. Das Protokoll steht deshalb am Anfang jeder URL.
Wie eine HTTP-Anfrage aufgebaut ist
Aus einer Methode, einem Pfad und einer Reihe von Headern. Die Methode sagt, was passieren soll: GET holt etwas, POST schickt etwas hin. Der Pfad sagt, was gemeint ist. Die Header bringen alles mit, was dazu nötig ist, etwa die gewünschte Sprache oder eine Anmeldung.
Die Antwort ist gleich gebaut: ein Statuscode, eigene Header und der Inhalt. Der Austausch ist zustandslos; jede Anfrage steht für sich, und dass ein Besucher angemeldet ist, muss bei jeder Anfrage erneut mitgeschickt werden.
Was HTTPS zusätzlich leistet
Es verschlüsselt den Austausch und weist nach, mit wem du redest. Ohne Verschlüsselung kann jeder auf dem Weg mitlesen, vom Betreiber des Netzwerks im Café bis zu einem Gerät beim Anbieter, und er kann die Antwort auch verändern, etwa Werbung einfügen.
Darum ist HTTPS keine Zusatzfunktion mehr. Browser kennzeichnen unverschlüsselte Seiten als nicht sicher, moderne Browserfunktionen setzen es voraus, und für Suchmaschinen ist HTTPS ein Rankingfaktor. Die Zertifikate dafür sind über Let's Encrypt kostenlos.
Was beim Umstellen auf HTTPS zu tun ist
Alle Adressen dauerhaft weiterleiten, und zwar mit einem 301 je Ziel statt gesammelt auf die Startseite. Dazu alle Verweise im Inhalt auf das verschlüsselte Protokoll ziehen, denn ein einzelnes unverschlüsselt eingebundenes Bild macht die ganze Seite im Browser wieder zur gemischten Seite.
Zum Abschluss HSTS setzen, damit der Browser von sich aus nur noch verschlüsselt anfragt, und die Zertifikatsverlängerung prüfen. Ein abgelaufenes Zertifikat sperrt die Seite wirksamer aus als jeder Serverausfall.