HTTPS ist HTTP, das über eine verschlüsselte und authentifizierte TLS-Verbindung übertragen wird und das unverschlüsselte HTTP auf Port 443 ersetzt. Wenn Sie eine HTTPS-Website besuchen, führen Ihr Browser und der Server einen TLS-Handshake durch, um einen gemeinsamen Verschlüsselungsschlüssel zu etablieren, die Identität des Servers über ein von einer vertrauenswürdigen Zertifizierungsstelle ausgegebenes SSL-Zertifikat zu überprüfen und anschließend alle nachfolgenden Daten zu verschlüsseln.
Funktionsweise: Der TLS-Handshake erfolgt in einem Round-Trip (TLS 1.3) oder zwei (TLS 1.2). Ihr Browser sendet ein ClientHello mit unterstützten Cipher Suites und Erweiterungen wie Server Name Indication (SNI). Der Server antwortet mit seiner Zertifikatkette, dem gewählten Cipher und einem Key-Exchange-Parameter. Beide Seiten berechnen einen gemeinsamen Session-Schlüssel mit ephemeralem Diffie-Hellman oder ECDHE. Ihr Browser überprüft die Zertifikatkette bis zu einer Root-CA und bestätigt, dass der Hostname dem Zertifikat entspricht. Ab diesem Punkt fließen HTTP-Anfragen und Antworten verschlüsselt mit AEAD-Ciphern wie AES-GCM oder ChaCha20-Poly1305.
Beispiel:
Wenn Sie zu https://example.com navigieren, verbindet sich der Browser auf Port 443, führt den TLS-Handshake durch, überprüft, dass das Zertifikat für example.com gültig ist, und sendet dann verschlüsselte HTTP-Anfragen wie GET / HTTP/1.1.
Wichtige Sicherheitseigenschaften: Vertraulichkeit (Abhörer sehen nur verschlüsselte Bytes), Integrität (Manipulation wird erkannt) und Serverauthentifizierung (Sie wissen, dass Sie mit dem echten Server sprechen, nicht mit einem Angreifer). TLS 1.3 machte Forward Secrecy zur Pflicht, sodass selbst wenn der private Schlüssel eines Servers später kompromittiert wird, vergangene Sitzungen sicher bleiben.
WarningTLS 1.0, 1.1 und SSL 3.0 sind veraltet. Verwenden Sie immer TLS 1.2 oder 1.3. Die moderne Zertifikatsgültigkeit ist durch CA-Richtlinien auf 398 Tage begrenzt.
Überprüfen Sie die HTTPS-Konfiguration Ihrer Website mit SSL-Check.