При использовании HTTPS какие части HTTP-запроса шифруются, а какие остаются открытыми (URL, заголовки, тело запроса)?

Как работает шифрование HTTPS

HTTPS использует протокол TLS (Transport Layer Security) для шифрования данных между клиентом и сервером. Однако не все части HTTP-запроса шифруются одинаково. Шифрование начинается только после установления TLS-соединения, поэтому некоторые данные остаются открытыми.

Что шифруется

• Тело запроса (body) — полностью шифруется, включая POST-данные, JSON, XML и т.д.
• Заголовки (headers) — шифруются, включая Cookie, Authorization, Content-Type и другие.
• URL-путь (path) и query-параметры — шифруются, так как они передаются внутри HTTP-запроса после установки TLS.

Что остается открытым

• Доменное имя (hostname) — видно в DNS-запросах и в процессе TLS-рукопожатия (SNI — Server Name Indication).
• IP-адрес сервера — виден на сетевом уровне.
• Порт — обычно 443 для HTTPS, виден в TCP-заголовке.
• Размер передаваемых данных — длина зашифрованного сообщения может быть видна, хотя сам контент скрыт.

Пример

Представьте, что вы отправляете POST-запрос на https://example.com/api/login с телом {username: "user", password: "secret"}. Наблюдатель увидит:

IP-адрес: 93.184.216.34
Порт: 443
Домен: example.com (из SNI)
Размер: ~200 байт (зашифрованных)

Но не увидит:

Путь: /api/login
Заголовки: Content-Type, Authorization
Тело: {username: "user", password: "secret"}

Вывод

HTTPS надежно защищает содержимое запроса, но не скрывает факт соединения с конкретным сайтом. Для полной анонимности требуется дополнительная защита, например, VPN или Tor.