Ce este HTTPS și ce îți spune de fapt lacătul

HTTPS înseamnă că legătura dintre browserul tău și un site e criptată. Nimeni de pe drum, cum ar fi cineva conectat la același Wi-Fi dintr-o cafenea sau un router compromis, nu poate citi ce se trimite și nici nu poate modifica pe ascuns. Nu înseamnă că site-ul în sine e cinstit, și asta e partea pe care o înțeleg greșit cei mai mulți.

Ce face litera S

HTTP e felul în care browserele și site-urile își trimit paginile de la începuturile webului. HTTPS e același lucru, trimis printr-o conexiune criptată, cu un protocol numit TLS. Face trei lucruri. Criptează ce trimiți, așa că parolele, numerele de card și mesajele nu pot fi citite pe drum. Împiedică modificarea paginii pe drum, așa că nimeni de la mijloc nu poate strecura reclame sau programe periculoase. Și verifică faptul că vorbești cu serverul care chiar aparține domeniului respectiv, cu ajutorul unui certificat emis de o organizație în care browserele au încredere.

Fără HTTPS, totul circulă la vedere. Când Google a anunțat ultima schimbare din Chrome, echipa lui de securitate a spus-o simplu: atacatorilor le ajunge o singură navigare nesecurizată ca să deturneze o vizită sau să strecoare programe periculoase.

Ce nu îți spune lacătul

Ani la rând, browserele au arătat un lacăt lângă adresele securizate, iar mulți l-au citit ca „site-ul ăsta e sigur”. Un studiu făcut de Google în 2021 a arătat că doar 11% dintre participanți înțelegeau ce înseamnă de fapt iconița.

Problema e că și infractorii folosesc HTTPS. Oricine are un domeniu poate obține un certificat gratuit în câteva minute. Încă de la sfârșitul lui 2020, Anti-Phishing Working Group raporta că 84% dintre site-urile de phishing îl foloseau. Așa că lacătul de pe o pagină falsă de logare la bancă e cât se poate de real. Conexiunea către pagina falsă chiar e criptată.

De asta Chrome a renunțat la lacăt în versiunea 117, în septembrie 2023, și a pus în locul lui o iconiță neutră, cu niște reglaje, care deschide setările site-ului. Alte browsere încă arată un lacăt, așa că o să le întâlnești pe amândouă.

Adresa e cea care îți spune cu cine ai de-a face. Înainte să scrii o parolă sau un număr de card, citește domeniul. banca-ta.ro și banca-ta-logare-sigura.com au proprietari diferiți și doar unul dintre ei e banca ta.

Poți să te uiți și la certificatul în sine. În Chrome, dă click pe iconița din stânga adresei, apoi pe „Connection is secure” și pe „Certificate is valid”. Vezi pentru ce domeniu a fost emis, cine l-a emis și până când e valabil. La majoritatea site-urilor apare doar domeniul, nu și firma din spatele lui, încă un motiv pentru care lacătul singur nu garantează pentru nimeni.

De ce îi trebuie totuși site-ului tău

Browserele tratează deja HTTP simplu ca pe o excepție. Din iulie 2018, Chrome marchează orice pagină HTTP cu „Not secure”. Din octombrie 2026, cu Chrome 154, merge mai departe: setarea „Always Use Secure Connections” e pornită implicit, așa că Chrome încearcă întâi HTTPS și îl întreabă pe vizitator înainte să deschidă un site public care nu-l suportă. Pentru cineva care încă nu-ți cunoaște afacerea, asta înseamnă un ecran de avertizare între el și prima ta pagină.

Mare parte din web a trecut deja. Google raportează că între 95% și 99% dintre paginile încărcate în Chrome folosesc HTTPS, în funcție de platformă. Let's Encrypt, o organizație nonprofit care emite certificate gratuit, spunea la sfârșitul lui 2025 că deservește peste 700 de milioane de site-uri. Când a pornit, doar 39% dintre paginile încărcate pe web erau criptate.

Google folosește HTTPS și ca semnal de clasare, dar unul ușor. Când l-a anunțat, în 2014, a spus că influențează mai puțin de 1% dintre căutări. Nu ridică singur o pagină în rezultate, dar un site fără HTTPS arată abandonat lângă unul care îl are.

Există și o parte practică. Multe funcții din browser merg doar pe pagini securizate: accesul la locație, la cameră și la microfon, service workerii care permit unui site să meargă fără internet, plus HTTP/2 și HTTP/3, protocoalele mai noi care ajută paginile să se încarce mai repede. Pe HTTP simplu, un site nu poate folosi niciuna dintre ele.

Cum îl obții

Multe firme de hosting includ un certificat gratuit, de obicei de la Let's Encrypt, pe care îl pornești din panoul de control. Dacă site-ul tău stă în spatele unui serviciu ca Cloudflare, acesta se poate ocupa de certificat între vizitatori și Cloudflare. Legătura dintre Cloudflare și serverul tău ar trebui și ea criptată, altfel o parte din drum rămâne la vedere.

O să vezi și certificate cu plată, inclusiv unele cu „validare extinsă”, la care emitentul verifică firma din spatele site-ului. Criptarea e aceeași ca la un certificat gratuit. Pe vremuri, acestea afișau numele firmei într-o bară verde lângă adresă, dar Chrome și Firefox au renunțat la ea în 2019, după ce echipa de securitate a Chrome a ajuns la concluzia, din propriile cercetări, că oamenii nu alegeau mai sigur din cauza ei. Pentru majoritatea site-urilor, certificatul gratuit e suficient.

După ce l-ai pornit, verifică trei lucruri. Întâi, că adresele cu http:// trimit automat la https://, ca linkurile vechi și paginile salvate să ajungă pe varianta securizată. Apoi, că pagina nu are conținut mixt, adică poze sau scripturi încărcate tot prin http://, pe care browserele fie le trec pe HTTPS, fie le blochează. În Chrome le găsești dacă apeși F12 și deschizi tabul Console. Și, în sfârșit, că certificatul se reînnoiește singur.

Un programator poate activa și HSTS, o setare care le spune browserelor să folosească de acum înainte HTTPS pentru domeniul tău. După prima vizită, nici măcar o adresă scrisă cu http:// nu mai pleacă necriptată.

Reînnoirea automată contează tot mai mult. Certificatele expiră, iar când se întâmplă asta, vizitatorii văd un avertisment pe tot ecranul în locul site-ului tău. În 2025, CA/Browser Forum, grupul producătorilor de browsere și al emitenților de certificate care stabilește regulile, a hotărât să scurteze în pași durata maximă a unui certificat: 200 de zile din martie 2026, 100 de zile din martie 2027 și 47 de zile din martie 2029. Reînnoirea de mână o dată pe an dispare, iar reînnoirea automată, pe care instrumentele construite în jurul Let's Encrypt o fac deja, devine singura variantă practică.