Què és HTTPS i per què la teva web el necessita?

Segur que has vist aquestes cinc lletres al principi de milers d’adreces:

https://www.cdmon.com

Normalment passem per sobre d’elles. Escrivim el domini, la pàgina s’obre i seguim navegant. No obstant això, que una adreça comenci per HTTPS significa que la informació intercanviada entre el navegador i el servidor viatja protegida.

HTTPS xifra les dades que intercanvien un web i els seus visitants. Per utilitzar-lo, el servidor necessita un certificat digital vàlid.

Sense aquesta protecció, una contrasenya, les dades d’un formulari o la informació d’una compra podrien transmetre’s sense unes garanties mínimes de seguretat.

Fa anys, HTTPS s’associava gairebé exclusivament amb bancs i botigues en línia. Avui hauria d’estar present en qualsevol web, des d’un blog informatiu fins a una pàgina corporativa amb un senzill formulari de contacte.

Què passa en visitar un web amb HTTPS

Quan accedeixes a una pàgina, el navegador sol·licita al servidor diferents arxius: textos, imatges, estils, tipografies o scripts. El servidor rep la petició i retorna tot el necessari per mostrar el web.

HTTPS protegeix aquest intercanvi abans que la informació surti de cada extrem.

La comparació habitual és la d’una postal enfront d’una carta tancada. El contingut d’una postal queda a la vista durant tot el trajecte. Una carta, en canvi, introdueix una capa de protecció. HTTPS fa alguna cosa semblant amb les dades que viatgen entre el teu navegador i la pàgina que visites.

Per establir aquesta comunicació segura, el servidor presenta un certificat digital. El navegador comprova que pertanyi al domini correcte, que no hagi caducat i que procedeixi d’una autoritat reconeguda.

Si tot està en ordre, el navegador i el servidor estableixen una connexió xifrada. El procés dura només uns instants i normalment ni tan sols ho percebem.

Quan alguna cosa no encaixa, el navegador mostra un advertiment. Pot ocórrer, per exemple, si el certificat ha caducat o si s’ha emès per exemple.com, però l’usuari intenta entrar des de www.exemple.com i aquesta segona adreça no està inclosa.

Què protegeix HTTPS i què no

HTTPS xifra la informació durant el trajecte per evitar que pugui llegir-se directament si algú intercepta la comunicació. D’aquesta manera protegeix contrasenyes, dades personals i la informació enviada mitjançant formularis.

També dificulta que algú intercepti o modifiqui les dades. Això resulta especialment important quan es navega des de xarxes públiques o poc fiables.

Però HTTPS té un límit molt clar: protegeix el trajecte de la informació, no tot el web.

Imagina una botiga en línia que utilitza HTTPS, però té WordPress i diversos plugins sense actualitzar. Les dades dels seus clients viatjaran xifrades, encara que la pàgina continuï exposada a vulnerabilitats.

Un web amb HTTPS també pot contenir malware o formar part d’una campanya de phishing. El certificat confirma que estàs connectat de forma segura al domini indicat, però no garanteix que la persona que el controla tingui bones intencions.

Per això, HTTPS ha d’acompanyar-se d’altres mesures per protegir el web, com actualitzacions, còpies de seguretat, contrasenyes segures i una correcta protecció del servidor. El certificat és una part de la seguretat, no un substitut de tot el demés.

SSL i TLS: per què utilitzem ambdós noms

Encara que solem parlar de “certificats SSL”, les connexions modernes utilitzen TLS.

SSL va ser el protocol original. Amb el temps va quedar obsolet i va ser substituït per TLS, una tecnologia més segura. L’expressió “certificat SSL” s’ha mantingut perquè és el nom que reconeix la majoria dels usuaris i el que s’utilitza habitualment en el mercat.

Per tant, quan trobis un hosting amb certificat SSL, normalment es refereix a un certificat que permet establir connexions HTTPS mitjançant TLS. Si vols ampliar aquesta part, consulta la nostra introducció als certificats SSL.

Els servidors actuals haurien de treballar amb TLS 1.2 o TLS 1.3. Les versions anteriors han deixat d’oferir una protecció adequada i moltes ja no són compatibles amb els navegadors moderns.

Què passa si el teu web encara utilitza HTTP

Quan un navegador marca un web com a “No segur”, no està dient necessàriament que sigui fraudulent. Està avisant que la informació intercanviada amb aquesta pàgina no viatja xifrada.

El risc resulta especialment important quan el web sol·licita:

• Una contrasenya.
• Dades personals.
• Informació bancària.
• L’enviament d’un formulari.
• L’accés a una àrea privada.

A més d’exposar les dades, l’advertiment del navegador pot ser suficient perquè una persona abandoni la pàgina abans de registrar-se, contactar o comprar.

En un web actual, HTTPS ja no hauria de considerar-se un extra. És la configuració mínima que esperen tant els usuaris com els navegadors.

HTTPS ajuda al SEO?

Sí, però no esperis una pujada de posicions només per instal·lar un certificat.

Google prefereix les versions HTTPS quan troba pàgines equivalents i considera la seguretat com a part d’una experiència adequada. No obstant això, la qualitat del contingut, la seva rellevància i la resposta que ofereix a la cerca tenen molt més pes.

El problema SEO apareix quan un web manté accessibles dues versions:

http://exemple.com

https://exemple.com

Encara que per a una persona semblin la mateixa pàgina, tècnicament són dues URL diferents. Si la configuració no està ben resolta, els enllaços, el rastreig i els senyals de posicionament poden quedar repartits entre ambdues.

L’adreça HTTP ha de conduir al seu equivalent HTTPS mitjançant una redirecció permanent. Les etiquetes canòniques, els enllaços interns i el sitemap també han d’utilitzar les adreces segures.

Si vas a migrar un web existent, hauràs de revisar altres elements, com les redireccions, el contingut mixt, els enllaços interns, el sitemap i la configuració de Google Search Console. És un procés que convé tractar en una guia específica sobre com migrar de HTTP a HTTPS.

Com redirigir de HTTP a HTTPS

Activar el certificat no basta perquè totes les visites utilitzin la connexió segura. La versió HTTP ha de redirigir de forma permanent, mitjançant un codi 301, cap a la mateixa adreça en HTTPS.

Per exemple, http://exemple.com/contacte ha de portar directament a https://exemple.com/contacte. No convé enviar totes les pàgines antigues a la portada, perquè es perdria la correspondència entre URL.

La forma de fer-ho depèn de com estigui construït el web. En WordPress, PrestaShop, Joomla o Moodle pot configurar-se des del propi CMS o amb les opcions recomanades per a cada plataforma. En un web amb programació pròpia també pot forçar-se des de l’arxiu .htaccess.

Consulta com configurar el certificat SSL segons el teu CMS o segueix la guia completa per redirigir HTTP a HTTPS. Abans de modificar .htaccess o instal·lar un plugin, fes una còpia de seguretat i evita activar diverses redireccions alhora, ja que podrien provocar un bucle.

Quin certificat necessita el teu projecte

Un web que utilitza un únic domini normalment no necessita pagar per un certificat wildcard o multidomini.

Per a la majoria de blogs, portafolis i pàgines corporatives és suficient un certificat amb validació de domini. Aquest tipus de certificat comprova que qui el sol·licita controla el domini.

L’elecció canvia quan el projecte utilitza diversos subdominis. Un certificat wildcard pot cobrir adreces com:

• blog.exemple.com
• botiga.exemple.com
• clients.exemple.com

Si necessites protegir dominis completament diferents, pot ser més adequat un certificat multidomini.

També existeixen certificats que afegeixen comprovacions sobre l’organització sol·licitant. La seva utilitat depèn de les necessitats legals, tècniques i comercials del projecte, no de que proporcionin necessàriament un xifrat més fort per a un web convencional.

A cdmon pots consultar i gestionar els certificats des de l’apartat Seguretat → Certificats SSL de l’allotjament. El panell mostra el certificat instal·lat per al domini principal i permet revisar els subdominis o àlies associats. També pots triar entre el certificat gratuït de Let’s Encrypt i altres modalitats de certificats SSL.

Com comprovar que HTTPS funciona correctament

Que la portada carregui mitjançant HTTPS no demostra que tot el web estigui ben configurat.

Fes una comprovació ràpida:

• Escriu l’adreça començant per http://.
• Confirma que acaba en la mateixa adreça amb HTTPS.
• Obre diverses pàgines interiors.
• Revisa algun formulari o àrea privada.
• Comprova que no faltin imatges, estils o tipografies.
• Consulta la informació del certificat des del navegador.

Un dels problemes que trobem amb més freqüència després d’activar HTTPS no està en el certificat. A vegades és una imatge antiga, una plantilla o una extensió la que encara intenta carregar algun recurs mitjançant HTTP.

La portada pot utilitzar HTTPS correctament, però aquest únic element pot provocar un advertiment o fer que la pàgina no es consideri completament segura.

Això es coneix com a contingut mixt: la pàgina principal s’obre mitjançant HTTPS, però sol·licita alguna imatge, font, full d’estil o script mitjançant HTTP. Els navegadors poden advertir del problema o bloquejar els recursos actius, com scripts i fulls d’estil.

Per localitzar-lo, obre les eines de desenvolupament del navegador i revisa les pestanyes Consola i Xarxa. Busca sol·licituds que comencin per http://. Després, corregeix la URL en el contingut, la plantilla, el plugin o la base de dades que l’estigui generant; no basta amb ocultar l’advertiment.

També pots comprovar la instal·lació i vigència del certificat amb SSL Shopper i buscar recursos insegurs amb Why No Padlock. Convé revisar diverses pàgines, no només la portada, perquè el contingut mixt pot aparèixer únicament en una entrada, formulari o secció concreta.

També has de comprovar que el certificat inclogui totes les adreces utilitzades. Si un web funciona amb i sense www, ambdues variants han d’estar cobertes. El mateix succeeix amb els subdominis.

Si apareix un error com ERR_SSL_PROTOCOL_ERROR, un advertiment relacionat amb el certificat o un bucle de redireccions, no convé afegir regles a l’atzar. L’origen pot estar en el servidor, el CMS, un plugin, una CDN o en la pròpia cobertura del certificat.

Abans de donar-ho per acabat

HTTPS protegeix la comunicació entre el teu web i els seus visitants. No elimina totes les amenaces, però evita que les dades viatgin sense xifrar i permet comprovar que el navegador es connecta al domini indicat.

Abans de considerar acabada la configuració, revisa tres coses:

• Les adreces HTTP porten al seu equivalent HTTPS.
• El web no carrega imatges ni altres arxius mitjançant HTTP.
• El certificat cobreix tots els dominis i subdominis utilitzats.

En els plans de hosting de cdmon pots sol·licitar, activar i gestionar el certificat SSL des del panell de control. Si alguna cosa no encaixa, des d’un certificat que no cobreix un subdomini fins a un web que entra en un bucle de redireccions, pots consultar les nostres guies o contactar amb l’equip de suport 24/7. en una eina indispensable per a qualsevol lloc web que aspiri a destacar en l’entorn digital.