Що таке протокол HTTP і чим він відрізняється від HTTPS

Щоразу, коли ви відкриваєте сайт, браузер і сервер обмінюються повідомленнями за певними правилами. Ці правила називаються протоколом HTTP. Літера «S» у HTTPS здається дрібницею, але насправді це межа між відкритим текстом і захищеним з'єднанням. Розберімося, як це влаштовано.

Що таке HTTP

HTTP (HyperText Transfer Protocol, протокол передачі гіпертексту) визначає, як клієнт (зазвичай браузер) запитує дані в сервера і як сервер відповідає. Протокол з'явився на початку 90-х разом із Всесвітньою павутиною. Тім Бернерс-Лі створив його для передачі HTML-сторінок.

HTTP працює за схемою «запит — відповідь». Браузер надсилає запит, наприклад «дай мені сторінку /about». Сервер повертає відповідь: код статусу, заголовки й тіло, тобто саму сторінку, зображення або JSON.

Найпростіший запит виглядає так:

GET /about HTTP/1.1
Host: example.com
User-Agent: Mozilla/5.0

А відповідь так:

HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8

<html>...</html>

Методи HTTP

Метод повідомляє серверу, що саме хоче зробити клієнт. Основні методи:

GET отримує дані;
POST надсилає дані, наприклад форму;
PUT і PATCH оновлюють ресурс;
DELETE видаляє його.

Коди відповіді

Перша цифра коду одразу показує, чим завершився запит:

2xx: усе добре (200 OK);
3xx: перенаправлення (301, 302);
4xx: помилка на боці клієнта (404 Not Found, 403 Forbidden);
5xx: помилка на боці сервера (500, 502 Bad Gateway).

HTTP не зберігає стан

Кожен запит обробляється незалежно, і сервер сам по собі «не пам'ятає», що ви заходили секунду тому. Тому для авторизації та кошиків використовують cookies, сесії й токени.

Версії протоколу

HTTP/1.1 довгі роки був стандартом. HTTP/2 навчився передавати багато запитів паралельно одним з'єднанням. HTTP/3 працює поверх QUIC (на базі UDP) замість TCP і швидше встановлює з'єднання, особливо в мобільних мережах.

Головна проблема HTTP

Звичайний HTTP передає все відкритим текстом. Будь-хто, хто перебуває між вами та сервером, бачить уміст запитів і відповідей: логіни, паролі, номери карток, листування. Це може бути власник публічного Wi-Fi у кав'ярні, провайдер або зловмисник у тій самій мережі. Ба більше, він може непомітно підмінити дані, наприклад вбудувати рекламу чи шкідливий скрипт у сторінку.

Що таке HTTPS

HTTPS (HTTP Secure) — це той самий HTTP, але переданий через зашифрований канал TLS. Методи, заголовки й коди відповіді лишаються незмінними. Змінюється лише «труба», якою йдуть дані.

TLS розв'язує одразу три завдання.

Конфіденційність. Дані шифруються, і перехоплювач бачить лише безглуздий набір байтів.

Цілісність. Якщо хтось змінить дані дорогою, одержувач це виявить.

Автентифікація. Сервер пред'являє сертифікат, підписаний довіреним центром сертифікації (CA). Так браузер переконується, що спілкується саме з example.com, а не з підробленим сайтом.

Як встановлюється захищене з'єднання

Перед обміном даними клієнт і сервер проводять TLS-рукостискання (handshake). Браузер повідомляє, які алгоритми шифрування він підтримує. Сервер відповідає обраним набором і надсилає свій сертифікат. Браузер перевіряє сертифікат за ланцюжком довіри. Потім сторони за допомогою асиметричної криптографії домовляються про спільний секретний ключ. Увесь подальший трафік шифрується цим ключем симетрично, а це швидко. У TLS 1.3 рукостискання займає лише один обмін повідомленнями туди й назад.

HTTP і HTTPS: порівняння

HTTPHTTPS ШифруванняНіТак (TLS) Порт за замовчуванням80443 Перевірка автентичності сервераНіТак, через сертифікат Захист від підміни данихНіТак Відображення в браузері«Не захищено»Значок замка Вплив на SEOМінусПлюс (сигнал ранжування Google) Підтримка HTTP/2 і HTTP/3 у браузерахНіТак

Міфи про HTTPS

«HTTPS повільніший». Колись шифрування справді помітно навантажувало сервер. Тепер процесори шифрують апаратно, а TLS 1.3 скоротив рукостискання. Головне: браузери підтримують швидкі HTTP/2 і HTTP/3 лише поверх HTTPS, тож на практиці захищений сайт часто завантажується швидше.

«Сертифікат — це дорого». Безкоштовний центр сертифікації Let's Encrypt видає сертифікати автоматично, а утиліта Certbot сама їх подовжує.

«HTTPS означає, що сайт безпечний». Замок гарантує лише захищений канал і автентичність домену. Фішинговий сайт теж може мати дійсний сертифікат, тому уважно дивіться на адресу.

Як перевести сайт на HTTPS

Для типового сервера на Nginx знадобляться три кроки. Спочатку отримайте сертифікат, наприклад через Certbot:

sudo certbot --nginx -d example.com -d www.example.com

Потім налаштуйте перенаправлення всього HTTP-трафіку на HTTPS:

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

Нарешті, увімкніть HSTS: цей заголовок наказує браузеру завжди підключатися до сайту лише через HTTPS.

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Підсумок

HTTP — це мова, якою браузер і сервер спілкуються між собою. HTTPS — та сама мова, тільки розмова відбувається в захищеній кімнаті, де сторонні не можуть ні підслухати, ні підкинути записку. У 2026 році HTTPS став стандартом: браузери позначають сайти без нього як небезпечні, пошуковики знижують їх у видачі, а сертифікат можна отримати безкоштовно за кілька хвилин. Якщо ваш сайт досі працює через HTTP, саме час це виправити.