Значок замка в строке браузера¶
Значок замка в строке браузера — графический индикатор в интерфейсе веб-браузера, обозначающий, что соединение с сайтом установлено по протоколу HTTPS с использованием SSL/TLS-шифрования. Появляется слева от адреса сайта в адресной строке (строке состояния) и сигнализирует пользователю о защищённом канале связи между браузером и сервером. В современных браузерах замок отображается по умолчанию для всех HTTPS-сайтов, а его отсутствие при доступе к сайту сопровождается предупреждением о небезопасном соединении.
¶История появления
Иконка замка была впервые внедрена в браузере Netscape Navigator в 1995 году, когда компания начала использовать протокол SSL для защиты электронной коммерции. В Netscape замок отображался в правом нижнем углу окна и менял своё состояние: отпёртый замок означал незащищённое соединение, запертый — зашифрованное. В браузере Internet Explorer аналогичный индикатор размещался в строке состояния внизу окна.
С переходом на протокол TLS (версии TLS 1.0 появилась в 1999 году) индикатор стал универсальным для всех браузеров. В 2010-х годах разработчики Google Chrome и Mozilla Firefox перенесли замок из строки состояния в адресную строку рядом с URL-адресом, сделав индикатор более заметным. В 2018 году Google Chrome начал помечать все HTTP-сайты как «Небезопасно» («Not Secure»), а с версии 68 замок стал отображаться только для HTTPS-сайтов.
¶Что означает замок
Замок в адресной строке подтверждает два факта:
- Соединение зашифровано. Трафик между браузером и сервером шифруется протоколом TLS, что защищает данные от перехвата и подмены на сторонних узлах сети.
- Сертификат сайта подтверждён. Браузер проверил цифровой сертификат, выданный удостоверяющим центром (CA), и убедился, что сертификат действителен и принадлежит домену, к которому выполняется обращение.
Важно понимать, что замок не гарантирует добросовестность сайта. Злоумышленники могут получить валидный сертификат и использовать HTTPS на фишинговых страницах. Замок подтверждает только шифрование канала и принадлежность домена, но не репутацию владельца ресурса.
¶Уровни проверки сертификатов
Современные браузеры различают три уровня валидации сертификатов:
| Уровень | Название | Что проверяется |
|---|---|---|
| DV | Domain Validation | Подтверждение прав на домен |
| OV | Organization Validation | Домен и данные организации |
| EV | Extended Validation | Домен, организация и юридическое лицо |
Ранее сайты с EV-сертификатами отображали название компании прямо в адресной строке (например, «ООО „Ромашка“ [RU]»). К 2019 году Google Chrome, Mozilla Firefox и Apple Safari отказались от визуального выделения EV-сертификатов, оставив единый значок замка для всех уровней валидации.
¶Изменения в современных браузерах
В 2021 году Google Chrome 93 заменил привычный замок на новый индикатор — иконку «i» (информация). Замок стал отображаться только при нажатии на «i». В Mozilla Firefox аналогичное изменение произошло в версии 102 (2022 год). Официальная позиция разработчиков: HTTPS стал стандартом де-факто, поэтому отдельный акцент на защищённом соединении утратил смысл. По данным Google, более 95% страниц в Chrome загружаются по HTTPS.
Вместо замка в адресной строке теперь отображается:
- «i» — соединение защищено HTTPS, сертификат валиден;
- «!» или предупреждение «Небезопасно» — сайт использует HTTP, данные передаются открытым текстом;
- красный замок с предупреждением — сертификат недействителен, истёк или не подтверждён.
¶Распространённые заблуждения
Замок в браузере часто воспринимается как знак «безопасного сайта», что является ошибкой. Основные заблуждения:
- «Замок означает, что сайт не мошеннический». Неверно: фишинговые сайты регулярно используют валидные сертификаты, поскольку их можно получить бесплатно через службу Let's Encrypt.
- «Замок защищает от вирусов». Шифрование защищает данные в канале связи, но не фильтрует вредоносный контент на самом сайте.
- «Без замка сайт опасен». HTTP-сайты не шифруют трафик, что критично для форм ввода паролей и платёжных данных, но не делает сайт вредоносным по определению.
¶Значок в мобильных браузерах
В мобильных версиях Chrome для Android и Safari для iOS замок также отображается слева от адреса. В iOS 15 Apple ввела режим «Безопасный просмотр», при котором адресная строка сворачивается до иконки замка, скрывая полный URL — что эксплуатировалось мошенниками для маскировки поддельных адресов. В iOS 16 замок стал отображаться постоянно, а не только при прокрутке страницы.
¶Применение в информационной безопасности
Значок замка используется в обучении пользователей основам кибербезопасности как элемент визуальной грамотности. При этом специалисты по информационной безопасности рекомендуют ориентироваться не только на индикатор, но и на полный адрес сайта, проверяя отсутствие подмены домена (например, sberbank.ru вместо sberbanlk.ru).
Источники:
- Документация Mozilla Firefox по индикаторам безопасности
- Блог Google Chrome Security Blog
- RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3
- Документация Apple Developer — App Transport Security
- Сайт Let's Encrypt — бесплатные TLS-сертификаты