Você sabe a diferença entre HTTP e HTTPS?
Você provavelmente já viu um pequeno cadeado verde na barra da URL do seu navegador de internet. Em sites com esse símbolo, a URL não começa com o clássico HTTP, mas sim com HTTPS. Além disso, cada vez mais sites exibem a mensagem "este site usa uma conexão segura". Mas o que significa esse HTTPS? E mais: a conexão segura da qual falam os sites é de fato segura para você, usuário?
O que significa, afinal, HTTPS?
O HTTPS é uma versão segura do protocolo de transferência de hipertexto HTTP – que é a forma como a informação passa do servidor do site que você acessa ao seu computador. Se a URL do site começar apenas por HTTP, significa que os dados que saem do site até o seu computador – e vice-versa – não são protegidos por criptografia. Ou seja, qualquer um, em tese, pode interceptar essa comunicação, ter acesso a esses dados – ou mesmo corrompe-los.
O 's' no final é muito mais que uma simples letrinha. Ele informa que os dados são criptografados, o que oferece uma garantia de que as informações trocadas entre o seu computador e o servidor do site não serão acessadas por terceiros.
Além disso, o protocolo de segurança evita os chamados ataques "man in the middle" (literalmente homem intermediário). Esses ataques funcionam da seguinte forma: cibercriminosos se posicionam entre o usuário e o servidor do site, substituindo a página verdadeira por uma falsa, com o objetivo de capturar dados e infectar máquinas. Em sites com HTTPS, mesmo quando hackers acessam a comunicação entre computador e servidor, eles não conseguem decriptar a informação que é trocada.
Mas é preciso entender que o HTTPS e o cadeado no canto da barra da URL não são, em si, uma garantia de proteção. Sites de phishing também podem usar esses protocolos de segurança. Portanto, fique atento para o tipo de site que você acessa – ele pode ser protegido, mas ter cibercriminosos como proprietários.
O Google contra HTTP
A partir de julho, o Google Chrome, o navegador de internet mais popular do mundo, vai classificar as páginas como 'seguras' (leia-se: com criptografia – e cadeado verde) ou 'inseguras' (com o protocolo simples HTTP). Segundo um anúncio recente da gigante do Vale do Silício, a nova versão do navegador vai aumentar os alertas a sites potencialmente perigosos.
A mudança vai certamente afetar os internautas brasileiros. Afinal, o Chrome tem uma liderança de mercado incontestável no Brasil: cerca de 75% dos acessos à internet são feitos por meio do navegador do Google.
O processo de classificar sites em HTTP como inseguros tem sido gradual, e o Google tem progressivamente enviado alertas a seus usuários desde 2015. As primeiras ações da empresa visavam alertar usuários contra campos de preenchimento de dados (senhas ou dados para pagamento) sem protocolos de criptografia.
Além disso, o motor de buscas do Google tem ranqueado mal sites sem encriptação, tirando-os das primeiras páginas de uma busca – em uma tentativa clara de diminuir o tráfego nesses domínios suspeitos. Usar o termo 'inseguro' de forma tão explícita, porém, talvez seja o maior passo do gigante da internet até agora.
A mudança, contudo, não deve gerar muita mudança nos sites mais populares – 81% deles já se adequaram aos novos tempos. A mudança de postura do Google já tinha levado a maioria dos sites a optar por protocolos de criptografia, evitando, assim, o rótulo de 'inseguros'. Uma estimativa do Google mostra que 68% do tráfego no Chrome Em Android e Windows já usa protocolos HTTPS. O número é ainda maior nos navegadores em Mac e Chrome OS: 78% dos sites usam criptografia.
Não ficou claro, porém, se esse tratamento será estendido a sites "mistos", isto é, que têm páginas em HTTPS e páginas sem HTTP.
Outros navegadores, como o Mozilla Firefox, já lançaram ações similares nos últimos anos. Sites que pedem senhas em campos não protegidos por HTTPS passaram a ser considerados inseguros.
HTTPS é sinônimo de segurança?
É preciso, porém, se atentar para uma coisa: nem o cadeado, sem aquele aviso de conexão segura significam que o site é legítimo. Significa apenas que a comunicação entre o usuário e o servidor do site é segura. Porém, o site pode ser de propriedade de cibercriminosos. Da mesma forma, um site sem o cadeado não é necessariamente um site malicioso. Mas é um site que não está protegido contra interceptações.
Há casos em que o cadeado aparece riscado com linhas vermelhas – e o termo https também aparece riscado. Isso significa que esses sites têm o certificado de segurança, mas ele está vencido. Isso pode ser apenas uma questão de desleixo por parte dos donos da página – ou um indício de que o domínio não pertença de fato a empresa indicada no site. Pode ser um caso de ataque "man in the middle".
Nunca envie informações como dados bancários, número de cartão de crédito ou dados pessoais em sites sem o protocolo de segurança. De toda forma, sites sem o protocolo HTTPS permitem que hackers acessem dados do seu navegador – como o histórico, por exemplo – para descobrir sua identidade com base nos padrões de comportamento – compras online, sites preferidos etc.
É fundamental ter cuidado com o site que você acessa. Nunca compartilhe suas informações em sites cuja autenticidade você não tenha como assegurar. Em sites que ainda utilizam HTTP, verifique se a URL que aparece no navegador é realmente aquela do site. Páginas usadas para ataques "man in the middle" geralmente trazem leves alterações no nome do domínio. A mudança é sutil, feita para não ser detectada. Ou seja, é preciso ficar atento.
Você não precisa digitar HTTPS a cada vez que quiser acessar um site – mas não se esqueça de dar uma olhadinha na barra da URL. Aquele pequeno 's' faz uma grande diferença.