HTTPSと南京錠

アドレスバーの小さな南京錠を見たことがあるだろう。それは接続が HTTPS を使っているという意味だ — TLS と呼ばれる暗号化の層で包まれた HTTP である。

素の HTTP はすべてを読めるテキストで送る。あなたとサーバーのあいだに座る者は誰でも — たとえば共用 Wi-Fi で — あなたのパスワードが通り過ぎるときにそれを読めてしまう。郵便経路の誰もが読めるはがきのように。HTTPS はその会話を、あなたとサーバーだけが開けられる封筒に封じる。南京錠は二つのことを確かめてくれる:

• プライバシー — 途中にいる誰も、あなたが送るものを読めない。
• 身元 — あなたは本当に、自分が思っているそのサーバーと話しており、なりすましではない。

実用上のルールは短い:本物のアプリは HTTPS を使う、常に、例外なく。ログインや決済を素の HTTP で扱うのは、設計からして壊れている。