Lacătul din bara browserului și prefixul HTTPS arată că legătura dintre calculator și site este criptată și că site-ul are un certificat valabil pentru adresa afișată. Asta înseamnă că datele trimise nu pot fi citite sau modificate pe drum. Lacătul nu spune însă nimic despre onestitatea celui care deține site-ul: și paginile false, create pentru furtul de date, folosesc frecvent HTTPS.
Ce înseamnă HTTPS și lacătul din browser?
HTTPS înseamnă că pagina este transmisă printr-o conexiune criptată, iar lacătul confirmă că browserul a verificat certificatul site-ului și l-a găsit valabil pentru acel domeniu. Criptarea folosește protocolul TLS, care stabilește la fiecare conectare chei unice pentru sesiunea respectivă. Fără HTTPS, datele circulă în clar, iar oricine controlează rețeaua, de exemplu o rețea Wi-Fi publică, le poate vedea.
Ce garantează lacătul și ce nu garantează?
Lacătul garantează confidențialitatea și integritatea transmisiei, nu și seriozitatea site-ului.
| Întrebare | Răspunsul dat de lacăt |
|---|---|
| Datele sunt criptate pe drum? | Da |
| Site-ul este cel de la adresa din bară? | Da, pentru domeniul afișat |
| Domeniul aparține instituției sau firmei pe care o imită? | Nu neapărat |
| Site-ul este cinstit și sigur pentru plăți? | Nu spune nimic |
| Datele sunt protejate după ce ajung pe server? | Nu spune nimic |
Un certificat obișnuit se obține în câteva minute, automat, pentru orice domeniu controlat de solicitant. De aceea, un site fals cu o adresă asemănătoare cu cea originală poate avea un lacăt perfect valid.
Cum se verifică adresa unui site, dincolo de lacăt?
Adresa unui site se verifică citind atent domeniul principal, adică partea dinaintea primei bare oblice și imediat înaintea terminației, precum „.ro” sau „.com”.
- Litere înlocuite: cifra 0 în locul literei o, „rn” în locul lui „m”, o literă dublată sau lipsă.
- Cuvinte adăugate: „-plata”, „-verificare”, „-secure” lipite de numele unei instituții.
- Subdomenii înșelătoare: numele real apare la început, dar domeniul efectiv este altul, aflat la final.
- Terminație diferită de cea folosită de obicei de instituția respectivă.
Cea mai sigură metodă este scrierea adresei de mână sau folosirea unui marcaj salvat, nu a linkurilor primite prin SMS sau e-mail. Tiparele acestor mesaje sunt descrise în ghidul despre mesajele false care pretind că vin de la instituții, iar adresele corecte ale serviciilor publice sunt cele folosite pentru rezolvarea online a cererilor către instituții.
Ce înseamnă avertismentele de certificat?
Un avertisment de certificat înseamnă că browserul nu a putut confirma identitatea site-ului, iar conexiunea s-ar putea să nu fie cu serverul așteptat.
- Certificat expirat: administratorul nu l-a reînnoit la timp; frecvent o neglijență, dar conexiunea nu mai este verificată.
- Nume nepotrivit: certificatul a fost emis pentru alt domeniu decât cel accesat.
- Emitent necunoscut: certificatul nu provine de la o autoritate recunoscută de browser.
- Data și ora greșite pe calculator: un ceas setat incorect face ca certificate valabile să pară expirate.
Pe site-urile unde se introduc parole sau date de card, avertismentul nu se ignoră. Dacă apare pe mai multe site-uri cunoscute simultan, se verifică întâi data și ora dispozitivului, apoi rețeaua folosită.
Cum se văd detaliile certificatului?
Detaliile certificatului se văd printr-un clic pe lacăt sau pe pictograma din stânga adresei, apoi pe opțiunea despre conexiune sau certificat. Fereastra arată domeniul pentru care a fost emis, emitentul și perioada de valabilitate. Certificatele publice au o valabilitate limitată, de câteva luni până la aproximativ un an, și se reînnoiesc periodic. Principiul de verificare a unui emitent de încredere este apropiat de cel din spatele semnăturii electronice, care se bazează tot pe certificate digitale.
Ce obiceiuri reduc riscul pe site-urile cu date sensibile?
- Conturile bancare și cele ale instituțiilor se deschid din marcaje salvate.
- Datele de card se introduc doar după verificarea domeniului, nu doar a lacătului.
- Pe rețele Wi-Fi publice se evită operațiunile financiare, chiar și pe HTTPS.
- Autentificarea în doi pași rămâne activă pe conturile importante.
- Browserul și sistemul de operare se actualizează, pentru ca lista autorităților de încredere să fie la zi.
