HTTPS สามารถบรรลุสามสิ่ง:
- ของแท้ ตรวจสอบให้แน่ใจว่าคุณกำลังสื่อสารกับเจ้าของโดเมนจริง
- ความลับ ตรวจสอบให้แน่ใจว่ามีเพียงเจ้าของโดเมนนี้เท่านั้นและคุณสามารถอ่านการสื่อสารได้
- ความสมบูรณ์ ตรวจสอบให้แน่ใจว่าคนอื่นไม่ได้รับการแก้ไขเนื้อหา
อาจทุกคนยอมรับว่า HTTPS ควรมีผลบังคับใช้เมื่อส่งความลับ (เช่นรหัสผ่านข้อมูลธนาคารเป็นต้น)
แต่มีอีกหลายกรณีที่การใช้ HTTPS นั้นมีประโยชน์อย่างไร:
ผู้โจมตีไม่สามารถแก้ไขเนื้อหาที่ร้องขอได้
เมื่อใช้ HTTP ผู้ดักฟังสามารถจัดการเนื้อหาที่ผู้เข้าชมเห็นบนเว็บไซต์ของคุณ ตัวอย่างเช่น:
- รวมถึงมัลแวร์ในซอฟต์แวร์ที่คุณเสนอให้ดาวน์โหลด
- ตัดทอนเนื้อหาบางส่วนของคุณ การเปลี่ยนการแสดงความคิดเห็นของคุณ
- ฉีดโฆษณา
- แทนที่ข้อมูลบัญชีการบริจาคของคุณด้วยตนเอง
แน่นอนว่าสิ่งนี้ใช้ได้กับเนื้อหาที่ผู้ใช้ส่งมาเช่นการแก้ไขวิกิ อย่างไรก็ตามหากผู้ใช้ของคุณไม่ระบุชื่อผู้โจมตีสามารถ "จำลอง" เป็นผู้ใช้ต่อไปได้ (เว้นแต่ผู้โจมตีจะเป็นบอทและมี CAPTCHA ที่มีประสิทธิภาพบางอย่าง)
ผู้โจมตีไม่สามารถอ่านเนื้อหาที่ร้องขอได้
เมื่อใช้ HTTP ผู้ดักฟังสามารถทราบว่าหน้า / เนื้อหาใดบนโฮสต์ของคุณที่ผู้เยี่ยมชมของคุณเข้าถึง แม้ว่าเนื้อหาอาจเป็นสาธารณะ แต่ความรู้ที่บุคคลเฉพาะใช้นั้นเป็นปัญหา:
- มันเปิดการโจมตีสำหรับวิศวกรรมทางสังคม
- มันละเมิดความเป็นส่วนตัว
- มันสามารถนำไปสู่การเฝ้าระวังและลงโทษ (จนถึงการถูกจำคุกทรมานและตาย)
แน่นอนว่าสิ่งนี้ใช้ได้กับเนื้อหาที่ส่งโดยผู้ใช้ของคุณเช่นอีเมลผ่านแบบฟอร์มการติดต่อ
ทั้งหมดที่กล่าวมาเพียงแค่เสนอ HTTPS นอกเหนือจาก HTTPจะปกป้องผู้ใช้ที่ตรวจสอบ (หรือบังคับใช้ในพื้นที่เช่นกับHSTS ) ที่พวกเขาใช้งานอยู่ ผู้โจมตีสามารถบังคับให้ผู้เยี่ยมชมคนอื่น ๆ ใช้ตัวแปร HTTP (เสี่ยง)
ดังนั้นหากคุณได้ข้อสรุปว่าคุณต้องการเสนอ HTTPS คุณอาจต้องการพิจารณาบังคับใช้ (การเปลี่ยนเส้นทางฝั่งเซิร์ฟเวอร์จาก HTTP ไปยัง HTTPS ให้ส่งส่วนหัว HSTS)