В чем разница между HTTP и HTTPS?

// HTTP - незащищённая передача
http://example.com/login // ❌ Данные видны всем
 
// HTTPS - зашифрованная передача  
https://example.com/login // ✅ Данные защищены

// Данные передаются открытым текстом
POST /login HTTP/1.1
Host: example.com
Content-Type: application/json
 
{
  "username": "admin",
  "password": "123456" // ❌ Видно всем
}

// Данные зашифрованы SSL/TLS
POST /login HTTP/1.1
Host: example.com
Content-Type: application/json
 
// Зашифрованные данные: 4f8b2c1a9e3d... ✅

// HTTP использует порт 80
const httpUrl = 'http://example.com:80/api'; // По умолчанию
 
// HTTPS использует порт 443
const httpsUrl = 'https://example.com:443/api'; // По умолчанию

// HTTP - без сертификата
// Прямое соединение с сервером
 
// HTTPS - с SSL/TLS сертификатом
// Проверка подлинности сервера
// Установка зашифрованного канала

// 1. DNS запрос
// 2. TCP соединение
// 3. HTTP запрос
// 4. HTTP ответ

// 1. DNS запрос
// 2. TCP соединение  
// 3. TLS handshake (дополнительно)
// 4. HTTP запрос (зашифрованный)
// 5. HTTP ответ (зашифрованный)

// HTTPS позволяет использовать безопасные заголовки
app.use((req, res, next) => {
  if (req.secure) {
    res.setHeader('Strict-Transport-Security', 'max-age=31536000');
    res.setHeader('X-Content-Type-Options', 'nosniff');
  }
  next();
});

// Меньше шагов для установки соединения
// Нет накладных расходов на шифрование
// Но устарел и небезопасен

// HTTP/2 работает только с HTTPS
// Сжатие заголовков
// Мультиплексирование запросов
// Server Push

// HTTP сайты
// ⚠️ "Не защищено" в адресной строке
// Предупреждения о небезопасности
 
// HTTPS сайты  
// 🔒 Зелёный замок
// "Соединение защищено"

// Многие API работают только с HTTPS
navigator.geolocation.getCurrentPosition(); // Только HTTPS
navigator.serviceWorker.register('/sw.js'); // Только HTTPS
navigator.mediaDevices.getUserMedia(); // Только HTTPS
 
// Mixed Content блокируется
// HTTPS страница + HTTP ресурсы = ❌

// HTTP cookies
document.cookie = "session=abc123"; // ❌ Небезопасно
 
// HTTPS cookies
document.cookie = "session=abc123; Secure; SameSite=Strict"; // ✅

// Express.js редирект
app.use((req, res, next) => {
  if (!req.secure && process.env.NODE_ENV === 'production') {
    return res.redirect(301, `https://${req.headers.host}${req.url}`);
  }
  next();
});

# Редирект HTTP на HTTPS
server {
    listen 80;
    server_name example.com;
    return 301 https://$server_name$request_uri;
}
 
server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate /path/to/cert.pem;
    ssl_certificate_key /path/to/key.pem;
}

// HTTP для локальной разработки
http://localhost:3000 // ✅ Удобно для разработки
 
// HTTPS для продакшена
https://mysite.com // ✅ Обязательно для продакшена

// Определение текущего протокола
const isSecure = window.location.protocol === 'https:';
const protocol = window.location.protocol; // 'http:' или 'https:'
 
// Принудительный переход на HTTPS
if (location.protocol !== 'https:' && location.hostname !== 'localhost') {
  location.replace('https:' + window.location.href.substring(window.location.protocol.length));
}

// Google учитывает HTTPS как фактор ранжирования
// HTTPS сайты получают преимущество в поиске
// HTTP сайты могут быть понижены в выдаче

// Mixed content на HTTPS сайте
<script src="http://cdn.com/script.js"></script>

// Протокол-относительные URL
<script src="//cdn.com/script.js"></script>
// Или явно HTTPS
<script src="https://cdn.com/script.js"></script>