HTTPS Denetleyici ve Doğrulayıcı; güveni, arama görünürlüğünü, formları, oturum açma işlemlerini, tarayıcı uyarılarını ve bir web sitesinin genel itibarını mahvedene kadar küçük görünen bir soru için tasarlanmıştır. Bir alan adı veya URL girersiniz ve denetleyici sitenin HTTPS üzerinden yanıt verip vermediğini, HTTP sürümünün HTTPS'ye temiz bir şekilde yönlendirilip yönlendirilmediğini, SSL/TLS sertifikasının geçerli görünüp görünmediğini ve sunucunun bir HSTS başlığı gönderip göndermediğini test eder. Yalın bir dille bir web sitesinin güvenli aktarımı gerçekten doğru bir şekilde kullanıp kullanmadığını veya arkada kapıları sessizce açık bırakırken yalnızca güvenli kılığına girip girmediğini kontrol eder.
Bu önemlidir çünkü bir web sitesi birisi bir zamanlar bir sertifika yükleyip hayatına devam ettiği için "güvenli" olmaz. Gerçek HTTPS hijyeninin katmanları vardır. Bir site HTTPS üzerinden yanıt vermelidir. Eski HTTP sürümü unutulmuş bir servis girişi gibi ortalıkta oyalanmak yerine genellikle HTTPS'ye yönlendirilmelidir. Sertifika insanların ziyaret ettiği ana bilgisayar için geçerli olmalıdır. Tarayıcı sitenin kimliği hakkında garip bir şüpheye düşmeye zorlanmamalıdır. HSTS düzgün kullanıldığında tarayıcılara belirli bir süre boyunca güvensiz sürümü denemeyi tamamen bırakmalarını söyler. İnsanlar genellikle asma kilit simgesinin hikayenin sonu olduğunu varsayar. Oysa ilk bölümün tamamı bile değildir.
HTTPS'nin neden var olduğunu açıklamak için mitoloji araya girmeden önce harfleri ayırmak yardımcı olur. HTTP, Hypertext Transfer Protocol (Köprü Metni Aktarım Protokolü) anlamına gelir. Tarayıcı ile sunucu arasında web içeriğini taşımak için kullanılan klasik protokoldür. Hypertext kelimesi doğrusal basılı bir sayfa gibi davranmak yerine bir belgeden diğerine atlayabilen bağlantılı metin şeklindeki eski fikirden gelir. Bu web'in tanımlayıcı fikirlerinden biriydi. Yararlı, zarif, dünyayı değiştiren. Ancak varsayılan olarak şifrelenmemiş. HTTPS ise güvenli bir taşıma katmanı üzerinden taşınan HTTP'dir. Normal insan terimleriyle tarayıcı ve sunucu hala web dilini konuşur, ancak artık bunu açık bir koridorda bağırmak yerine şifrelenmiş ve kimliği doğrulanmış bir kanalın içinde yaparlar.
Güvenli kısım mühendisler daha parlak bir kısaltma istediği için ortaya çıkmadı. Açık web koruma olmadan güven için berbat bir yer olduğu için ortaya çıktı. Düz HTTP üzerinden gönderilen erken web trafiği ağ yolu üzerinde doğru konuma sahip olan herkes tarafından okunabilir veya değiştirilebilirdi. Bu düşman bir aktör, güvenliği ihlal edilmiş bir ağ, kötü niyetli bir ortak erişim noktası veya düz metin iletişiminin kurcalamaya bir davetiye olduğu şeklindeki kasvetli gerçeklik anlamına gelebilirdi. Parolalar, oturum çerezleri, formlar, kişisel veriler, yönetici panelleri, arama terimleri, hesap işlemleri — tüm bunlar düşman veya dikkatsiz bir altyapı boyunca okunabilir biçimde taşındığında çok daha utanç verici hale gelir. HTTPS "lütfen trafiğimi kurcalamayın" bir strateji olmadığı için vardır.
HTTPS'ye giden tarihsel yol SSL ve daha sonra TLS'den geçer ve dünyanın TLS'ye geçmesinden çok sonra bile kaç kişinin hala "SSL sertifikası" dediğinde belirli bir kuru mizah vardır. SSL (Secure Sockets Layer), 1990'larda Netscape tarafından tarayıcı ile sunucu arasındaki trafiği güvence altına almanın bir yolu olarak tanıtıldı. SSL 2.0 ve SSL 3.0 eski köprülerin dönüm noktası olduğu anlamda dönüm noktalarıydı: Bir yere varmak için önemliydi ancak sonsuza kadar üzerinde sürmek isteyeceğiniz yerler değildi. Zamanla zayıflıklar ve tasarım sınırlamaları ekosistemi gerçek halef haline gelen TLS'ye (Transport Layer Security) doğru itti. Yani bugün birisi "SSL sertifikası" dediğinde pratikte kastettiği şey modern TLS'de kullanılan bir sertifikadır. İfade hayatta kaldı çünkü dil altyapıdan daha tembeldir.
TLS yeterince iyi çalıştığında kanıksanan o görünmez medeniyet yükseltmelerinden biridir. Tarayıcı bağlanır, sunucu bir sertifika sunar, kriptografik müzakere gerçekleşir ve her şey yolunda giderse sayfa hayal kırıklığına uğramış bir ebeveynin duygusal tonunda yazılmış bir tarayıcı uyarısı yerine güven verici bir asma kilitle yüklenir. Sertifika tarayıcının kiminle konuştuğunu doğrulamasına yardımcı olur. Şifreleme transit halindeki trafiği korur. Sonuç metafiziksel bir saflık değil, yalnızca talep ettiğiniz sayfanın yabancılar tarafından sessizce gözlemlenmek veya yeniden yazılmak yerine kimliği doğrulanmış şifreli bir kanal üzerinden geldiğinin çok daha iyi bir garantisidir.
Bu "yeniden yazılmış" kısmı birçok site sahibinin fark ettiğinden daha önemlidir. HTTPS yalnızca gizlilikle ilgili değildir. Aynı zamanda bütünlükle de ilgilidir. Düz bir HTTP sayfası yoldayken değiştirilebilir. Komut dosyaları enjekte edilebilir. Reklamlar eklenebilir. Bağlantılar değiştirilebilir. İçerik takas edilebilir. Web'in eski, daha karmaşık köşelerinde bu teorik bir endişe değildi. Aktif bir baş belasıydı. HTTPS kurcalamayı çok daha zor hale getirir çünkü trafik kriptografik olarak korunur. Bu nedenle girişi olmayan ve dramatik kişisel verileri bulunmayan bir site bile bundan yararlanır. İnsanlar bazen "Sitem sadece bilgilendirme amaçlı, bu yüzden HTTP yeterli" derler. Bu mantık "koridorda gösterişli bir şey olmadığı için ön kapımın kilide ihtiyacı yok" ile aynı müze kanadına aittir.
Arama motorları isteksiz birçok site sahibini moderniteye sürüklemeye yardımcı oldu. Google güvenli aktarımı teşvik etmek için yıllar harcadı, sonunda HTTPS'yi bir sıralama sinyali olarak kullandı ve daha sonra güvensiz web'e giderek daha açık bir şüpheyle yaklaştı. Tarayıcılar özellikle form içeren düz HTTP sayfalarını daha az güvenilir olarak işaretleyerek kampanyaya katıldı. Bu teşvikleri hızla değiştirdi. Aniden HTTPS bankalar ve giriş portalları için niş bir endişe olmaktan çıktı ve neredeyse her şey için temel bir kamu hijyeni haline geldi.
Ardından web tarihindeki en önemli pratik değişimlerden biri geldi: Sertifika almak kolaylaştı. Uzun bir süre boyunca HTTPS'nin verilmesi, fiyatlandırılması ve dağıtım kültürü etrafında gereksiz bir sürtünme vardı. Ardından otomasyon gelişti, sertifika yetkilileri modernize edildi ve Let's Encrypt gibi projeler ücretsiz otomatik sertifika verilmesini normalleştirmeye yardımcı oldu. Bu her operasyonel hatayı çözmedi ancak en tembel bahanelerden birini ortadan kaldırdı. Bugün halka açık bir site hala temiz HTTPS'yi yönetemiyorsa, bunun nedeni genellikle şifrelemenin imkansız bir lüks olması değildir. Daha çok birinin sorunu tiyatral boyutlar kazanana kadar bakımı ertelemesidir.
Gerçek bir HTTPS kontrolünün yönlendirmeyi de önemsemesi gerekir, çünkü birçok web sitesi garip bir bölünmüş beyin durumunda yaşar. HTTPS sürümü vardır ancak HTTP sürümü temiz bir şekilde yönlendirmek yerine hala doğrudan yanıt verir. Veya yönlendirir ancak garip atlamalarla. Veya beklenenden farklı bir ana bilgisayara iner. Ya da sertifika bir ana bilgisayar adına aitken kullanıcılar diğerini ziyaret ediyordur. Veya HTTPS uç noktası teknik olarak canlıdır ancak sertifikanın süresi dolmuştur ve site artık kilitli bir kapıdaki el yazısı özrün dijital eşdeğeriyle ziyaretçileri karşılamaktadır. İşte bu yüzden "benim tarayıcımda çalışıyor" ciddi bir doğrulama yöntemi değildir. Aktarım politikası batıl inançtan daha fazla disiplini hak eder.
HSTS kendi paragrafını hak eder çünkü web'in "Artık güvensiz sürümü denemeyi bırakın" demenin daha zarif yollarından biridir. HTTP Strict Transport Security (HSTS) tarayıcılara belirli bir süre boyunca siteye yalnızca HTTPS üzerinden erişilmesi gerektiğini söyler. Bu düşürme (downgrade) riskini azaltır ve kullanıcıların alışkanlık, eski bağlantılar veya ağ manipülasyonu yoluyla düz HTTP'ye geri kaymasını önlemeye yardımcı olur. Stratejik ağırlığı olan basit bir başlıktır.
Bu nedenle bir HTTPS denetleyicisi en gösterişsiz, en pratik şekilde yararlıdır. Varsayımları ortadan kaldırır. Ana bilgisayar HTTPS'yi destekliyor mu? Güvensiz sürüm düzgün yönlendiriliyor mu? Sertifika şu anda geçerli mi? Kim verdi? Ne zaman sona eriyor? HSTS mevcut mu? Bunlar somut cevapları olan somut sorulardır ve operasyonel ciddiyet hakkında ana sayfadaki bir güven sloganının asla ortaya koyamayacağı kadar çok şey ortaya çıkarırlar.