Как работает HTTPS и что проверяет браузер

Когда вводишь пароль в браузере, данные проходят через несколько сетей по дороге к сайту. HTTPS защищает содержимое запроса и ответа на этом пути. Он также помогает браузеру убедиться, что сервер отвечает за домен, который указан в адресной строке. За эти свойства отвечает протокол TLS. Спецификация TLS в RFC 8446

Зачем нужен сертификат

Сервер предъявляет сертификат, в котором указаны имена, для которых он действителен. Браузер проверяет имя сайта, срок действия и цепочку доверия. Успешная проверка связывает защищённое соединение с указанным доменом. Доверие к владельцу сайта требует отдельной проверки адреса и происхождения ссылки. Как браузер проверяет сервер при TLS

Что проверить перед входом или оплатой

Открой знакомый сайт из сохранённой закладки, официального приложения или набери его адрес самостоятельно. В строке браузера проверь имя сайта между https:// и началом пути. В адресе https://account.example.com/login нужная часть — account.example.com. У похожего имени, например account-example.com, может быть свой действительный сертификат. Если вход предлагает неожиданное письмо, открой сервис отдельно и проверь, есть ли там такое же уведомление. Советы FTC по проверке подозрительных ссылок

Что делать при предупреждении о сертификате

1. Остановись до ввода пароля, данных карты или кода подтверждения.
2. Проверь домен, дату, время и часовой пояс на устройстве. Справка Firefox об ошибках сертификата
3. Открой знакомый сайт в другой доверенной сети. Если ошибка возникает только у одного сервиса, сообщи его поддержке текст предупреждения и адрес страницы.

При подключении через VPN тот же порядок остаётся полезным. VPN защищает участок до своего сервера, а HTTPS создаёт отдельное соединение между браузером и сайтом. Как работает VPN