Автор: Александр Д.
08.09.2026 · 6 МИН ЧТЕНИЯ
ОБНОВЛЕНО

HTTPS это обычный HTTP поверх шифрования TLS (тот самый замок в адресной строке): данные между браузером и сайтом нельзя прочитать или подменить по пути, а сайт подтверждает, что он действительно владеет своим доменом.

Замок в адресной строке говорит ровно это и ничего больше. Он не говорит, что сайт честный, безопасный или тот, за кого себя выдаёт: у фишинговых страниц HTTPS есть почти всегда, потому что сертификат сегодня получают за минуту и бесплатно. Понимать, что замок гарантирует и чего нет, полезнее, чем просто искать его.

Коротко:

  • Замок означает, что соединение зашифровано и домен подтверждён, но не гарантирует честность сайта: у фишинговых страниц замок есть почти всегда.
  • Смотрите на сам адрес, а не на значок, не продолжайте после предупреждения о сертификате и включите в браузере режим «только HTTPS».
  • Имена сайтов провайдер видит и при HTTPS: их закрывает только VPN или зашифрованный DNS вместе с ECH.
ЗАМОК ГОВОРИТЗАМОК НЕ ГОВОРИТРИС. 01✓соединение шифровано✓домен подтверждёнсайт честныйсайт не фишингпровайдер не видит доменсертификат выдают за минуту и бесплатно
Граница между «соединение защищено» и «сайту можно верить». Сертификат сегодня получают за минуту и бесплатно, в том числе для фишинга.

Что происходит при HTTPS-соединении

  1. Браузер подключается к серверу и просит начать TLS.
  2. Сервер присылает сертификат: документ, в котором удостоверяющий центр подтверждает, что этот ключ принадлежит этому домену.
  3. Браузер проверяет подпись центра, срок действия и совпадение домена.
  4. Стороны договариваются о сеансовом ключе, и дальше всё зашифровано.

Современная версия это TLS 1.3, у неё одно быстрое рукопожатие и только стойкие алгоритмы.

СХЕМАРИС. 02браузерсервер1. «давай TLS»2. сертификат3. браузер проверяет:подпись центра✓срок действия✓совпадает ли домен✓дальше всё шифровано4. общий ключ
Рукопожатие TLS в четырёх шагах. Проверка домена на третьем: то самое, что стоит за замком.

Что защищает HTTPS?

  • Содержимое: страницы, формы, пароли, номера карт, сообщения. Провайдер, Wi-Fi в кафе и любой посередине видят только зашифрованный поток.
  • Целостность: никто по пути не вставит в страницу рекламу, скрипт или подменённую ссылку.
  • Подлинность домена: вы разговариваете с владельцем домена в адресной строке, а не с тем, кто перехватил соединение.
ЧТО ЗАКРЫВАЕТ ЗАМОКРИС. 03✓содержимое страницзакрыто✓пароли и формызакрыто✓подмена страницывидно сразу✗имя сайта, куда вы идётевидно✗сам факт визитавидношифрование иподтверждённый доменDNS-запрос и SNIидут открытыми

Чего HTTPS не защищает?

  • Честность сайта. Домен sberbank-login-secure.com с замком это не Сбербанк. Замок подтверждает домен, а не намерения. Смотрите на сам адрес, а не на значок.
  • Имя сайта от провайдера. Домен передаётся открытым в DNS-запросе и в поле SNI в начале соединения. Провайдер знает, что вы открыли, но не что внутри. Подробно об этом в статье что видит провайдер.
  • Ваш IP-адрес. Сайт видит его, HTTPS тут ни при чём.
  • Данные внутри сайта. Что сайт делает с вашими данными после получения, зависит от его политики.
  • Ваше устройство. Троян на телефоне читает всё до шифрования.
СХЕМАРИС. 04https://sberbank-login-secure.com/vhodЗамок естьШифрование естьДомен подтверждённо домен чужойСмотрите на адрес, а не на значок.
Фишинговая страница с честным замком: шифрование настоящее, домен подтверждён. Просто домен чужой.

Что значит «Не защищено» и значок замка в браузере?

  • Замок (или его отсутствие при «нейтральном» индикаторе в новых Chrome): соединение зашифровано, сертификат валиден.
  • «Не защищено»: обычный HTTP. Не вводите ничего важного.
  • Красное предупреждение о сертификате: сертификат просрочен, выдан на другой домен или подписан кем-то, кому браузер не доверяет. В чужой сети это может означать перехват. Не нажимайте «продолжить», особенно для банков и почты.
  • Нажмите на замок: там видно, кому выдан сертификат и кем. Для банка ожидайте название банка или известного центра, а не пустоту.

Как включить режим «только HTTPS»

Браузеры умеют отказываться открывать незащищённую версию сайта. Chrome: Настройки → Конфиденциальность и безопасность → Безопасность → «Всегда использовать безопасные соединения». Firefox: Настройки → Приватность и защита → «Режим только HTTPS». Включите: это закрывает редкие, но обидные случаи, когда ссылка ведёт на http://.

КАК ВКЛЮЧИТЬ РЕЖИМ «ТОЛЬКО HTTPS»ChromeНастройкиКонфиденциальность и безопасностьБезопасность«Всегда использовать безопасные соединения»FirefoxНастройкиПриватность и защита«Режим только HTTPS»Ссылка на http://обычный HTTPБраузер не открывает незащищённую версиюзакрыт редкий, но обидный случай
Один переключатель в настройках, и браузер перестаёт открывать сайты по http://.

Хватит ли HTTPS в публичном Wi-Fi?

В кафе HTTPS делает главное: содержимое не читается. Остаются три дыры: DNS-запросы, страница авторизации сети, которая часто на HTTP, и приложения, менее строгие, чем браузер. Что с этим делать, разобрано в статье публичный Wi-Fi: когда он реально опасен.

ТРИ СЛОЯ, КАЖДЫЙ СВОЁРИС. 05HTTPSсодержимое страницыесть почти вездеDNSкакие имена вы спрашиваететечёт чаще всеготуннельвсё вместе от вашей сети

HTTPS и VPN: не замена, а слои

HTTPS шифрует содержимое между вами и сайтом. VPN шифрует весь трафик устройства между вами и VPN-сервером, включая DNS и имена сайтов, и скрывает IP. Один без другого оставляет дыры: без HTTPS VPN-сервер видел бы содержимое, без VPN провайдер видит список сайтов. Вместе они закрывают почти всё. Разница между этими слоями и способ проверить каждый описаны в статье шифрование трафика: что это и как проверить.

СХЕМАРИС. 06VPN-ТУННЕЛЬHTTPSстраницы, пароли, формы+ DNS-запросы, имена сайтов, IP
HTTPS и VPN закрывают разное. Без HTTPS содержимое видит VPN-сервер, без VPN список сайтов видит провайдер.

Если браузер ругается на сертификат, это единственное предупреждение, которое нельзя пропускать.

КАК ЧИТАТЬ АДРЕСНУЮ СТРОКУhttps://Зашифровано, сертификат валидензамок или нейтральный значокНе защищеноhttp://Обычный HTTPне вводите ничего важного!Ошибка сертификатаСтоп, не нажимайте «продолжить»просрочен, чужой домен, нет довериянажмите на замокВидно, кому выдан сертификатдля банка: название банка
Замок значит шифрование, «Не защищено» значит HTTP, а ошибка сертификата значит стоп.
Промт для нейросети
Помоги понять предупреждение браузера о сертификате.

Текст предупреждения: (вставьте дословно).
Сайт: (домен, без ссылки целиком).
Браузер: (какой). Сеть: (домашняя / рабочая /
чужой Wi-Fi / отель).
Ставил ли я недавно какое-нибудь приложение
с сертификатом: (да / нет / не знаю).

Скажи, что означает эта ошибка, может ли она
быть безобидной и в каком случае её нельзя
пропускать ни при каких условиях.
Не советуй нажать «продолжить», если по этим
данным риск реальный.

Коротко

  • Замок = шифрование + подтверждённый домен. Не = честный сайт.
  • Смотрите на адрес, а не на значок. Предупреждение о сертификате означает стоп.
  • Включите режим «только HTTPS».
  • Провайдер всё равно видит имена сайтов; это закрывает только VPN или зашифрованный DNS с ECH.

В 404 VPN туннель строится по VLESS с TLS 1.3 или по WireGuard (конфиг из кабинета, Стамбул и Марсель), а DNS в обоих случаях идёт внутри туннеля, так что имена сайтов не видны сети. Подробнее на странице безопасности, а начать можно с главной.

Частые вопросы

Можно ли доверять сайту, если в адресной строке есть замок?

Не всегда: замок подтверждает только шифрование и владение доменом, а не честность сайта. У фишинговых страниц HTTPS есть почти всегда, поэтому смотрите на сам адрес.

Что делать, если браузер ругается на сертификат сайта?

Не нажимайте «продолжить», особенно на сайтах банков и почты. Такое предупреждение значит, что сертификат просрочен, выдан на другой домен или подписан тем, кому браузер не доверяет, а в чужой сети это может означать перехват.

Видит ли провайдер, какие сайты я открываю по HTTPS?

Да, имя сайта провайдер видит: домен уходит открытым в DNS-запросе и в поле SNI в начале соединения. Содержимое страниц, пароли и формы под HTTPS ему не видны.

Чем HTTPS отличается от HTTP?

HTTPS это тот же HTTP поверх шифрования TLS: данные между браузером и сайтом нельзя прочитать или подменить по пути. На обычном HTTP браузер пишет «Не защищено», и вводить там ничего важного не стоит.

Нужен ли VPN, если сайт работает по HTTPS?

Да, если хотите скрыть имена сайтов от провайдера и свой IP-адрес от сайтов: HTTPS закрывает только содержимое. VPN шифрует весь трафик устройства вместе с DNS, и вместе они закрывают почти всё.