Протоколы HTTP и HTTPS

• HTTPS не является отдельным протоколом передачи данных, а представляет собой расширение протокола HTTP с надстройкой шифрования;
• HTTP работает на уровне приложения, а HTTPS - на транспорном уровне.
• передаваемые по протоколу HTTP данные не защищены, HTTPS обеспечивает конфиденциальность информации путем ее шифрования;
• HTTP использует порт 80, HTTPS — порт 443.

• HTTP может быть реализован на основе другого протокола в Интернете или в других сетях;
• Страницы HTTP хранятся в кэше компьютера и Интернета, поэтому доступ к ним осуществляется быстрее;
• Кроссплатформенность
• Не нуждается в поддержке среды выполнения
• Можно использовать через брандмауэры. Возможны глобальные приложения
• Не ориентирован на подключение; таким образом, отсутствуют накладные расходы на сеть для создания и поддержания состояния сеанса и информации

• В большинстве случаев сайты, работающие по протоколу HTTPS, будут перенаправлены. Поэтому даже если ввести HTTP://, он перенаправит на https через защищенное соединение
• Это позволяет пользователям выполнять безопасные транзакции электронной коммерции, такие как онлайн-банкинг.
• Технология SSL защищает всех пользователей и создает доверие
• Независимый орган проверяет личность владельца сертификата. Таким образом, каждый SSL-сертификат содержит уникальную аутентифицированную информацию о владельце сертификата.

• Нет защиты информации, так как любой может прослушать и увидеть передаваемый контент
• Обеспечение целостности данных является большой проблемой, поскольку есть возможность изменения содержимого на лету во время передачи.
• Не известно точно, кто слушает на противоположной стороне. Любой, кто перехватит запрос, может получить имя пользователя и пароль.

• Протокол HTTPS не может остановить кражу конфиденциальной информации со страниц, кэшированных в браузере
• Данные SSL могут быть зашифрованы только во время передачи по сети. Поэтому он не может очистить текст в памяти браузера
• HTTPS ввиду вычислений может увеличить задержки во время передачи данных.

• Самоподписанный сертификат. Данный вид сертификата НЕ подойдет 99% пользователям. Плюс у данного сертификата один – он совершенно бесплатен. Самый весомый минус – при переходе на ваш сайт из поисковой системы или по любому другому заходу пользователю будут показаны предупреждения
• Валидация по домену (Domain Validated). SSL-сертификат начального уровня доверия, при оформлении которого производится только проверка доменного имени. Подойдут практически 90% владельцев сайтов. Являются самыми распространенными. Подходят как физическим, так и юридическим лицам. Выдача данного сертификата, как правило, производится в течение суток.
• Валидация организации (Organization Validation). Сертификат с повышенной надежностью. При выдаче сертификата производится проверка компании, проверяется не только право владения доменом и принадлежность веб-сайта организации, но и существование компании как таковой. Доступен только юридическим лицам. При выдаче данного сертификата могут быть запрошены основные документы.
• Расширенная валидация (Extended Validation). Сертификат с самым высоким уровнем аутентификации между всеми типами SSL сертификатов. Не подойдет 99% «смертных» из-за своей цены и способа проверки. Предназначен для крупных корпораций. Доступен только юридическим лицам. Зеленая адресная строка браузера отображает название компании и обеспечивает визуальное подтверждение безопасности вашего сайта.
• Сертификаты Wildcard. Данный вид сертификата стоит выбрать, если у вас структура сайта представлена в виде поддоменов. Или требуется защита передаваемой информации на субдоменах. На некоторых хостингах данный вид представлен в виде опции.

Защищает бесплатный SSL-сертификат так же хорошо, как и платный. Но те, кто выбирают бесплатный SSL-сертификат для своего сайта, сталкиваются с рядом нюансов, из-за которых платный сертификат может быть удобнее.

1. Бесплатный SSL-сертификат нужно обновлять чаще, чем платный. Обычно раз в 90 дней, а платный сертификат — раз в год. У некоторых бесплатных SSL-сертификатов может быть автоматическое продление, но если из-за специфических настроек на сервере оно не сработает, сайт останется без защиты и перестанет открываться. Придётся продлевать сертификат вручную.
2. Бесплатный SSL-сертификат может быть даже на мошенническом сайте. Никто не проверяет, реальный ли бизнес стоит за сайтом. А среди платных сертификатов есть такие, которые могут получить только зарегистрированные официально компании. Это может стать дополнительным аргументом в пользу того, что вашему сайту можно доверять.
3. Бесплатный SSL-сертификат нужно самому устанавливать и продлевать.  Если на хостинге нет удобного функционала по установке сертификата, всё придётся делать вручную. Для тех, кто не разбирается в хостинге, этот способ может оказаться слишком сложным. А платный сертификат обычно можно установить и продлевать при помощи службы поддержки хостинг-провайдера.