Что такое протокол HTTP и чем он отличается от HTTPS

Каждый раз, когда вы открываете сайт, браузер и сервер обмениваются сообщениями по определённым правилам. Эти правила называются протоколом HTTP. Буква «S» в HTTPS выглядит мелочью, но на деле это граница между открытым текстом и защищённым соединением. Разберёмся, как это устроено.

Что такое HTTP

HTTP (HyperText Transfer Protocol, протокол передачи гипертекста) задаёт, как клиент (обычно браузер) запрашивает данные у сервера и как сервер отвечает. Протокол появился в начале 90-х вместе со Всемирной паутиной. Тим Бернерс-Ли придумал его для передачи HTML-страниц.

Работает HTTP по схеме «запрос — ответ». Браузер отправляет запрос, например «дай мне страницу /about». Сервер возвращает ответ: код статуса, заголовки и тело, то есть саму страницу, картинку или JSON.

Простейший запрос выглядит так:

GET /about HTTP/1.1
Host: example.com
User-Agent: Mozilla/5.0

А ответ так:

HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8

<html>...</html>

Методы HTTP

Метод говорит серверу, что клиент хочет сделать. Основные методы:

GET получает данные;
POST отправляет данные, например форму;
PUT и PATCH обновляют ресурс;
DELETE удаляет его.

Коды ответа

Первая цифра кода сразу показывает, чем закончился запрос:

2xx: всё хорошо (200 OK);
3xx: перенаправление (301, 302);
4xx: ошибка на стороне клиента (404 Not Found, 403 Forbidden);
5xx: ошибка на стороне сервера (500, 502 Bad Gateway).

HTTP не хранит состояние

Каждый запрос обрабатывается независимо, и сервер сам по себе «не помнит», что вы заходили секунду назад. Поэтому для авторизации и корзин используют cookies, сессии и токены.

Версии протокола

HTTP/1.1 долгие годы был стандартом. HTTP/2 научился передавать много запросов параллельно по одному соединению. HTTP/3 работает поверх QUIC (на базе UDP) вместо TCP и быстрее устанавливает соединение, особенно в мобильных сетях.

Главная проблема HTTP

Обычный HTTP передаёт всё открытым текстом. Любой, кто находится между вами и сервером, видит содержимое запросов и ответов: логины, пароли, номера карт, переписку. Это может быть владелец публичного Wi-Fi в кафе, провайдер или злоумышленник в той же сети. Более того, он может незаметно подменить данные, например внедрить рекламу или вредоносный скрипт на страницу.

Что такое HTTPS

HTTPS (HTTP Secure) — это тот же HTTP, но передаваемый через зашифрованный канал TLS. Методы, заголовки и коды ответа остаются прежними. Меняется только «труба», по которой идут данные.

TLS решает три задачи сразу.

Конфиденциальность. Данные шифруются, и перехватчик видит лишь бессмысленный набор байтов.

Целостность. Если кто-то изменит данные по пути, получатель это обнаружит.

Аутентификация. Сервер предъявляет сертификат, подписанный доверенным центром сертификации (CA). Так браузер убеждается, что говорит именно с example.com, а не с поддельным сайтом.

Как устанавливается защищённое соединение

Перед обменом данными клиент и сервер проводят TLS-рукопожатие (handshake). Браузер сообщает, какие алгоритмы шифрования он поддерживает. Сервер отвечает выбранным набором и присылает свой сертификат. Браузер проверяет сертификат по цепочке доверия. Затем стороны с помощью асимметричной криптографии договариваются об общем секретном ключе. Весь дальнейший трафик шифруется этим ключом симметрично, а это быстро. В TLS 1.3 рукопожатие занимает всего один обмен сообщениями туда и обратно.

HTTP и HTTPS: сравнение

HTTP HTTPS Шифрование Нет Да (TLS) Порт по умолчанию 80 443 Проверка подлинности сервера Нет Да, через сертификат Защита от подмены данных Нет Да Отображение в браузере «Не защищено» Значок замка Влияние на SEO Минус Плюс (сигнал ранжирования Google) Поддержка HTTP/2 и HTTP/3 в браузерах Нет Да

Мифы о HTTPS

«HTTPS медленнее». Когда-то шифрование действительно заметно нагружало сервер. Сейчас процессоры шифруют аппаратно, а TLS 1.3 сократил рукопожатие. Главное: браузеры поддерживают быстрые HTTP/2 и HTTP/3 только поверх HTTPS, так что на практике защищённый сайт часто грузится быстрее.

«Сертификат — это дорого». Бесплатный центр сертификации Let's Encrypt выдаёт сертификаты автоматически, а утилита Certbot сама их продлевает.

«HTTPS означает, что сайт безопасный». Замок гарантирует только защищённый канал и подлинность домена. Фишинговый сайт тоже может иметь валидный сертификат, поэтому внимательно смотрите на адрес.

Как перевести сайт на HTTPS

Для типичного сервера на Nginx понадобятся три шага. Сначала получите сертификат, например через Certbot:

sudo certbot --nginx -d example.com -d www.example.com

Затем настройте редирект со всего HTTP-трафика на HTTPS:

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

Наконец, включите HSTS: этот заголовок велит браузеру всегда подключаться к сайту только по HTTPS.

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Итог

HTTP — это язык, на котором браузер и сервер общаются. HTTPS — тот же язык, только разговор идёт в защищённой комнате, куда посторонние не могут ни подслушать, ни подбросить записку. В 2026 году HTTPS стал стандартом: браузеры помечают сайты без него как небезопасные, поисковики понижают их в выдаче, а сертификат можно получить бесплатно за пару минут. Если ваш сайт всё ещё работает по HTTP, самое время это исправить.