O Que É HTTPS? Como o Navegador Protege uma Conexão

O Que É HTTPS? Como o Navegador Protege uma Conexão

Olhe o endereço de um site. Se começar com https://, seu navegador usa uma conexão protegida para aquela página. Isso importa ao ler, entrar na conta ou enviar um formulário. Mas o HTTPS responde a uma pergunta específica: a conexão com este site está protegida durante o transporte dos dados? Ele não responde se o site é honesto.

Vamos entender as siglas, acompanhar a conexão e examinar uma no navegador. Para a viagem mais ampla do endereço até a página, leia O Que Acontece Quando Você Acessa um Site?.

HTTP com uma conexão protegida

HTTP é a linguagem que navegador e servidor usam para fazer pedidos e dar respostas. O navegador pode pedir uma página; o servidor devolve HTML. HTTPS é o HTTP transportado por uma conexão segura com TLS (Transport Layer Security).

HTTP:   navegador ─── tráfego legível ─── site
HTTPS:  navegador ═══ tráfego protegido por TLS ═══ site

O desenho representa a conexão, não todos os sistemas envolvidos. Um site pode usar uma rede de distribuição de conteúdo (CDN), então a conexão TLS pode terminar em um servidor que atua em nome dele. O site e os serviços que você escolhe usar ainda podem processar os dados enviados.

O TLS oferece três proteções úteis durante o transporte:

O guia de TLS da MDN explica essas proteções. O HTTPS não esconde a mensagem do site que a recebe, de alguém com acesso ao seu aparelho ou da pessoa com quem você decide compartilhá-la.

A função do certificado

Antes da troca protegida de dados HTTP, navegador e servidor estabelecem uma conexão TLS. O servidor apresenta um certificado digital que associa uma chave pública a um nome de domínio. O navegador confere o certificado e a cadeia de confiança por trás dele. Os dois lados então estabelecem as chaves usadas para proteger a comunicação.

Você não precisa decorar a criptografia para usar a web com cuidado. Lembre-se do objetivo da conferência: ajudar o navegador a saber que está se conectando ao domínio da barra de endereços, em vez de aceitar um impostor na rede.

Isso não certifica que a empresa é legítima, que as afirmações da página são verdadeiras ou que a compra vale a pena. Certificados validados por domínio, inclusive os emitidos pela Let's Encrypt, comprovam controle do domínio para a emissão; não avaliam a conduta do site. Um golpe também pode usar HTTPS. Confira o domínio inteiro e o destino antes de informar senha ou dados de pagamento.

O que o HTTPS não esconde

Uma conexão HTTPS protege o conteúdo HTTP durante o trajeto, incluindo caminho da URL, conteúdo da página, dados do formulário e a maioria dos cabeçalhos da requisição contra um observador comum entre navegador e site. Ela não esconde tudo sobre a conexão. Operadoras de rede ainda podem ver o endereço IP de destino. Consultas DNS e outros metadados podem revelar o domínio em algumas configurações; recursos de privacidade podem mudar o que fica visível.

O próprio site recebe o que você envia, como termos de busca, formulários e arquivos. Histórico do navegador, extensões, aparelho e configurações da conta também podem afetar sua privacidade. Para entender melhor as redes, leia O Que É a Internet?.

O limite do desenho é a conexão, não a honestidade do site nem a segurança do aparelho. Ele também não afirma que o domínio fique sempre visível: DNS e outros metadados variam conforme a configuração e os recursos de privacidade.

Uma página segura pode pedir outros arquivos

Uma página costuma carregar imagens, estilos, scripts e fontes de outros endereços. Há conteúdo misto quando uma página HTTPS tenta carregar um recurso por HTTP desprotegido. Navegadores modernos geralmente atualizam alguns desses pedidos para HTTPS e bloqueiam outros; o tratamento depende do tipo de recurso. O guia da MDN sobre conteúdo misto explica os detalhes.

Se o navegador mostrar um aviso de segurança, leia-o antes de continuar. Não ignore um alerta de certificado em um site onde pretende entrar na conta ou informar dados sensíveis. Relógio errado no aparelho, configuração incorreta do site ou interceptação podem causar problemas com certificados; o aviso sozinho não mostra qual foi a causa.

Experimente: examine uma conexão real

As ferramentas de desenvolvedor do Chrome mostram detalhes da conexão. Os nomes podem variar conforme a versão e o idioma; o guia do painel de privacidade e segurança do Chrome é a referência atual.

1. Abra https://example.com/ no Chrome e confirme que o endereço começa com https://.
2. Abra as ferramentas de desenvolvedor pelo menu. Procure Privacidade e segurança e depois a seção Segurança. Se sua versão tiver um painel Segurança separado, abra-o.
3. Na visão geral, veja se o Chrome informa uma conexão segura. Use Ver certificado, se disponível, para examinar os domínios cobertos, a entidade emissora e o prazo de validade.
4. Compare o domínio da barra de endereços com o coberto pelo certificado. Depois abra o painel Rede, atualize a página e selecione o documento principal para conferir a URL da requisição.

Você está examinando uma conexão, não provando que todas as frases da página são verdadeiras. Se os painéis forem diferentes, use a busca de painéis ou a documentação do Chrome. Não publique capturas de cabeçalhos de requisição sem verificar se há cookies ou tokens.

Uma conferência rápida antes de entrar na conta

1. Leia o domínio com atenção. Um logotipo familiar em um endereço parecido não basta.
2. Confira o HTTPS e os avisos. Não trate erro de certificado como incômodo rotineiro.
3. Pense em quem receberá os dados. O site ainda verá o que você enviar.
4. Proteja a conta também. Senha exclusiva e autenticação multifator ajudam contra riscos que o HTTPS não resolve.

O HTTPS é uma proteção essencial para dados a caminho de um site. Use-o junto com a conferência do domínio e bons hábitos de conta, sem tratá-lo como selo de aprovação de toda página.

Para saber mais

• MDN: HTTPS
• MDN: Transport Layer Security
• Chrome para desenvolvedores: painel de privacidade e segurança
• MDN: conteúdo misto