HTTPS: šta je i zašto je važan

Šta je HTTPS?

HTTPS je kombinacija HTTP-a i Transport Layer Security (TLS). Obezbeđuje enkripciju (poverljivost), provere integriteta i autentifikaciju servera tako da su podaci razmenjeni između pregledača (ili drugog klijenta) i web servera zaštićeni od presretanja i modifikacija. U praksi, sajt koji koristi HTTPS servira HTTP saobraćaj preko TLS-osiguranog socket-a i predstavlja sertifikat izdat od strane pouzdane Certificate Authority (CA).

Zašto je HTTPS važan za SEO

HTTPS je danas osnovno očekivanje i za korisnike i za pregledače. Za SEO, praktični efekti uključuju povećano poverenje korisnika i manje sigurnosnih upozorenja u pregledaču, očuvanje referral podataka pri sigurnim→sigurnim tranzicijama, i kompatibilnost sa funkcijama koje zahtevaju secure context (na primer, mnogi moderni web APIs i funkcionalnosti progressive web app-a). Google je istorijski tretirao HTTPS kao lagani signal za rangiranje; važnije je da slomljena ili pogrešno konfigurirana HTTPS implementacija može izazvati greške pri preuzimanju (crawl) ili probleme sa indeksiranjem koji posredno štete vidljivosti. Zapamtite: crawling, indeksiranje i rangiranje su odvojene faze — HTTPS utiče na način na koji se stranice preuzimaju i razmatraju za indeksiranje, ali odluke o rangiranju kombinuju mnogo signala izvan sigurnosti transporta.

Kako HTTPS funkcioniše

Na visokom nivou, HTTPS koristi TLS da uspostavi siguran kanal pre nego što se razmenjuju HTTP payload-i. Tipični koraci u TLS handshake-u su: klijent šalje ClientHello, server odgovara svojim sertifikatom i izabranim parametrima, klijent validira lanac sertifikata i dogovara ključeve, i obe strane izvedu simetrične ključeve koji se koriste za sesiju. Moderni deploy-ovi koriste TLS 1.3 gde je podržano; starije verzije TLS-a se postepeno depreciraju. Dodatni elementi na koje treba obratiti pažnju uključuju lanac sertifikata (leaf, intermediate, root), OCSP/OCSP stapling za provere opoziva, i podršku za HTTP/2 ili HTTP/3 koji rade preko TLS-a i mogu poboljšati performanse kada su pravilno konfigurisani.

Tipovi HTTPS sertifikata

Uobičajeni tipovi sertifikata i njihove kompromise:

• Domain-validated (DV) — izdat nakon dokaza kontrole domena. Prednosti: brzo i obično besplatno (npr. Let's Encrypt); mane: pruža samo identitet na nivou domena.
• Organization-validated (OV) — dodaje provere identiteta kompanije; Prednosti: prikazuje informacije o organizaciji u metapodacima sertifikata; mane: veći troškovi i duže vreme izdavanja.
• Extended Validation (EV) — istorijski strože provere i specifičan UI u nekim klijentima; Prednosti: jače provere identiteta; mane: mnogi pregledači više ne prikazuju poseban UI za EV.
• Wildcard i SAN (multi-domain) sertifikati — pokrivaju više subdomenа ili hostova; Prednosti: jednostavnije upravljanje za mnogo hostova; mane: wildcard ključevi povećavaju blast radius ako privatni ključ procuri.
• Self-signed — nisu poverljivi za pregledače i neprimenljivi za javne sajtove.

Kako početi sa HTTPS-om

Osnovni koraci za implementaciju HTTPS-a na javnom sajtu:

1) Nabavite sertifikat od pouzdane CA (uključujući besplatne CA poput Let's Encrypt) ili od vašeg hosting/CDN provajdera. 2) Instalirajte sertifikat i povezani intermediate chain na origin ili edge servere. 3) Konfigurišite bezbedne TLS postavke (preferirajte moderne verzije i snažne cipher suite-ove) i omogućite OCSP stapling. 4) Implementirajte server-side 301 redirect-e sa HTTP na HTTPS i osigurajte da canonical tagovi upućuju na preferirani HTTPS URL. 5) Ažurirajte interne linkove, sitemap-e, hreflang unose i sve hardkodirane reference. 6) Testirajte i ispravite mixed content i nesigurne URL-ove resursa. 7) Opcionalno omogućite HSTS nakon testiranja (pažljivo razmotrite preload opciju).

Uobičajene greške sa HTTPS-om

Pazite na ove česte greške koje utiču i na UX i vidljivost u pretrazi:

• Nedostajuće ili oštećene redirect lance — neke stranice ostanu dostupne preko HTTP dok canonical i sitemap unosi pokazuju na HTTPS.
• Mixed content — stranice servirane preko HTTPS uključuju podresurse učitane preko HTTP, što pregledači blokiraju ili za to izdaju upozorenja.
• Istekao ili nepotpun lanac sertifikata — pregledači ili crawler-i mogu odbiti konekciju.
• Pogrešna HSTS konfiguracija — omogućavanje preload-a pre validacije svih varijanti (www, non-www, IPv6) može dovesti do zaključavanja.
• Blokiranje crawler-a na TLS nivou — stroge firewall/TLS politike koje blokiraju Googlebot ili druge pretraživače mogu sprečiti indeksiranje.
• Zaboravljanje third-party servisa — ažurirajte CDN, analytics, tag managere i API endpoint-e da koriste HTTPS.

Provera HTTPS-a: tehnička kontrolna lista

**Certificate validity** — gde proveriti: ikona lokota u pregledaču > detalji sertifikata, SSL Labs ili openssl — prolazi kada je sertifikat izdat od pouzdane CA, lanac je kompletan i datumi su validni.

**Redirects to HTTPS** — gde proveriti: curl -I -L https://example.com (zamenite sa vašim hostom) — prolazi kada HTTP zahtevi vraćaju 301/308 redirect-e koji završavaju na kanoničkom HTTPS URL-u.

**Mixed content** — gde proveriti: DevTools Console u pregledaču ili automatizovani skener — prolazi kada nema aktivnog mixed content-a (skripti, iframe-ova) koji se blokiraju i kada svi kritični asset-i učitavaju preko HTTPS-a.

**TLS protocol and cipher support** — gde proveriti: SSL Labs ili openssl s_client -connect example.com:443 -servername example.com — prolazi kada su omogućene moderne TLS verzije (TLS 1.2/1.3) i kada su nesigurni cipher-i onemogućeni.

**HSTS header** — gde proveriti: curl -I https://example.com — prolazi kada je Strict-Transport-Security header prisutan sa nameravanim direktivama (testirajte pre preloading-a).

**Search engine access** — gde proveriti: server logs i Google Search Console (za sajtove koje posedujete) — prolazi kada Googlebot i drugi glavni crawler-i mogu da preuzmu HTTPS odgovore bez TLS grešaka.

Praktične komande i alati

Korisne provere koje možeš pokrenuti sa svoje radne stanice ili iz CI pipeline-a:

• Prikaži header-e i redirect-e: curl -I -L https://example.com (koristi -I za header-e; -L prati redirect-e).
• Inspect TLS certificate chain: openssl s_client -connect example.com:443 -servername example.com (proveri prikazane detalje sertifikata).
• Brza provera u pregledaču: otvori stranicu, klikni ikonu lokota i pogledaj informacije o sertifikatu.
• Automatizovano ocenjivanje: pokreni SSL Labs (Qualys SSL Labs) ili svoj CI TLS skener da dobiješ izveštaj o podršci protokola, cipher suite-ovima i problemima sa lancom.
• Za vlasničke resurse: koristi Google Search Console URL Inspection da potvrdiš da Google može da preuzme i indeksira HTTPS stranicu; zapamti da je URL Inspection autoritativan samo za sajtove koje poseduješ.

Napomena o crawler-ima: Google pretražuje sajtove koristeći Googlebot Smartphone po standardu; osiguraj da tvoj TLS stack, SNI i firewall pravila dozvoljavaju pristup glavnim crawler user-agent-ima tako da preuzimanje i indeksiranje ne budu prekinuti.

Pročitajte Technical SEO Guide

Često postavljana pitanja

P: Da li HTTPS direktno poboljšava rangiranje?
O: HTTPS se tretira kao lagani signal za rangiranje, ali je samo jedan od mnogih faktora. Još važnije, nepravilna HTTPS implementacija može uzrokovati probleme pri fetchovanju ili indeksiranju koji posredno štete vidljivosti.

P: Da li su besplatni sertifikati (Let's Encrypt) dovoljni?
O: Da — besplatni DV sertifikati od pouzdanih CA su široko prihvaćeni za javne sajtove. Izaberite proces izdavanja i obnove koji odgovara vašem operativnom modelu; upravljani ili komercijalni sertifikati mogu dodati mogućnosti poput dužih perioda važenja, garancije ili dodatnih provera validacije.

P: Šta je HSTS i da li treba da ga omogućim?
O: HSTS (Strict-Transport-Security) govori pregledačima da uvek koriste HTTPS za dati host. Povećava bezbednost, ali ga treba temeljno testirati pre nego što se doda na preload listu jer može otežati oporavak ako je pogrešno konfigurisan.

P: Kako da otkrijem mixed content?
O: Otvori stranicu u pregledaču, proveri DevTools Console za upozorenja o mixed content-u, ili koristi automatizovani skener. Ispravi nesigurne URL-ove resursa da bi stranice bile potpuno sigurne.

P: Ako je stranica dostupna preko HTTPS ali nije indeksirana, da li je HTTPS kriv?
O: Ne mora nužno. Indeksiranje zavisi od mnogih faktora (canonical tagovi, noindex, crawlability, kvalitet sadržaja). Ispravna HTTPS konfiguracija uklanja čest izvor grešaka pri indeksiranju, ali odluke o indeksiranju i dalje zavise od više faktora.