Что такое HTTPS — и что на самом деле значит замочек в браузере

Вот штука, которую мало кто проговаривает вслух: замочек рядом с адресом сайта не значит «этому сайту можно доверять». Он значит совсем другое, и путаница здесь стоит людям паролей и денег. Давай разберёмся, что такое HTTPS на самом деле — и что этот замочек тебе обещает, а что нет.

HTTP против HTTPS: открытка против конверта

Когда браузер общается с сайтом, они шлют друг другу сообщения. По обычному HTTP эти сообщения идут открытым текстом — как открытка. Любой, через чью сеть они проходят (Wi-Fi в кафе, провайдер, злоумышленник посередине), может прочитать всё: логин, пароль, номер карты.

HTTPS — это тот же HTTP, но запечатанный в конверт. Буква S значит Secure: перед отправкой данные шифруются. Тот, кто перехватит сообщение по дороге, увидит бессмысленный набор байтов. Расшифровать его сможет только сайт-адресат.

Что делает замочек — и чего не делает

Замочек говорит ровно об одном:

Канал между твоим браузером и этим сайтом зашифрован, и ты правда соединился с тем адресом, что в строке.

Чего замочек не обещает:

• Что за сайтом стоят честные люди.
• Что сайт не украдёт твои данные, когда получит их.
• Что это не подделка-двойник настоящего банка.

И вот почему это важно: фишинговый сайт-клон легко получает свой замочек — сертификаты сейчас бесплатны и выдаются за минуту. Мошенник шифрует канал так же, как настоящий банк. Замочек защищает данные по дороге, но ничего не говорит о том, кто ждёт их на другом конце.

Как это защищает тебя на самом деле

Практический вывод простой: сам факт HTTPS полезен, но твоя защита — в адресе.

• Смотри на домен, не на замок. sberbank.ru и sberbank-online.ru-secure.xyz оба могут быть с замочком. Отличается адрес.
• Нет замочка на странице с формой входа — уходи. Отправлять пароль по открытому HTTP — всё равно что диктовать его вслух в кафе.
• HTTPS обязателен для входа и оплаты. Всё, что связано с входом в аккаунт или деньгами, должно идти только по зашифрованному каналу.

А если я делаю свой сайт?

Хорошая новость: подключить HTTPS сегодня почти бесплатно и почти автоматически. Хостинги вроде Vercel, Netlify и подобных выдают сертификат сами — тебе часто ничего не нужно настраивать руками.

Но HTTPS закрывает только канал. Всё остальное — на тебе: не хранить пароли в открытом виде, не светить ключи, проверять права доступа. Замочек — это первый пункт чеклиста безопасности, а не весь чеклист.

Почему браузер пишет «сайт не защищён»?

Значит, страница грузится по обычному HTTP или сертификат сайта просрочен/битый. Данные полетят открытым текстом. Вводить туда логин и карту не стоит.

HTTPS защищает от вирусов?

Нет. Он шифрует переписку с сайтом, но не проверяет, что скачанный файл безопасен и что сам сайт честный. Это разные слои защиты.

Токен сессии по HTTPS тоже шифруется?

Да. Твой токен сессии (JWT) едет внутри того же зашифрованного конверта. Именно поэтому вход по открытому HTTP так опасен: перехватив токен, чужой человек заходит в аккаунт без пароля.