Некоторые администраторы серверов исторически утверждали, что у них нет ничего конфиденциального на их веб-сайте, и поэтому нет необходимости в конфиденциальности. Однако это не слишком веский довод, и мы считаем, что все веб-сайты должны использовать HTTPS по следующим причинам:
Если трафик не зашифрован, его можно просмотреть во время передачи. Это означает, что любой контент, передаваемый в обоих направлениях по соединению — включая конфиденциальные данные, — может быть просмотрен любым объектом на пути следования сети. Это очевидная проблема конфиденциальности — всё равно что пересылать письма туда-сюда без конверта.
Даже если владелец сервера считает, что на его сайте нет ничего конфиденциального, люди порой совершают ошибки. Возможно, передавать конфиденциальную информацию и не следует, но это не значит, что она не будет передана. HTTPS помогает гарантировать, что ошибки не приведут к нарушениям конфиденциальности.
Кроме того, оператор сервера не контролирует весь трафик, поступающий на его веб-сайт и исходящий с него: он никак не может помешать посетителям случайно отправить конфиденциальную информацию в составе запроса — например, через веб-форму или из-за неправильной настройки клиентского программного обеспечения. Ожидать, что они никогда этого не сделают, — это неоправданно завышенное ожидание.
Наконец, иногда сам факт посещения веб-сайта может представлять собой конфиденциальную информацию, особенно для людей, живущих в условиях репрессивных режимов. В HTTPS предусмотрено расширение под названием Encrypted Client Hello (ECH), которое позволяет скрыть эту информацию, однако на сайтах, использующих HTTP, такой дополнительный уровень защиты недоступен.
Более того, если трафик не зашифрован, его можно изменить в процессе передачи. Это означает, что никто не может быть уверен в том, что отправленное совпадает с полученным — в обоих направлениях. Этому соединению недостает не только конфиденциальности, но и целостности.
Распространённым примером этого является внедрение рекламы и/или вредоносного ПО в ответы сервера. Если на веб-сайте не используется HTTPS, он подвергает посетителей такому риску — независимо от того, какой контент на этом сайте размещён.