Что даёт HTTPS помимо шифрования трафика?

HTTPS — это HTTP поверх TLS. Он обеспечивает не только шифрование, но и аутентификацию сервера и целостность данных.

Три гарантии

1. Конфиденциальность — трафик зашифрован: перехватчик в сети (Wi-Fi, провайдер) не прочитает пароли и cookie.
2. Целостность — данные нельзя незаметно изменить по пути: каждая запись защищена кодом аутентификации. Нельзя внедрить рекламу или вредоносный код в ответ.
3. Аутентификация — сертификат подтверждает, что клиент общается именно с владельцем домена, а не с подменой (защита от атаки «человек посередине»).

Как достигается аутентификация

Сервер предъявляет сертификат, подписанный доверенным удостоверяющим центром (CA). Браузер проверяет цепочку подписей, срок действия и соответствие домена.

Что ещё даёт HTTPS

• Доступ к современным API: service worker, геолокация, камера, crypto.subtle работают только в защищённом контексте.
• HTTP/2 и HTTP/3 в браузерах используют только поверх TLS.
• Защищённые cookie (Secure) отправляются только по HTTPS.
• SEO и доверие: поисковики учитывают HTTPS, браузеры помечают HTTP-сайты как небезопасные.
• Реферер: переход с HTTPS на HTTP не передаёт referrer.

Чего HTTPS не делает

Он не защищает от XSS, SQL-инъекций и уязвимостей приложения и не скрывает домен: имя хоста видно в SNI и DNS.

Коротко для собеседования

HTTPS = HTTP + TLS: шифрование, защита от подмены данных и проверка подлинности сервера по сертификату. Он же нужен для HTTP/2, service worker и Secure-cookie.