HTTPS auf dem Vormarsch - Warum 2017 jeder seine Seite auf HTTPS umstellen muss
Wenn man aktuell mit Betreibern von größeren Webseiten redet, kommt man um das Thema HTTPS nicht herum. HTTPS ist die verschlüsselte Variante (das S steht für „secure“) des Hypertext Transfer Protokolls (HTTP). Dies ist das Protokoll, mit dem im World Wide Web (WWW) kommuniziert wird und Webseiten zu Browsern übertragen werden.
Warum ist HTTPS nicht längst Standard?
Als Tim Berners-Lee und andere HTTP am europäischen Kernforschungszentrum CERN im Jahr 1989 entwickelten, konnten sie sich die heutigen Ausmaße des Internets kaum vorstellen. Demnach war es auch noch nicht notwendig die Kommunikation zwischen Servern und Clients (Browsern) zu verschlüsseln. Die verschlüsselte Variante des Protokolls kam erst später hinzu. Browser gehen aber auch heute noch standardmäßig von unverschlüsselten Verbindungen aus und ergänzen, wenn man eine URL ohne die Angabe des Protokolls eingibt, im Normallfall ein „http://“ vor der Adresse. Dass dies in Zeiten wachsender Internetkriminalität und staatlicher Überachung nicht mehr zeitgemäß ist, liegt auf der Hand. Jeder der einmal bei einer Live Hacking-
Browser werden bei HTTP-Seiten Warnungen einblenden
In einem Blogbeitrag vom 8. September dieses Jahres hat Google angekündigt in Zukunft Nutzern des Browsers Chrome beim Besuchen von Seiten, die unverschlüsselt per HTTP ausgeliefert werden, Warnmeldungen anzuzeigen.
So sollen ab 1. Januar 2017 Seiten, die Passwörter oder Kreditkartendaten per HTTP abfragen, mit einer Warnmeldung gekennzeichnet werden. Langfristig will Google seine Nutzer vor allen HTTP-
Aber auch schon vor der Ankündigung von Google gab es sehr gute Gründe, warum Webserver Seitenaufrufe verchlüsselt übertragen sollten.
Google bevorzugt verschlüsselte Seiten in den Suchergebnissen
Google hatte bereits im August 2014 angekündigt HTTPS als Rankingfaktor in die Suchalgorithmen einfließen zu lassen. Seit der Ankündigung bis Juli 2016 ist der Anteil der HTTPS-HTTPS ist schneller - wirklich!
Häufig wird die langsamere Geschwindigkeit als Grund gegen den Einsatz von HTTPS angeführt. Dies mag zwar grundsätzlich stimmen, da HTTP in der Version 1.1 unverschlüsselt schneller funktioniert, als in der abhörsicheren Version. Allerdings sprechen aktuelle Browser das neue, schnellere HTTP-Protokoll in der Version 2 nur für die verschlüsselte Variante von HTTP. Aufgrund der Tatsache, dass HTTP/2 über SSL/TLS (HTTPS) um ein mehrfaches schneller ist, als HTTP/1.1 ohne TLS (HTTP), schneiden Webseiten über eine verschlüsselte Kommunikation in Performancetests tatsächlich besser ab, als wenn sie unverschlüsselt übertragen werden!
HTTPS-Zertifikate kosten nichts
Gerade für kleinere Seiten waren die Kosten für ein TLS-
Auf die richtige Umsetzung kommt es an
HTTPS sollte bei Neuentwicklungen heute eine Selbstverständlichkeit sein. Aber auch bestehende Webangebote müssen sich spätestens jetzt mit dem Thema HTTP über SSL/TLS (HTTPS) beschäftigen, um sich nicht bald vor den eigenen Nutzern für das Ausliefern von unsicheren Webseiten rechtfertigen zu müssen. Auch wenn die grundsätzliche Umstellung eines Webservers auf HTTPS nicht besonders schwierig ist, gibt es dennoch Fallstricke zu beachten. Dies betrifft zum einen die korrekte Einrichtung von Weiterleitungen von HTTP auf HTTPS. Hier haben in der Vergangenheit auch große Anbieter wie Avira durch Fehlkonfigurationen im Google Ranking eingebüßt. Eine weitere Schwierigkeit bei HTTPS Relaunches sind Partnerangebote wie Werbenetzwerke, die teilweise noch nicht per HTTPS ausgeliefert werden. Schließlich ist eine Webseite, die per HTTPS ohne entsprechende HTTP Security Header ausgeliefert wird, auch keine wirkliche Hürde für einen Hacker. Im Zweifel sollte man sich daher für so ein Projekt immer professionell beraten lassen.
Am 19.10.2016 in der Kategorie Sicherheit von Webanwendungen veröffentlicht.