Kun avaat verkkosivun osoitteella, joka alkaa https://, selain ja palvelin muodostavat salatun yhteyden. HTTPS ei ole enää valinnainen lisä vaan perusvaatimus: ilman sitä selaimet näyttävät varoituksia, hakukoneet rankaisevat ja käyttäjät epäröivät jättää lomakkeisiin tietoja. Tässä artikkelissa selitetään, miten HTTPS ja SSL/TLS-sertifikaatti toimivat, miksi ne tarvitaan myös pienellä sivustolla ja miten ilmaisen sertifikaatin saa käytännössä.
Mitä HTTPS, SSL ja TLS tarkoittavat
HTTP on protokolla, jolla selain pyytää sivuja palvelimelta. HTTPS on sama protokolla suojattuna TLS-kerroksella (Transport Layer Security). Vanhempaa nimeä SSL käytetään edelleen puhekielessä ja tuotenimissä, vaikka nykyaikaiset yhteydet perustuvat TLS:ään. Mozilla Developer Networkin mukaan TLS suojaa yhteyttä kolmella tavalla: salaamalla liikennettä, estämällä huomaamatonta manipulointia ja autentikoimalla palvelimen.
Käytännössä tämä tarkoittaa, että salasana, maksutiedot tai yhteydenottolomakkeen sisältö eivät kulje avoimena tekstinä verkon yli. Lisäksi selain voi varmistaa, että se keskustelee juuri sen verkkotunnuksen palvelimen kanssa, johon käyttäjä yritti mennä – ei väliin tunkeutuneen hyökkääjän kanssa. Ilman tätä suojaa “man-in-the-middle” -hyökkääjä voisi lukea tai muuttaa liikennettä huomaamatta.
Miten TLS-kättely etenee
Kun selain avaa HTTPS-yhteyden, se ja palvelin sopivat TLS-versiosta ja salausalgoritmeista. Nykyisin suositeltu versio on TLS 1.3 (RFC 8446); TLS 1.2 on edelleen käytössä, mutta TLS 1.0 ja 1.1 tulisi poistaa. Palvelin lähettää digitaalisen sertifikaatin, joka sitoo julkisen avaimen verkkotunnukseen. Selain tarkistaa, että sertifikaatin on allekirjoittanut luotettu varmenteen myöntäjä (Certificate Authority, CA), että verkkotunnus täsmää, että voimassaoloaika on kunnossa ja ettei sertifikaattia ole mitätöity.
Kun tarkistukset menevät läpi, osapuolet sopivat istuntoavaimesta, jolla varsinainen sivudata salataan. Käyttäjä näkee yleensä lukkokuvakkeen tai vastaavan merkin. Jos sertifikaatti on vanhentunut, väärälle nimelle myönnetty tai ketju ei ole luotettu, selain näyttää varoituksen. Varoitusta ei pidä ohittaa kevyesti etenkään kirjautumis- tai maksusivuilla.
Miksi sertifikaatti tarvitaan myös pienelle sivustolle
Ilman HTTPS:ää salasanoja, evästeitä ja lomaketietoja voi lukea samassa verkossa oleva hyökkääjä, esimerkiksi kahvilan Wi-Fi-verkossa. Lisäksi modernit selainominaisuudet, kuten tietyt palvelutyöntekijät ja turvalliset evästeasetukset, edellyttävät suojattua kontekstia. Hakukoneet ovat jo vuosia suosineet HTTPS-sivustoja, ja käyttäjät oppivat välttämään “Ei turvallinen” -varoituksia.
Yritykselle HTTPS on myös luottamuskysymys. Jos verkkokauppa, ajanvaraus tai yhteydenottosivu ei ole suojattu, osa asiakkaista poistuu heti. Sama koskee kirjautumista, uutiskirjelomakkeita, asiakasportaaleja ja hallintapaneeleja. Suojaus kannattaa ulottaa myös alidomaineihin, joita käytetään esimerkiksi kehitysympäristöön tai rajapintoihin.
Let’s Encrypt ja ilmaiset Domain Validation -sertifikaatit
Let’s Encrypt on voittoa tavoittelematon Certificate Authority, joka myöntää ilmaisia Domain Validation (DV) -sertifikaatteja. Prosessi perustuu ACME-protokollaan: palvelimella oleva asiakasohjelma todistaa hallitsevansa verkkotunnuksen esimerkiksi HTTP- tai DNS-haasteella, minkä jälkeen sertifikaatti myönnetään. Sertifikaatit ovat tyypillisesti voimassa 90 päivää, joten automaattinen uusiminen on tärkeää – manuaalinen uusiminen unohtuu helposti.
Monet webhotellit ja WordPress-palvelut tarjoavat Let’s Encryptin yhdellä napilla. VPS-palvelimella voi käyttää esimerkiksi Certbot-työkalua. Let’s Encrypt ei myönnä Organization Validation- tai Extended Validation -sertifikaatteja, mutta tavalliselle sivustolle DV riittää salaamaan liikenteen ja todistamaan verkkotunnuksen hallinnan. Sertifikaatit julkaistaan myös Certificate Transparency -lokeihin, mikä lisää avoimuutta.
Käytännön checklist sivuston ylläpitäjälle
- Varmista, että sivusto ohjaa automaattisesti HTTP:stä HTTPS:ään pysyvällä uudelleenohjauksella.
- Tarkista, ettei sivulla ole mixed content -varoituksia eli HTTP:llä ladattuja kuvia, skriptejä tai fontteja.
- Pidä sertifikaatin uusiminen automaattisena ja seuraa vanhenemispäivää.
- Käytä vähintään TLS 1.2:ta, mieluiten TLS 1.3:a, ja poista vanhat heikot salaukset.
- Suojaa myös hallintapaneeli, webmail ja rajapinnat HTTPS:llä.
- Varmista, että sekä www- että juuridomain toimivat; usein tarvitaan sertifikaatti, joka kattaa molemmat nimet.
Jos käytät CDN-palvelua tai reverse proxya, sertifikaatti pitää olla kunnossa sekä reunalla että tarvittaessa alkuperäispalvelimella. Testaa sivusto eri selaimilla julkaisun jälkeen. HTTPS on yksi halvimmista tavoista parantaa sivuston turvallisuutta, hakukonenäkyvyyttä ja käyttäjien luottamusta – ja sen käyttöönotto on nykyään useimmilla alustoilla suoraviivaista.
Yhteenveto
HTTPS suojaa käyttäjän ja palvelimen välistä liikennettä, auttaa estämään väliintulohyökkäyksiä ja on nykyään verkkosivuston perusvaatimus. Ilmainen Let’s Encrypt -sertifikaatti ja webhotellin automaatio tekevät käyttöönotosta helppoa useimmille sivustoille. Pidä uudelleenohjaukset, TLS-versiot ja sertifikaatin uusiminen kunnossa – se on yksi edullisimmista tavoista parantaa turvallisuutta ja luotettavuutta.
Lähteet
- MDN: Transport Layer Security (TLS)
- Let’s Encrypt: How It Works
- Let’s Encrypt FAQ
- SSL.com: Browsers and Certificate Validation