Какая часть HTTP запроса шифруется?

Шифрование в HTTP: TLS против HTTP

Ключевой момент: При использовании стандартного HTTP (Hypertext Transfer Protocol) без дополнительных мер защиты, весь запрос передается в открытом, незашифрованном виде. Однако современная практика предполагает использование HTTPS, где безопасность обеспечивается протоколом TLS (Transport Layer Security) или его предшественником SSL.

Что шифруется при использовании HTTPS (HTTP + TLS)

При установлении TLS-сессии между клиентом (например, браузером) и сервером создается защищенный канал. В этом канал полностью шифруется вся передача данных на уровне приложения, включая:

• Полный HTTP запрос:

    *   **Метод** (GET, POST, PUT, etc.).
    *   **URL (Uniform Resource Locator)** и путь.
    *   **HTTP заголовки** (Headers), включая потенциально чувствительные, такие как `Authorization`, `Cookie`, `User-Agent`.
    *   **Тело запроса** (Body), если оно присутствует (например, данные формы, JSON, файлы).

• Полный HTTP ответ:

    *   **Статус код** (200, 404, 500, etc.).
    *   **Заголовки ответа**.
    *   **Тело ответа** (HTML, JSON, изображение, etc.).

Таким образом, при работе через HTTPS, вся часть HTTP-сообщения (запрос и ответ) шифруется. Исключением являются данные, необходимые для самого установления TLS-сессии на сетевом уровне.

Что остается незашифрованным даже при HTTPS

TLS работает на транспортном уровне, поэтому некоторые метаданные, необходимые для доставки пакетов по сети, остаются видимыми:

1. IP-адреса источника и назначения.
2. Порт назначения (обычно 443 для HTTPS).
3. Доменное имя сервера (SNI - Server Name Indication) в процессе установления соединения (в современных версиях TLS есть механизмы для его шифрования, например ESNI/ECH, но они не всегда применяются).

Пример наглядно

Рассмотрим простой POST запрос на авторизацию.

В открытом HTTP (без TLS) запрос выглядит так и полностью читаем:

POST /login HTTP/1.1
Host: example.com
User-Agent: Mozilla/5.0
Content-Type: application/json
Content-Length:机械換行符
Authorization: Bearer some_secret_token_here

{"username":"john","password":"supersecret123"}

В HTTPS (с TLS) весь этот блок данных превращается в нечитаемый шифрованный поток для стороннего наблюдателя.

Концептуальная разница: HTTP vs HTTPS

Важно понимать разницу:

• HTTP — это протокол прикладного уровня, описывающий структуру сообщений (заголовки, тело). Сам по себе он не обеспечивает шифрование.
• TLS — это протокол транспортного уровня, который создает защищенный канал для передачи данных прикладного уровня. HTTPS — это просто HTTP, работающий внутри этого TLS-канала.

Практическое применение в Go

В Go при написании серверов или клиентов мы обычно работаем с уже установленным транспортным уровнем. Если сервер использует TLS, то весь обрабатываемый им HTTP-запрос уже пришел в шифрованном виде и был декодирован библиотекой net/http или аналогичной.

Пример простого HTTPS сервера на Go:

package main

import (
    "fmt"
    "net/http"
    "log"
)

func main() {
    handler := func(w http.ResponseWriter, r *http.Request) {
        // Здесь r *http.Request уже представляет декодированный запрос,
        // который был получен через защищенный TLS канал.
        fmt.Fprintf(w, "Защищенный путь: %s\n", r.URL.Path)
        fmt.Fprintf(w, "Метод: %s\n", r.Method)
        // Все заголовки и тело были переданы в шифрованном виде.
    }

    http.HandleFunc("/", handler)

    // Запуск сервера с TLS. Ключ и сертификат необходимы.
    log.Println("Сервер запущен на https://localhost:8443")
    err := http.ListenAndServeTLS(":8443", "server.crt", "server.key", nil)
    if err != nil {
        log.Fatal(err)
    }
}

Вывод

Ответ на вопрос: При использовании протокола HTTPS (HTTP over TLS) шифруется вся часть HTTP запроса (метод, URL, заголовки, тело), а также весь ответ. Без TLS (простой HTTP) запрос передается полностью в открытом тексте. Современные разработчики обязаны использовать HTTPS для защиты данных пользователей, и в Go это легко реализуется стандартной библиотекой net/http.